In diesem Artikel erfahren Sie mehr über BSIMM und darüber, worin sich das Modell von SAMM unterscheidet. Wenn Sie Ihre Praktiken zur Software-Sicherheit bewerten, stehen unterschiedliche Schwerpunkte und Methoden zur Auswahl. Die Entscheidung zwischen einem präskriptiven und einem empirischen Modell kann erheblich beeinflussen, wie wirksam Sie Sicherheitsmaßnahmen umsetzen.
Was ist BSIMM?
BSIMM, das Building Security In Maturity Model, dient als umfassender Maßstab, um Initiativen zur Software-Sicherheit in Unternehmen zu bewerten und zu verbessern. BSIMM ist ein datengetriebenes Modell, das die Entwicklung sicherer Software unterstützen soll. Es ist kein Framework nach dem Prinzip „one size fits all“, sondern entwickelt sich auf Basis realer Daten aus Unternehmen weiter, die es eingeführt haben.
BSIMM liefert Ihnen eine empirisch erhobene Sammlung von Praktiken, die aus der Beobachtung zahlreicher Unternehmen stammt. So können Sie Ihre eigenen Sicherheitsinitiativen mit Branchen-Benchmarks vergleichen. Das hilft Ihnen zu verstehen, wo Sie in puncto Reifegrad der Software-Sicherheit stehen und welche Schritte nötig sind, um Ihre Praktiken zu verbessern. Das Modell ist um Kernpraktiken herum aufgebaut, die sich in Detailtiefe und Genauigkeit unterscheiden. Dadurch können Sie Ihre Sicherheitsverbesserungen genau auf die besonderen Risiken und Anforderungen Ihres Unternehmens zuschneiden.
Was ist SAMM?
SAMM, das Software Assurance Maturity Model, begleitet Unternehmen systematisch dabei, wirksame Praktiken für Software-Sicherheit einzuführen und zu messen. Es bietet einen strukturierten Weg, der sich an den individuellen Anforderungen Ihres Unternehmens orientiert, legt besonderen Wert auf Flexibilität bei der Integration und gliedert sich in fünf Geschäftsfunktionen: Governance, Construction, Verification, Deployment und Operations. Jede Funktion begründet eine umfassende Strategie für Software-Sicherheit und deckt dabei verschiedenste Aspekte ab, von Richtlinien und Compliance bis zu den technischen Details von Entwicklung und Wartung.
Letztlich soll SAMM in Unternehmen eine sicherheitsbewusste Kultur fördern, in der Sicherheitsaspekte fester Bestandteil jeder Phase des Software-Entwicklungszyklus sind. Wer SAMM folgt, behebt nicht nur Schwachstellen, sondern entwickelt Software, die von Grund auf robust ist.
BSIMM vs. SAMM
Beim Vergleich von BSIMM vs. SAMM lohnt es sich, die jeweils eigenen Methoden und Einsatzbereiche zur Verbesserung der Software-Sicherheit zu kennen. Jedes Framework bietet eigene Vorteile, die auf unterschiedliche Anforderungen und Reifegrade von Unternehmen zugeschnitten sind.
Entstehung und Weiterentwicklung
BSIMM entstand 2008 aus einer Studie mit neun großen Unternehmen, die Praktiken der Software-Sicherheit auf Basis realer Daten messbar machen sollte. Das Modell wird jährlich mit Daten von über hundert Unternehmen aktualisiert. SAMM wurde 2009 von OWASP als flexibles Framework entwickelt, um Software-Sicherheit in bestehende Prozesse zu integrieren. Dieses Modell lässt sich an die jeweiligen Anforderungen eines Unternehmens anpassen.
Aufbau der Reifegrade
BSIMM ist ein deskriptives Modell: Es bildet Praktiken ab, die in vielen Unternehmen beobachtet wurden, und bewertet Ihre Praktiken anhand einer auf realen Daten basierenden Reifegradskala, ohne konkrete Aktivitäten vorzuschreiben. SAMM dagegen ist ein präskriptives Modell. Es gliedert den Reifegrad in drei Stufen über zwölf Praktiken hinweg, mit definierten Aktivitäten je Stufe. Das ergibt klare Meilensteine für Sicherheitsverbesserungen.
Zentrale Kategorien und Praktiken
BSIMM ist empirisch und beruht auf den tatsächlichen Praktiken verschiedener Unternehmen. Es ordnet Praktiken vier Domänen zu und dokumentiert sie in folgenden Bereichen:
- Governance: BSIMM konzentriert sich hier auf Richtlinien, Kennzahlen und Compliance. Dazu gehören das Aufsetzen und Pflegen von Sicherheitsrichtlinien, das Nachverfolgen von Sicherheitskennzahlen und die Einhaltung regulatorischer wie interner Standards.
