Inspektion

Annerose, die Sicherheitsbeauftragte, hat eine Richtlinie für die Entwicklung sicherer Software geschrieben. Nach monatelanger Arbeit ist die Richtlinie nun fertig und soll verbindlich für alle Projekte und Verfahren behördenweit eingeführt werden. Aufgrund der strategischen Bedeutung, aber auch der Brisanz des Themas (in den letzten Monaten waren immer wieder Angriffe auf die Systeme der Behörde festgestellt worden), entscheidet sie, dass für dieses Dokument nur ein sehr formales Review angemessen ist. Jetzt müssen nicht nur Fachexperten die Richtlinie bewerten, sondern auch Kolleginnen und Kollegen aus verschiedenen Referaten mit unterschiedlichen Kenntnissen im Bereich IT-Sicherheit, denn diese sollen ja letztendlich die Richtlinie umsetzen. Also entschließt sie sich für eine Inspektion.

Sie fragt Kathie, eine erfahrene Komponentenverantwortliche, ob sie das Review leiten möchte. Kathie sagt direkt zu und geht im Kopf schon mal die einzelnen Rollen der Inspektion durch:
"Auf jeden Fall brauchen wir einen geschulten Moderator", denkt sie. Sie weiß wie wichtig es ist, dass die Sitzung professionell geleitet wird. Beim letzten Mal hatte sie auf einen Moderator verzichtet. Das war keine gute Idee. Der Autor fühlte sich angegriffen und verteidigte sich unentwegt. Dadurch wurde jeder Befund der Gutachter ausführlich diskutiert, und man kam im Review kaum voran. "Außerdem war die Atmosphäre, nun sagen wir mal, herausfordernd", erinnert sich Kathie schaudernd. Davor hatte sie einmal Monika erlebt, wie diese ein Review gekonnt moderierte. "Mit Monika wird die Inspektion auf jeden Fall ein Erfolg", denkt sie.

"Wer soll die Sicherheitsrichtlinie unter die Lupe nehmen", überlegen Annerose und Kathie. Da wäre Theo, der Testmanager. Außerdem Rita, sie hat schon an vielen Reviews als Gutachterin teilgenommen. Volker aus dem Wartungsteam hat einen guten Blick für technische Abläufe. Claudia kommt aus der Fachabteilung und wird den Leitfaden daher aus einem ganz anderen Blickwinkel betrachten.

"So, haben wir alle Rollen verteilt?", überlegt Kathie. "Ein Protokollant, wie konnte ich das vergessen?", fällt ihr noch ein. Diese Rolle wird Martha aus dem Projektbüro übernehmen. Sie hat bereits einige Protokolle verfasst und hat tolle Vorlagen.

Kathie erinnert sich an eine weitere Besonderheit der Inspektion. Diese kann nur sinnvoll durchgeführt werden, wenn gegen klare Vorgabedokumente geprüft werden kann. Sie muss also dafür sorgen, dass allen Reviewern bekannt ist, auf welchen Grundlagen die Richtlinie basiert. Auf ihren Hinweis hin stellt Annerose die notwendigen Dokumente zusammen. Außerdem schreibt sie eine Checkliste für die Reviewer. Dokumentation und Checkliste lässt sie dann Kathie zukommen.

Kathie reserviert einen Raum und verschickt eine Einladungs-Mail an alle Teilnehmer. Mit der E-Mail verteilt Kathie dann auch das Prüfobjekt, die Sicherheitsrichtlinie, die Grundlagendokumente und die Checkliste und bittet alle Beteiligten sich individuell auf den Termin vorzubereiten. Damit alle dafür ausreichend Zeit haben wählt sie einen Termin in vier Wochen. Zu diesem Termin bringen die Reviewer dann ihre individuelle Befundliste mit.

Die Reviewsitzung verläuft planmäßig. Monika, die Moderatorin, stellt alle Teilnehmer und deren Rollen vor und gibt eine kurze Einführung in das Sicherheitskonzept. Nun geht es darum, die Befunde der Reviewer zusammenzutragen und zu bewerten. Wichtig ist, dass Dubletten und falsche Befunde eliminiert werden.

Die Vorbereitung auf den Termin und der Termin selber sind zwar sehr aufwendig, aber durch die unauffällige Moderation von Monika, der es immer wieder gelingt den Fokus auf das Wesentliche zu lenken, gelingt es in entspannter Atmosphäre dieses wichtige Thema unter die Lupe zu nehmen. Die Ergebnisse sind eine gemeinsame Befundliste und Empfehlungen, die den Gruppenkonsens repräsentieren.

Am Ende der Sitzung erstellt Kathie noch den Inspektionsbericht. Nach dem Review muss nun von Annerose entschieden werden, welche Änderungen angegangen werden und wie und wer die Änderungen durchführt. Sie wird sich dann um die Nachkontrolle selber kümmern.