Hannemann/Biewer/Kocatepe/Zaruk/Weigl, MaRisk AT 7.2 Tec ... / 3.3.1 Entwicklung

Rz. 133

Die Anforderungen an die Funktionalität der Anwendung müssen laut Tz. 7.7 BAIT ebenso erhoben, bewertet, dokumentiert und genehmigt werden wie "nichtfunktionale Anforderungen". Nichtfunktionale Anforderungen an IT-Systeme sind beispielsweise:

• Anforderungen an die Informationssicherheit,
• Zugriffsregelungen,
• Ergonomie,
• Wartbarkeit,
• Antwortzeiten,
• Resilienz.^[1]

Rz. 134

Zu jeder Anforderung sind entsprechende "Akzeptanz- und Testkriterien" zu definieren. Die Verantwortung für die Erhebung, Bewertung und Genehmigung der fachlichen Anforderungen (funktional und nichtfunktional) haben die fachlich verantwortlichen Stellen zu tragen. Die Anforderungsdokumente können sich nach Vorgehensmodell unterscheiden und beinhalten z. B.:

• Fachkonzept (Lastenheft),
• Technisches Fachkonzept (Pflichtenheft),
• User-Story/Product Back-Log.

Rz. 135

Im Rahmen der Anwendungsentwicklung sind nach Tz. 7.8 BAIT je nach Schutzbedarf angemessene Vorkehrungen zu treffen, damit auch nach jeder Produktivsetzung einer Anwendung die Vertraulichkeit, Integrität, Verfügbarkeit und Authentizität der zu verarbeitenden Daten nachvollziehbar sichergestellt werden.^[2] Dazu gehören z. B.:

• Prüfung der Eingabedaten,
• Systemzugangskontrolle,
• Benutzerauthentifizierung,
• Transaktionsautorisierung,^[3]
• Protokollierung der Systemaktivität,
• Prüfpfade (Audit Logs),
• Verfolgung von sicherheitsrelevanten Ereignissen,
• Behandlung von Ausnahmen.

Rz. 136

Die Integrität der "Anwendung" (insbesondere des "Quellcodes"^[4]) ist gemäß Tz. 7.9 BAIT angemessen sicherzustellen.^[5] Zudem müssen u. a. Vorkehrungen getroffen werden, die erkennen lassen, ob eine Anwendung versehentlich geändert oder absichtlich manipuliert wurde.^[6] Eine geeignete Vorkehrung unter Berücksichtigung des Schutzbedarfs kann die Überprüfung des Quellcodes sein. Die...