Entwicklung mobiler Unternehmensanwendungen: Strategie, Architektur und Prozess

Als Referenzstandard dient der „Mobile Application Security Verification Standard“ (MASVS) der OWASP, der derzeit in der Version 2.1.0 vorliegt. Er bietet einen Rahmen für acht verschiedene Bereiche mit insgesamt 24 Kontrollpunkten, die die Bereiche Speicherung, Kryptografie, Authentifizierung, Netzwerkkommunikation, Plattforminteraktion, Codequalität, Ausfallsicherheit und Datenschutz abdecken. Ein Penetrationstest für mobile Anwendungen wird in der Regel anhand des MASVS bewertet, der als gemeinsamer Maßstab für Ihr Sicherheitsteam, den Anbieter der mobilen App und sogar für etwaige Prüfer dient. In der Phase der Angebotsanfrage können Sie einen Anbieter gerne fragen, nach welchem Testprofil des „Mobile Application Security Testing Guide“ (MASTG) er seine Tests durchführt, und sich die Testergebnisse ansehen. Während MASVS definiert, welche Sicherheitskontrollen implementiert werden müssen, liefert MASTG die spezifischen Testverfahren und technischen Richtlinien zur Überprüfung dieser Kontrollen.

Einige Unternehmen nutzen Zero Trust als Leitlinie für die Entwicklung ihrer Richtlinien zum Management mobiler Geräte (MDM). Dazu gehören die Durchführung von Gerätezustandsprüfungen und kontextbezogene Zugriffsentscheidungen. Dies ist heute umso wichtiger, da “Bring Your Own Device” (BYOD) zur Norm geworden ist. Schätzungen zufolge befinden sich zwei Drittel der Geräte, die auf Unternehmensdaten zugreifen, in Privatbesitz. Aus diesem Grund variiert der Verwaltungspunkt je nach Gerätebesitzer. Unternehmensgeräte werden über MDM verwaltet. In diesem Fall kontrolliert die Abteilung IT das gesamte Gerät. Private Geräte werden über Mobile Application Management (MAM) und Richtlinien zur Anwendungssicherheit verwaltet. Unternehmensdaten und -anwendungen werden in einem Container gespeichert, den die IT-Abteilung eigenständig löschen kann, während der Rest des Smartphones außerhalb des Geltungsbereichs des Systems bleibt.

Bei der Entwicklung von Anwendungen für regulierte Branchen muss die Sicherheitsarchitektur den geltenden gesetzlichen Anforderungen entsprechen. So regelt beispielsweise die DSGVO die Verarbeitung personenbezogener Daten von EU-Bürgern; das HIPAA schützt geschützte Gesundheitsdaten (Protected Health Information, PHI), die von den dem Gesetz unterliegenden Organisationen und deren Geschäftspartnern in den Vereinigten Staaten gespeichert werden; und der PCI DSS legt Kontrollanforderungen für Organisationen fest, die Karteninhaberdaten verarbeiten. Darüber hinaus müssen Organisationen je nach ihrem spezifischen betrieblichen Kontext und ihrer Branche möglicherweise Branchenstandards oder Vorschriften einhalten, wie beispielsweise die SOC-2-Berichterstattung, die FFIEC-Richtlinien oder lokale Bankvorschriften.

Das Thema Governance wird oft erst ganz am Ende behandelt, ist jedoch von Anfang an von entscheidender Bedeutung. Vor der Einführung müssen Sie festlegen, wer nach der Veröffentlichung für die Anwendung verantwortlich ist, wer deren Version für den Einsatz in einer Produktionsumgebung freigibt, wie die SLA-Bedingungen für den Support lauten und wie der Geschäftsbereich Änderungen beantragen kann. Sie müssen zwei betriebliche Aspekte in einem einzigen Dokument regeln: die Rotation von Zertifikaten und Schlüsseln sowie die Frage, was mit den Unternehmensdaten auf einem Gerät geschieht, wenn ein Mitarbeiter das Unternehmen verlässt.