CW: Warum haben Sie sich zum Certified Secure Software Lifecycle Professional (CSSLP) zertifizieren lassen?
WUTZKE: Als Senior Consultant für IT-Sicherheit bei einem IT-Dienstleister betreue ich das Thema sichere Software- beziehungsweise Systementwicklung. Hierbei geht es unter anderem um Projekte zu Schutzbedarfs- und Risikoanalysen, Design-Reviews und Penetrationstests. Der Erwerb des Zertifikats einer international anerkannten Organisation ist für mich neben meinen Projektreferenzen ein weiteres Mittel, meine Kompetenz auf diesem Gebiet nachzuweisen.
CW: Wo gibt es Bedarf für CSSLP-zertifizierte Experten?
WUTZKE: Je später eine Schwachstelle identifiziert wird, umso höher sind in der Regel die Kosten für ihre Beseitigung. Insbesondere dann, wenn das Design der Anwendung komplett überarbeitet werden muss, besteht die Gefahr, dass das Projektbudget überzogen wird. Der Schlüssel zum Erfolg ist also ein Vorgehen, das Sicherheitsaspekte kontinuierlich über den gesamten Softwarelebenszyklus hinweg berücksichtigt und Schwachstellen so früh wie möglich identifiziert.
CW: Was ist das Besondere am CSSLP?
WUTZKE: Das Zertifikat ist nicht auf eine bestimmte Programmiersprache oder einen einzigen Verantwortungsbereich beschränkt. Dadurch kann bei allen, die am Software-Lebenszyklus beteiligt sind, eine solide Wissensgrundlage geschaffen werden, die für die Entwicklung sicherer Software notwendig ist. Die Zertifizierung ist so konzipiert, dass Teilnehmern die Fähigkeit attestiert werden kann, Sicherheitsanforderungen in der Softwareentwicklung zu identifizieren und durch geeignete Maßnahmen umzusetzen. Hauptziel ist dabei die Vermeidung typischer Schwachstellen. (hk)
Das Sicherheitszertifikat
Das Ausbildung zum Certified Secure Software Lifecycle Professional (CSSLP) unterteilt sich in sieben Bereiche, so genannte Domains.
Dazu gehören:
grundlegende SoftwaresicherheitsKonzepte;
Softwareanforderungen;
Design;
Implementierung und Coding;
Prüfung;
Einsatz, Betrieb, Wartung und
Entsorgung von Software.
Zielgruppe für so eine Ausbildung sind:
Softwareentwickler;
Softwarearchitekten;
Projekt-Manager;
Software-Qualitätssicherer;
Qualitätssicherheits-Prüfer sowie
Business-Analysten.
Bezüglich Prüfung und Akzeptanz zeigt der Kurs Methoden auf, wie sich die Sicherheitsfunktionalität und ihre Widerstandsfähigkeit gegen Angriffe sowohl auf Modulebene als auch für die gesamte Software adäquat testen lässt.
Informationen zur Ausbildung sind beim Zertifizierungskonsortium (ICS)2 (www.ics2.org) erhältlich.