Bundesamt für Sicherheit in der Informationstechnik

M 2.561 Erstellen spezifikationskonformer SOA-Implementierungen und Konfigurationen

Verantwortlich für Initiierung: Leiter IT

Verantwortlich für Umsetzung: Administrator, Leiter IT

Implementierungen und Konfigurationen in serviceorientierten Architekturen ( SOA ) müssen spezifikationskonform zu Standards ( z. B. WS-Security) sein. Dies ist mit geeigneten technischen Hilfsmitteln und organisatorischen Prozessen ( z. B. Vier-Augen-Prinzip) sicherzustellen. Zudem sollten unerprobte oder wenig verbreitete Standards und Frameworks gemieden werden.

Da insbesondere auf dem Gebiet der serviceorientierten Architekturen die Technik schnell fortschreitet, ist eine kontinuierliche Weiterbildung hinsichtlich aktueller Standards, Protokolle, Architekturansätze und Techniken zwingend erforderlich.

Institutionen sollten möglichst standardisierte Netzprotokolle einsetzen, die auch für den entsprechenden Anwendungszweck entwickelt wurden und über integrierte Sicherheitsmechanismen verfügen.

Werden in einer Architektur Protokolle genutzt, die keine angemessenen Schutzmechanismen bereitstellen, sollten zusätzliche Techniken bzw. alternative Protokolle verwendet werden, um ein angemessenes Sicherheitsniveau zu gewährleisten. Insbesondere ältere Netzprotokolle sind häufig nicht genügend gegen Angriffe abgesichert. So verfügt zum Beispiel FTP (File Transfer Protocol) über keine Schutzmechanismen hinsichtlich der Authentizität, Integrität oder Vertraulichkeit von Nachrichten. Diese Funktionen müssen auf andere Weise bereitgestellt werden.

Es ist auch darauf zu achten, dass nur Schlüssellängen und kryptographische Verfahren eingesetzt werden, die ein ausreichendes Maß an Sicherheit bieten, z. B. SOAP mit SHA -512 und AES -256 (siehe M 2.164 Auswahl eines geeigneten kryptographischen Verfahrens ).

Stand: 15. EL Stand 2016