Security-Architektur für die Unternehmensplattform eines Übertragungsnetzbetreibers

Ausgangslage

Ein Übertragungsnetzbetreiber für Strom entwickelt eine zentrale Unternehmensplattform, an die interne Dienste und externe Systeme angebunden werden. Die Plattform muss die Security- und Compliance-Vorgaben der konzerninternen Regelwerke erfüllen, und das über ihren gesamten Lebenszyklus. Das Plattform- und Security-Architektur-Management suchte dafür vier Monate lang eine erfahrene Beratung in Security- und Plattformarchitektur.

Vorgehen

WCS begann mit einer Ist-Analyse des Entwicklungsstands und arbeitete dann eng mit Architektur, Produktmanagement, Risikomanagement und DevOps zusammen:

• Leitprinzipien der Security-Architektur und die Zugriffskontrollen der Plattform definiert, dazu Secure-Design-Prinzipien über den gesamten Lebenszyklus: Defense in Depth, Least Privilege und sichere Standardkonfigurationen.
• Kritische Integrationspunkte identifiziert und sichere Integrationsmuster zwischen Plattformdiensten und externen Systemen festgelegt.
• Security- und Compliance-Controls aus den konzerninternen Regelwerken in konkrete Architekturentscheidungen übersetzt.
• Architektur-Blueprints geprüft und Workshops und Trainings zu Security Best Practices durchgeführt.
• Prozessleitlinien für Security Reviews und Incident Management erarbeitet und den Chief Risk Officer, das Produktmanagement und DevOps zu Governance und Risikomanagement beraten.

Ergebnis

Die Plattform hat einen dokumentierten Satz an Security-Leitprinzipien und Zugriffskontrollen, auf den sich Architektur, Produkt und Betrieb gemeinsam beziehen. Die Controls aus den Konzernregelwerken sind in Architekturentscheidungen übersetzt, sodass sich nachvollziehen lässt, wo sie umgesetzt werden.

Für Schnittstellen zu externen Systemen gibt es festgelegte Integrationsmuster. Security Reviews und Incident Management folgen beschriebenen Prozessen. Die Teams haben in Workshops und Trainings das Wissen erhalten, neue Komponenten nach denselben Prinzipien zu entwerfen und zu prüfen.