Projektziele
	Für wen sollte ORKA interessant sein?
	Beitrag der Firma Parks Informatik GmbH
	Externe Projektpartner

Weitere Informationen

Homepage des ORKA- Projekts

Forschungsprojekt ORKA - Organisatorische Kontrollarchitektur

Das Forschungsprojekt ORKA entwickelt fortgeschrittene Mechanismen für das rollenbasierte Berechtigungsmanagement. Es wird gefördert vom Bundesministerium für Bildung und Forschung (BMBF) im Rahmen der Forschungsoffensive "Software Engineering 2006".

Homepage des ORKA-Projekts

Das ORKA-Projekt in Stichworten

	Modellierung organisatorischer Richtlinien
	Sicherheit für Workflows
	Ganzheitliche Betrachtung von Sicherheitspolitiken von der Spezifikation bis zur Durchsetzung
	Kontinuierliche Anpassung von Sicherheitspolitiken an das organisatorische Umfeld
	Generische Architektur für die Integration in (ERP-)Systeme
	Flexibilität und Benutzbarkeit im Fokus

Projektziele

Ziel des Projekts ORKA ist eine Symbiose von organisatorischer Kontrolle, die im professionellen Bereich notwendig ist, beispielsweise bei der Umsetzung von Geschäftsprozessen auf IT-Systeme, und digitalem Berechtigungsmanagement. Dies beinhaltet die Entwicklung und Implementierung von ganzheitlichen Sicherheitskonzepten für rollenbasierte Sicherheitspolitiken unter Berücksichtigung organisatorischer Richtlinien – die organisatorische Kontrollarchitektur.

ORKA betrachtet Sicherheitspolitiken in einer ganzheitlichen Weise, d.h. von der Spezifikation und Administration der Sicherheitspolitik über die kontinuierliche Überprüfung der Einhaltung von Sicherheitszielen bis hin zu deren Durchsetzung in den angeschlossenen Systemen.

Ein weiteres Ziel von ORKA ist es, die Sicherheit von Workflow-basierten Systemen zu erhöhen. Dies geschieht unter anderem durch die Anwendung organisatorischer Kontrollprinzipien beim dynamischen Berechtigungsmanagement. Die ORKA-Architektur wird verschiedenste Arten von organisatorischen Regeln unterstützen, überprüfen und automatisiert durchsetzen. Dabei können die Regeln als Berechtigungen, Verpflichtungen, Verboten, Beschränkungen oder Delegationen formuliert werden.

Das ORKA-Berechtigungsmanagement zeichnet sich dadurch aus, dass bereits bei der Spezifikation von Sicherheitspolitiken organisatorische Kontrollprinzipien integriert werden. Hierfür wird eine geeignete Beschreibungssprache für Sicherheitspolitiken entwickelt, die es erlaubt, organisatorische Kontrollprinzipien in Form von sog. Authorization Constraints zu modellieren. Durch geeignete Benutzungsschnittstellen können Administratoren jederzeit Zugriff auf alle notwendigen Informationen der Sicherheitspolitik erlangen und die im jeweiligen Kontext notwendigen Operationen ausführen. Analyse-Werkzeuge erlauben es dem Administrator, Fehler und Inkonsistenzen in der Beschreibung der Sicherheitspolitik aufzudecken und zu beheben.

ORKA entwickelt eine generische Architektur für die Integration in existierende Enterprise Resource Planning (ERP)-Systeme. Hierbei liegt der Fokus auf der Flexiblität und der einfachen Integrierbarkeit der ORKA-Architektur. Die Durchsetzungskomponente muss hierbei insbesondere mit den hoch-dynamischen Änderungen der Sicherheitspolitik und des Anwendungskontextes umgehen können, welche die Anpassung der Sicherheitspolitiken an das organisatorische Umfeld mittels Workflows und organisatorischer Prinzipien mit sich bringt.

Für wen sollte ORKA interessant sein?

