Richtlinie zu Anwendungssicherheitsanforderungen

Die Richtlinie zu Anwendungssicherheitsanforderungen (P25) stellt ein umfassendes organisatorisches Mandat dar, um robuste Sicherheitskontrollen in jede Phase des Anwendungslebenszyklus einzubetten. Ihr primärer Zweck ist die Durchsetzung verbindlicher Sicherheitsanforderungen auf Anwendungsebene für sämtliche Software, die von der Organisation entwickelt, beschafft, integriert oder bereitgestellt wird. Die Richtlinie gilt nicht nur für intern entwickelte Lösungen, sondern auch für SaaS, kundenspezifisch entwickelte und extern bezogene Werkzeuge. Diese breite Anwendbarkeit stellt sicher, dass jeder technologische Unternehmenswert, der kritische Geschäftsprozesse, Kundenzugriff oder die Verarbeitung regulierter Daten unterstützt, gemäß den Prinzipien der sicheren Entwicklung, rechtlichen Anforderungen und dem Risikoprofil der Organisation geschützt ist. Hinsichtlich des Geltungsbereichs deckt die Richtlinie Anwendungen in allen Umgebungen ab, einschließlich Entwicklung, Tests, Staging, Produktionsumgebung und Notfallwiederherstellungsumgebung, unabhängig davon, ob diese On-Premises, in privaten Rechenzentren oder in der Cloud gehostet werden. Der Kreis der Verantwortlichen ist ebenfalls umfassend: vom Chief Information Security Officer (CISO), der die Richtlinie verantwortet und mit der Strategie der Organisation ausrichtet, über Application Security Leads und DevSecOps-Manager, die Sicherheitskontrollen definieren und validieren, bis hin zu Entwicklern, Ingenieuren, Product Ownern, IT-Betriebsteams sowie Drittanbietern oder Softwarelieferanten. Jede Gruppe muss die Anforderungen einhalten und so eine Kette von Rechenschaftspflicht und Compliance sicherstellen. Zu den Kernzielen der Richtlinie gehören die Definition von Basisanforderungen an funktionale und nicht-funktionale Sicherheit; die Durchsetzung sicherer Authentifizierung, Autorisierung und Zugangskontrolle; die Integration von Schutzmaßnahmen wie Eingabevalidierung, Ausgabekodierung sowie robustem Fehler- und Sitzungsmanagement; sowie eine besondere Prüfung von API-Sicherheit, Drittanbieterkomponenten und externen Integrationen. Datenschutz wird durch verbindliche Verschlüsselung, Datenklassifizierung und definierte Aufbewahrungsprotokolle adressiert, mit einem strikten Verbot unverschlüsselter Authentifizierungsdaten oder sensibler Daten. Die Richtlinie schreibt außerdem regelmäßige Sicherheitsprüfungen vor, einschließlich statischer und dynamischer Analyse, Quellcodeprüfung, Penetrationstests und kontinuierlicher Überwachung der Einhaltung, um eine frühzeitige Erkennung und Risikominderung von Schwachstellen zu ermöglichen. Es wird ein starkes Governance-Modell festgelegt, das dokumentierte Sicherheitsvalidierung in der Planungs- oder Beschaffungsphase für alle neuen Anwendungen, die Aufnahme von Anforderungen in Lieferantenverträge und Service-Level-Agreements (SLAs) sowie ein strukturiertes risikobasiertes Ausnahmemanagement verlangt. Der Einsatz sicherer Technologien (einschließlich SAST, DAST, IAST und SCA), jährliche Penetrationstests für Hochrisiko-Anwendungen sowie RASP oder WAF, soweit durch Risiko begründet, ist verbindlich. Ausnahmen müssen formal beantragt werden und eine Risikoanalyse, kompensierende Kontrollen, einen Abhilfemaßnahmenplan sowie vollständige Dokumentation enthalten. Nichteinhaltung oder Umgehung von Sicherheitskontrollen kann zur Entfernung von Anwendungen, zur Aussetzung von Zugriffsrechten oder zur Eskalation an Personalwesen, Recht oder Lieferantenrisiko führen. Die Richtlinie wird mindestens jährlich oder als Reaktion auf Informationssicherheitsvorfälle, regulatorische Änderungen oder wesentliche Änderungen der Entwicklungspraktiken überprüft; alle Revisionen unterliegen Versionskontrollsystemen und werden an relevante Teams verteilt. Abschließend wird das Dokument sorgfältig auf eine Reihe verwandter Richtlinien abgebildet, darunter Informationssicherheitsleitlinie, Zugriffskontrollrichtlinie, Änderungsmanagement-Richtlinie, Datenschutzrichtlinien, sichere Entwicklung und Incident-Response-Richtlinie (P30), um einen gestaffelten und konsistenten Ansatz für Unternehmensführung, Risiko und Compliance sicherzustellen.