- Intelligence: Die Domäne Intelligence befasst sich mit der Identifikation von Bedrohungen und mit Sicherheitsfunktionen. Im Mittelpunkt stehen das Verstehen und Dokumentieren von Bedrohungen für das Unternehmen und die Übertragung dieses Wissens in Sicherheitsmaßnahmen.
- SSDL Touchpoints: BSIMM deckt sichere Entwicklung über den gesamten Software Development Life Cycle (SDLC) hinweg ab. Sicherheitspraktiken werden dabei in jede Phase des Entwicklungsprozesses eingebettet, damit sichere Software von Grund auf entsteht.
- Deployment: Die Domäne Deployment widmet sich der sicheren Bereitstellung und Verwaltung von Software in Produktivumgebungen. So bleibt die Sicherheit auch nach Abschluss der Entwicklungsphase gewahrt.
SAMM ist präskriptiv und gibt Leitlinien für die Implementierung vor. Die Aktivitäten verteilen sich auf diese fünf Geschäftsfunktionen:
- Governance: Dreht sich um Methoden und Aufgaben rund um die Steuerung der Software-Entwicklungsaktivitäten eines Unternehmens. Im Fokus stehen insbesondere Themen, die funktionsübergreifende Entwicklungsteams betreffen, sowie die unternehmensweit etablierten Geschäftsprozesse.
- Design: Umfasst die Prozesse und Aktivitäten, die die Ziele eines Unternehmens definieren und die Software-Entwicklung innerhalb von Projekten leiten. Dazu zählen typischerweise die Anforderungserhebung, übergeordnete Architekturvorgaben und die detaillierte Designplanung.
- Implementation: Beinhaltet die Methoden und Aufgaben, um Software-Komponenten zu erstellen, bereitzustellen und Fehler zu beheben. Diese Aktivitäten prägen die tägliche Arbeit der Entwickler:innen maßgeblich und helfen ihnen, zuverlässige Software auszuliefern.
- Verification: Konzentriert sich auf Methoden und Aufgaben zur Prüfung und zum Testen der Artefakte, die während der Software-Entwicklung entstehen. Dazu gehören in der Regel Qualitätssicherungsmaßnahmen wie Tests sowie weitere Review- und Bewertungsprozesse.
- Operations: Umfasst Aktivitäten, die Vertraulichkeit, Integrität und Verfügbarkeit über die gesamte Betriebsdauer einer Anwendung und der zugehörigen Daten sicherstellen. Ein höherer Reifegrad in diesem Bereich macht das Unternehmen widerstandsfähiger gegenüber Betriebsstörungen und reaktionsfähiger bei Veränderungen der Betriebsumgebung.
Bewertungsmethoden und Verfügbarkeit
BSIMM misst den Reifegrad anhand realer Daten und erstellt eine Scorecard für das Benchmarking gegen Best Practices der Branche. SAMM bietet ein präskriptives Framework für strukturierte Bewertungen und unterstützt schrittweise, risikobasierte Verbesserungen. Beide Modelle sind öffentlich zugänglich: SAMM ist Open Source, BSIMM setzt die Teilnahme an der zugehörigen Community voraus.
BSIMM und SAMM im Unternehmen einführen
Beim Vergleich von BSIMM vs. SAMM sollten Sie Struktur und Kultur Ihres Unternehmens im Blick behalten, denn diese Faktoren beeinflussen, wie gut sich das Modell anpassen lässt und wie wirksam es ist.
Worauf es bei der Einführung von BSIMM ankommt
Bewerten Sie die konkreten Anforderungen und Reifegrade Ihres Unternehmens sorgfältig, bevor Sie BSIMM einführen. Nur wenn Sie Ihre aktuellen Praktiken zur Software-Sicherheit kennen, lässt sich das BSIMM-Framework wirksam zuschneiden.
Berücksichtigen Sie bei der Einführung von BSIMM die folgenden Schritte:
- Aktuelle Sicherheitspraktiken bewerten: Erfassen Sie bestehende Sicherheitsmaßnahmen und Lücken, um zu erkennen, wo BSIMM Ihre Praktiken verbessern kann.
- Klare Ziele festlegen: Definieren Sie Ziele, etwa mehr Code-Sicherheit oder eine bessere Einhaltung von Sicherheitsrichtlinien.
- Stakeholder einbinden: Stellen Sie sicher, dass die wichtigsten Stakeholder beteiligt sind, einschließlich Management und technischer Teams. Ihr Engagement trägt eine reibungslose Implementierung und fördert eine Sicherheitskultur.
