Die GVB Gruppe ist durch die Gebäudeversicherung Bern (GVB) einerseits die obligatorische Gebäudeversicherung für Immobilienbesitzer im Kanton Bern, bietet aber andererseits auch freiwillige Versicherungen für die ganze Schweiz über die GVB Privatversicherungen AG an. Sie bewegt sich in einem dynamischen Markt und nutzt die Chancen der Digitalisierung und Innovationen.

Seit 2012 unterstützen die Mitarbeiten der Pentryx AG (ehemals advact) die GVB durch regelmässige Penetrationstests und Sicherheitsaudits. Durch die direkte Einbindung ins Ticketing-System können die Product Owner einfach und ohne viel administrativen Aufwand einen Pentest für ihre Anwendung beauftragen.

Kurze Softwareentwicklungszyklen als Herausforderung

Um die Chancen der Digitalisierung konsequent zu nutzen, werden bei der GVB laufend neue Anwendungen – Kundenportale, automatisierte Meldeprozesse, mobile Anwendungen – umgesetzt und ausgerollt. Ein agiler Software-Entwicklungsprozess stellt sicher, dass neue Lösungen rasch und auf Kundenbedürfnisse ausgerichtet entwickelt werden.

Cybersecurity ist für die GVB ein zentrales Thema. Trotz neuen Lösungen soll die Angriffsfläche nicht grösser werden. Gleichzeitig ist time-to-market entscheidend, es werden kurze Entwicklungszyklen angestrebt. Zudem werden auch laufend neue Technologien eingesetzt, zum Beispiel der KI-unterstützt Voicebot "Berna"

Umsetzungen durchlaufen definierte Security Gates, in deren Rahmen je nach Schutzbedarf unterschiedliche Sicherheitsmassnahmen umgesetzt werden, beispielsweise die Durchführung eines Penetrationstests. Damit diese effizient und flexibel durchgeführt werden können, ist es entscheidend, dass Projektverantwortliche sie mit möglichst geringen administrativen Hürden beauftragen können.. Nur so werden diese Tests zeitnah eingeplant und auch durchgeführt und nicht dann «später nachgeholt».

Ins Ticketing-System integrierter Pentest-Partner

Um in Projekten einfach Penetrationstests beauftragen zu können, wurde Pentryx als Pentest-Partner direkt ins Ticketing-System der GVB integriert: Product Owner können einfach einen Petest für ihre Anwendungen beauftragen, indem ein Ticket bzw. eine Story erstellt wird. Diese wird dem Pentest-Partner zugewiesen, nach einer Aufwandschätzung und der Freigabe durch den CISO der GVB kann der Pentest gestartet werden. Werden Schwachstellen gefunden, werden wiederum direkt Tickets im System erstellt, welches das einfache Tracking der Massnahmenumsetzung durch Projektleiter und den CISO erlaubt.

Pentryx als flexibler Partner

Dank der Integration von Pentryx als Partner für Penetrationstests und Sicherheitsüberprüfungen, können Projektleiter und Produktverantwortliche rasch, mit wenig administrativem Aufwand dafür sorgen, dass die Sicherheit der Anwendungen überprüft und Schwachstellen behoben werden können. Die Angriffsfläche der GVB wird dadurch laufend verifiziert und gezielt verbessert.