ORKA will Unternehmen zeigen, dass Werkzeuge zur Modellierung von Berechtigungen auf Basis der organisatorischen Struktur unter Einbeziehung organisatorischer Kontrollprinzipien höhere IT-Sicherheit bringen können. Durch die Vereinfachung bei der Spezifikation und Administration werden Fehler und Inkonsistenzen vermieden bzw. automatisch korrigiert. Hierdurch kann es zu einem positiven Return of Security Invest (ROSI) kommen. Der verringerte Aufwand für Berechtigungsmanagement und Revision kann Unternehmen überzeugen, Projekte zur Verbesserung der Prozesse in der IT-Sicherheit mit höherer Priorität anzugehen.

Beitrag der Firma Parks Informatik GmbH

Durch die Arbeit in verschiedenen Projekten im Bereich Sicherheits- und Berechtigungsmanagement und der Entwicklung des Produkts Parks Security Management (PSM) besitzt die Parks Informatik GmbH ein breites Know-How in der sicheren Verwaltung von IT-Systemen.

Die Parks Informatik GmbH engagiert sich vor allem in den ORKA-Themenbereichen ADMIN und ENFORCE.

Obwohl die Administration durch den Einsatz von graphischen Editoren für die Darstellung von Benutzer- und Berechtigungsbeziehungen erleichtert worden ist, sind weitere Verbesserungen erstrebenswert, insbesondere in Bereich der Prognose von Änderungen auf den Systemstatus durch einzelne Operationen. So sollen dem Administrator verschiedene Lösungswege gezeigt werden, um eine konkrete fachliche Änderungsanforderung umzusetzen. So kann der Komfort bei der Systemadministration erhöht und eine höhere Sicherheit durch mehr Transparenz erreicht werden.

Der Themenbereich ADMIN beschäftigt sich mit der effizienten, werkzeuggestützten Verwaltung von Sicherheitspolitiken. Neben der Durchsetzbarkeit und der Korrektheit von Sicherheitspolitiken ist die Wartbarkeit extrem wichtig. Der Themenbereich ADMIN umfasst daher alle Aspekte der Administration von Sicherheitspolitiken, sowie die Entwicklung geeigneter Benutzungsschnittstellen, die es dem Administrator erlauben, trotz der Komplexität einer Sicherheitspolitik, zu jedem Zeitpunkt die relevanten Information aus der Policy dargestellt zu bekommen und im jeweiligen Kontext Zugriff auf die notwendigen Operationen zu erhalten.

Gerade bei der zunehmenden Integration von Web-Services im Rahmen des e-Commerce zwischen Unternehmen wächst der Bedarf an sicherer Verwaltung der angeschlossenen Systeme. Auch wenn die Systeme in der Zukunft nicht genau charakterisiert werden können, kann man sicher sagen, dass sie komplex, stark dezentralisiert, umfassend, unternehmensübergreifend und wandlungsfähig sein werden. Aktuelle inselbasierte Sicherheitssysteme können solche Umgebungen nicht mehr sicher administrieren. Zur Zeit werden viele Projekte zur Integration der Systeme nicht durchgeführt, weil die Sicherheitsprobleme nicht gelöst werden können. Unternehmen entgehen so wichtige Möglichkeiten zur Steigerung der Effizienz der Geschäftsprozesse.

Zur Lösung dieser Probleme behandelt der Themenbereich ENFORCE u.a. die Aspekte Entwicklung einer zentralen Autorisierungskomponente, Durchsetzung der rollenbasierten Sicherheitspolitiken sowie die Integration mit Web-Services und Workflow-Engines.

Externe Projektpartner

	Fraunhofer Institut für Sichere Informations-Technologie (SIT)
	Technologie-Zentrum Informatik (TZI), Universität Bremen
	EUROSEC GmbH Chiffriertechnik & Sicherheit
	SAP AG
	Hamburger Informatik Technologie-Center (HITeC) e.V., Universität Hamburg