Eliciting Requirements for a Company-wide Data Leakage Prevention - - PowerPoint PPT Presentation

▶
eliciting requirements for a company wide data leakage
SMART_READER_LITE
LIVE PREVIEW

Eliciting Requirements for a Company-wide Data Leakage Prevention - - PowerPoint PPT Presentation

Dec 04, 2023 107 likes •320 views

Eliciting Requirements for a Company-wide Data Leakage Prevention System Stefan Grtner, Svenja Schulz, and Kurt Schneider Software Engineering Group, Leibniz Universitt Hannover, Germany Steffen Frster Continental Information Technology

slide-1
SLIDE 1

Eliciting Requirements for a Company-wide Data Leakage Prevention System

Stefan Gärtner, Svenja Schulz, and Kurt Schneider

Software Engineering Group, Leibniz Universität Hannover, Germany

Steffen Förster

Continental Information Technology Hannover, Germany

Fachgruppentreffen Requirements Engineering 2014

slide-2
SLIDE 2

Agenda

  • Motivation and Forschungsziele
  • Data Leakage Prevention (DLP)
  • Anforderungserhebung für DLP in komplexen

Arbeitssystemen

  • Zusammenfassung und Ausblick

2 28.11.2014 Gärtner: Maintaining Requirements by Incorporating Security Knowledge

slide-3
SLIDE 3

Motivation

  • Arbeitssysteme sind soziotechnische Systeme, bei denen der

Mensch zur Erfüllung einer Arbeitsaufgabe mit Betriebs- mitteln zusammenwirkt.

3 28.11.2014 Eliciting Requirements for a Company-wide DLP System

[Sydow1985]

Aufgabe Technologie Mitglieder Rollen/Struktur

Soziales Subsystem Technisches Subsystem Input Output Umwelt

slide-4
SLIDE 4

Motivation

  • Arbeitssysteme müssen bestimmte Qualitätseigenschaften

und -ziele erfüllen

  • Erhebung von Anforderungen in Arbeitssystemen ist

schwierig

– Dynamischen Umwelt und evolvierendes Wissen – Heterogener Nutzerkreis – Vielfältige Technologien und Aufgaben

  • Erhebungstechniken müssen zielgerichtet kombiniert werden,

um die verschiedenen Aspekte von Arbeitssystemen abzudecken

4 28.11.2014 Eliciting Requirements for a Company-wide DLP System

slide-5
SLIDE 5

Data Leakage Prevention (DLP)

  • Vertrauliche Daten im Unternehmen sind wertvolle

Ressourcen, die vor Offenlegung geschützt werden müssen

  • Nicht nur Bedrohung durch Angriffe von außen, sondern

auch von innen

  • Data Leakage Prevention (DLP) kann eingesetzt werden, um

Offenlegung von Daten zu verhindern

  • Erhebung von Anforderungen im Arbeitssystem zur

Konfiguration von DLP-Systemen

5 28.11.2014 Eliciting Requirements for a Company-wide DLP System

slide-6
SLIDE 6

Anforderungserhebung für DLP

  • Erhebung von Informationsflüssen in Bezug auf vertrauliche

Daten in Arbeitssystemen

6 28.11.2014 Eliciting Requirements for a Company-wide DLP System

Identification Pilot Monitoring Interviewing

FLOW Interviews Assoziations- analyse

slide-7
SLIDE 7

DLP bei Continental Tires

7 28.11.2014 Eliciting Requirements for a Company-wide DLP System

Monitoring Analysis Database Reaction Mitglieder Monitoring Analysis

slide-8
SLIDE 8

Ablauf der Vorstudie

  • 1. Zeitraum für Pilot Monitoring von April bis August 2014
  • 2. Vorbereitung der Interviews und Auswahl der Personen
  • 3. Durchführung der Interviews von Juli bis August 2014

8 28.11.2014 Eliciting Requirements for a Company-wide DLP System

Pilot Monitoring Interviewing

Vorbereitung Durchführung

slide-9
SLIDE 9

Pilot Monitoring

  • Datenerhebung

– 13 Personen für Pilot Monitoring (End-Point Monitoring) – Durchschnittlich ca. 6 Ereignisse pro Tag – 861 Ereignisse insgesamt

  • Folgende Informationen wurden erhoben

– Datum – Zugriffsart – Nutzer – Name der betroffenen Policy sowie Schlüsselworte – Dateiname und Anwendung – Optional: Justification