- Kontinuierliche Verbesserung einplanen: BSIMM ist ein fortlaufender Prozess. Regelmäßige Bewertungen und Aktualisierungen sind nötig, um auf eine sich wandelnde Bedrohungslage und Veränderungen im Unternehmen zu reagieren.
So läuft die Einführung von SAMM ab
Um SAMM einzuführen, analysieren Sie zunächst Ihre aktuellen Sicherheitspraktiken und Reifegrade mit Blick auf Governance, Design, Implementation, Verification und Operations. Hier sind einige weitere Punkte, die Sie berücksichtigen sollten:
- Stakeholder einbinden: Binden Sie Stakeholder über alle Abteilungen hinweg ein, damit Sicherheitsinitiativen breit verstanden und mitgetragen werden. Alle Beteiligten, vom Top-Management bis zu den technischen Teams, sollten ihre Rolle bei der Verbesserung der Sicherheitslage kennen.
- Eine Roadmap entwickeln: Erstellen Sie eine Roadmap mit kurz- und langfristigen Sicherheitszielen, die zu den Praktiken von SAMM passen. Nehmen Sie konkrete Meilensteine und Erfolgskennzahlen auf und aktualisieren und überprüfen Sie die Roadmap regelmäßig.
- Schulungs- und Awareness-Programme: Sorgen Sie für laufende Weiterbildung, damit alle über die aktuellen Sicherheitspraktiken Bescheid wissen und deren Bedeutung für eine starke Sicherheitslage präsent bleibt.
Herausforderungen und Vorteile im Vergleich
Wenn Sie die Herausforderungen und Vorteile von BSIMM und SAMM kennen, können Sie Ihre Strategie zur Stärkung der Sicherheitslage gezielter ausrichten.
Skalierbarkeit
- Das datengetriebene Modell von BSIMM skaliert gut und eignet sich besonders für große Unternehmen, kann kleinere Einheiten aber überfordern.
- Das flexible Framework von SAMM skaliert gut für kleinere Teams und erleichtert den Einstieg, bietet in großen Umgebungen aber womöglich weniger Tiefe.
Anpassbarkeit
- SAMM lässt sich stark anpassen und richtet Praktiken an konkreten Anforderungen aus, setzt dafür aber ein tiefes Verständnis der eigenen Risiken und Fähigkeiten voraus.
- BSIMM bietet weniger Flexibilität, profitiert dafür aber von einer robusten, in der Praxis erprobten Methodik.
Aufwand bei der Implementierung
- Wer BSIMM einführt, muss sich mit über 120 Praktiken auseinandersetzen und daran messen, was viele Ressourcen binden kann.
- Das einfachere Modell von SAMM lässt sich leichter einführen, ist in heterogenen Umgebungen aber unter Umständen weniger umfassend.
Community und Unterstützung
- BSIMM hat eine starke Community und eine breite empirische Datenbasis, was hervorragende Möglichkeiten zum Benchmarking eröffnet.
- SAMM wird zwar von einer Community getragen, setzt aber stärker auf die Mitwirkung und Anpassung durch das Unternehmen selbst. Die Wirksamkeit hängt damit vom Engagement und Know-how des einführenden Teams ab.
Welches Framework passt zu Ihren Anforderungen? Sehen Sie sich Was ist BSIMM und wie schneidet es im Vergleich zu SAMM ab? an und finden Sie es heraus.
BSIMM oder SAMM: die richtige Wahl treffen
BSIMM mit seinem präskriptiven, messbasierten Ansatz richtet sich an Unternehmen, die detaillierte Vergleichswerte zu Wettbewerbern der eigenen Branche suchen. Das kann unschätzbar wertvoll sein, wenn Sie ein Sicherheitsprogramm aufbauen wollen, das die Best Practices vergleichbarer Branchen anstrebt.
SAMM bietet dagegen ein flexibles, auf Verbesserung ausgerichtetes Modell. Dieser Ansatz eignet sich eher für Unternehmen, die anpassungsfähige Leitlinien brauchen, die sich mit der eigenen Sicherheitslage weiterentwickeln. SAMM spielt seine Stärken besonders dann aus, wenn Sie Sicherheit nahtlos in die Software-Entwicklung integrieren wollen, ohne sich zu stark festzulegen.
Berücksichtigen Sie außerdem den Reifegrad Ihrer bestehenden Sicherheitspraktiken. BSIMM ist ideal, wenn bereits Sicherheitsmaßnahmen etabliert sind und Sie diese verfeinern möchten. Bauen Sie dagegen ganz neue Sicherheits-Frameworks von Grund auf, liefert SAMM eine strukturierte und zugleich anpassbare Roadmap.
