Fraunhofer-Institut für Offene Kommunikationssysteme
Ausgangslage & Aufgabe
Agile Methoden wie Scrum prägen heute große Teile der Softwareentwicklung. Gleichzeitig sind Sicherheitszertifizierungen nach Common Criteria (CC) ein zentraler Baustein für Vertrauen in IT-Produkte – in Deutschland, Europa und weltweit.
Zwischen beiden Welten entsteht jedoch ein gewisses Spannungsverhältnis: Die CC-Zertifizierung folgt in ihrer Struktur und ihren Anforderungen klassischerweise dem Wasserfallmodell. Sie setzt auf eine eher lineare Abfolge, bei der eine klar definierte Produktbeschreibung (Security Target) und festgelegte Sicherheitsfunktionen die Basis für umfangreiche, statische Nachweise bilden.
Agile Entwicklungsprozesse hingegen sind auf Evolution ausgelegt. Sie setzen auf kurze Sprints, flexible Planung und schlanke Dokumentation, die mit dem Produkt wächst. Der eher starre Dokumentations- und Prüfungsansatz der Common Criteria trifft auf die dynamische Realität von Scrum.
Dadurch stellt sich die Frage: Wie können IT-Sicherheitsprodukte, die agil (insb. mit Scrum) entwickelt werden, effizient und sicher nach Common Criteria zertifiziert werden – ohne unnötigen Mehraufwand und ohne Qualitätseinbußen? Diese Frage soll Fraunhofer FOKUS im Projekt »CertGuideScrum« für das Bundesamt für Sicherheit in der Informationstechnik (BSI) beantworten.