9 28.11.2014 Eliciting Requirements for a Company-wide DLP System

slide-10
SLIDE 10

Statistik zu Zugriffsart

10 28.11.2014 Eliciting Requirements for a Company-wide DLP System

slide-11
SLIDE 11

Statistik zu Dateitypen

11 28.11.2014 Eliciting Requirements for a Company-wide DLP System

slide-12
SLIDE 12

Assoziationsanalyse

  • Zusammenhänge und Regeln in den aufgenommenen Daten

ermitteln

  • Korrelation zwischen gemeinsam auftretenden Eigenschaften

12 28.11.2014 Eliciting Requirements for a Company-wide DLP System

ID A B P 1 xls U1 2 doc U2 3 xls U1 1 xls P 1 1 1

AP

Rohdaten Regeln und Zusammen- hänge Data Mining (z.B. RapidMiner) Transformierte Daten

slide-13
SLIDE 13

Vorbereitung der Interviews

  • Rollen bei denen das DLP-System im Testbetrieb eingesetzt

würde

– Leitende Angestellte – Unterstützende Angestellte – Fachangestellte

  • Basierend auf den Rollen wurden 4 Mitarbeitern für

Interviews ausgewählt

  • Anhand der Interviews soll der Informationsfluss für

bestimmte Aufgaben und Rollen im Unternehmen erfasst werden  FLOW Interviews

13 28.11.2014 Eliciting Requirements for a Company-wide DLP System

slide-14
SLIDE 14

FLOW Interviews (I)

14 28.11.2014 Eliciting Requirements for a Company-wide DLP System

[Stapel2009,Stapel2012]

slide-15
SLIDE 15

FLOW Interviews (II)

15 28.11.2014 Eliciting Requirements for a Company-wide DLP System

[Stapel2009,Stapel2012]

slide-16
SLIDE 16

Vorläufige Auswertung (I)

  • Im Interview wiedergegebenes Verhalten deckt sich

weitestgehend mit den aufgenommenen Daten

  • Identifikation von Technologien im Unternehmen, die nicht

vom DLP-System überwacht werden (z.B. Sharepoint, ContView, u.a.)

  • Testergebnisse aus Experimenten wurden als vertrauliche

Daten identifiziert

  • Einige Aufgaben erfordern umfangreiche Zusammenarbeit

und Austausch von Daten mit externen Personen.

16 28.11.2014 Eliciting Requirements for a Company-wide DLP System

slide-17
SLIDE 17

Vorläufige Auswertung (II)

  • Informationen aus dem Monitoring lassen sich für die

Interviews verwenden d.h. Auffälligkeiten nachfragen

  • Einschätzung über Vertraulichkeit der Daten unterscheidet

sich stark.

  • Teilweise optimierbare Verhaltensweisen in alltägliche

Praktiken beschrieben.

  • Keine detaillierten Angaben im Interview zur Nutzung

bestimmter Technologien für bestimmte Aufgaben (z.B. Häufigkeit, u.a.)

17 28.11.2014 Eliciting Requirements for a Company-wide DLP System

slide-18
SLIDE 18

Vergleich der Erhebungstechniken

18 28.11.2014 Eliciting Requirements for a Company-wide DLP System

Pilot Monitoring Interviewing Stärken

  • Automatisierte

Aufnahme/Auswertung von feingranulare Informationen über die Verwendung der Technologie.

  • Es können neue Informationen

über die Umgebung und dem Arbeitssystem erhoben werden.

  • Zusammenhänge zwischen

den Aufgaben und der verwendeten Technologie lassen sich erheben Schwächen

  • Es kann nur aufgezeichnet

werden, was bekannt ist.

  • Analyse der Daten kann u.U.

nicht manuell durchgeführt werden.

  • Es lassen sich nur Zugriffe

m.H. der Technologie erfassen.

  • Manuelle Durchführung ist

aufwendig und bindet Ressourcen.

  • Detaillierte Beschreibung über

Verwendung einer Technologie ist ungenau/unvollständig.

slide-19
SLIDE 19

Zusammenfassung und Ausblick

  • Kombination von Erhebungstechniken für die

soziotechnische Systeme (Arbeitssysteme)

  • Vorstudie für die Ermittlung von Anforderungen für DLP-

Systeme bei Continental

  • Abwägung der Stärken und Schwächen der eingesetzten

Erhebungstechniken

  • Ausblick:

– In Vorstudie nur kleine Datenmenge genutzt  Studie ausweiten für Validierung des Ansatzes. – Ableitung von konkreten Anforderung für DLP-Systeme aus den Daten.

19 28.11.2014 Eliciting Requirements for a Company-wide DLP System

slide-20
SLIDE 20

Referenzen

[Sydow1985] Jörg Sydow: Der soziotechnische Ansatz der Arbeits- und Organisationsgestaltung: Darstellung, Kritik, Weiterentwicklung, Campus Verlag, Frankfurt am Main, 1985. [Stapel2009] Kai Stapel, Eric Knauss, Kurt Schneider: Using FLOW to Improve Communication of Requirements in Globally Distributed Software Projects, In Workshop on Collaboration and Intercultural Issues on Requirements: Communication, Understanding and Softskills (CIRCUS), 2009. [Stapel2012] Kai Stapel, Kurt Schneider: Managing Knowledge on Communication and Information Flow in Global Software Projects, In Expert Systems - Special Issue on Knowledge Engineering in Global Software Development, 2012

20 28.11.2014 Eliciting Requirements for a Company-wide DLP System