Business Process Security Analysis – Design Time, Run Time, Audit Time

Abstract

This paper reports on approaches and tool support for security and compliance analysis of executable business processes, so-called workflows, employed in the GESINE project. Specifically, focusing on the business layer and the corresponding workflow entities along the business process management lifecycle (i. e., workflow model, instance and event log), the techniques reported on in this paper cover the design time, run time and audit time analysis. Their goal is to verify the adherence to security requirements, such as the four-eyes principle and separation and binding of duties. Altogether, the complementary techniques described in this paper enable a holistic approach to ensure the security of workflows.Zusammenfassung Dieser Artikel stellt Ansätze und Tools zur Sicherheitsanalyse von ausführbaren Geschäfts-prozessen, sogenannten Workflows, die im Projekt GESINE untersucht und eingesetzt werden, vor. Ein spezieller Fokus wird dabei auf der Business-Ebene und die damit entlang des BPMLebenszyklus verbundenen Workflow-Artefakte gelegt (d. h. Modell-, Instanz-und Event-Logs). Die hier vorgestellten Techniken decken Designzeit, Laufzeit und log-basierte Analysen ab. Ziel ist die Einhaltung sicherheitsbezogener Anforderungen an Workflows, wie etwa das Vier-Augen-Prinzip, nachzuweisen. Es wird aufgezeigt, dass die vorgestellten Techniken komplementär zueinander sind und die gemeinsame Nutzung daher zu einer ganzheitlicheren Betrachtungsweise von Sicherheitsanforderungen auf der Ebene von Workflows führt.

A Cross-Layer Security Analysis for Process-Aware Information Systems

“…When considering security from a holistic, engineering point of view, we have to assess not only the system and the architecture, but also the human-related aspects of the business process. To establish a structured view of the PAIS architecture, three layers that are relevant to security analysis can be identified (e.g., [3]):…”