Matias Madou, Ph.D.
Bevor ich mein eigenes Unternehmen gründete, half ich bei der Entwicklung von Tools, die ziemlich gut darin waren, Sicherheitslücken im Code zu finden, aber sie gaben keine kontextsensitiven Anleitungen oder lösten Sicherheitsprobleme. Ich wollte eine Lösung entwickeln, die Entwicklern hilft, sicheren Code zu schreiben, die sie beim Schreiben in Echtzeit unterstützt und ihnen hilft, Probleme zu vermeiden und deren Behebung zu einem Kinderspiel zu machen. Entwickler benötigten ihren eigenen Sensei für sicheres Programmieren.
Lorem ipsum diam quis enim lobortis scelerisque fermentum dui faucibus in ornare quam viverra orci sagittis eu volutpat odio facilisis.
Matias Madou, Ph.D.
Matias ist Forscher und Entwickler mit mehr als 15 Jahren praktischer Erfahrung in der Softwaresicherheit. Er hat Lösungen für Unternehmen wie Fortify Software und sein eigenes Unternehmen Sensei Security entwickelt. Im Laufe seiner Karriere hat Matias mehrere Forschungsprojekte zur Anwendungssicherheit geleitet, die zu kommerziellen Produkten geführt haben, und verfügt über mehr als 10 Patente. Wenn er nicht an seinem Schreibtisch ist, war Matias als Ausbilder für fortgeschrittene Schulungen zur Anwendungssicherheit tätig und hält regelmäßig Vorträge auf globalen Konferenzen wie RSA Conference, Black Hat, DefCon, BSIMM, OWASP AppSec und BruCon.
Matias hat an der Universität Gent in Computertechnik promoviert, wo er Anwendungssicherheit durch Programmverschleierung studierte, um das Innenleben einer Anwendung zu verbergen.
Programmierer erobern die Sicherheitsinfrastruktur als Codeserie — Business Logic
Diese Sicherheitsanfälligkeit kann auftreten, wenn Programmierer die Regeln der Geschäftslogik nicht ordnungsgemäß implementieren, wodurch ihre Anwendungen anfällig für verschiedene Arten von Angriffen werden könnten, falls ein böswilliger Benutzer sie ausnutzt.
Vor aller Augen versteckt: Warum der SolarWinds-Angriff mehr als nur ein bösartiges Cyberrisiko aufgedeckt hat
Wenn es jemals etwas gab, das Weihnachten in der Cybersicherheitsbranche ruinieren könnte, dann ist es eine verheerende Datenschutzverletzung, die auf dem besten Weg ist, das größte Cyberspionageereignis zu werden, von dem die US-Regierung je betroffen ist.
Die Hauptursache für den Equifax-Hack ist die Sicherheitsanfälligkeit in Web-Apps
Die Hauptursache für den Equifax-Hack ist erneut eine Sicherheitslücke in einer Web-App. Diese Art von Sicherheitslücken gibt es schon seit über einem Jahrzehnt, aber sie sind auch heute noch so relevant.
OWASPs Listenwechsel 2021: Ein neuer Schlachtplan und ein neuer Hauptfeind
Injection-Angriffe, der berüchtigte König der Sicherheitslücken (nach Kategorien), haben den ersten Platz verloren, weil die Zugriffskontrolle als schlimmste der schlimmsten Bedrohungen gilt, und Entwickler müssen dies zur Kenntnis nehmen.
Coder Conquer Security OWASP Top 10 API-Serie — Autorisierung auf unterbrochener Objektebene
Im Allgemeinen sollten Autorisierungsprüfungen auf Objektebene für jede Funktion enthalten sein, die mithilfe einer Benutzereingabe auf eine Datenquelle zugreift. Andernfalls besteht ein großes Risiko.
Zuerst zuschlagen, hart zuschlagen: Warum kuratierte Kurse zum sicheren Programmieren Cyberbedrohungen gnadenlos begegnen
Ein kuratierter Kurs, der genau die Module enthält, in denen Ihre Entwickler ihre Fähigkeiten unter Beweis stellen müssen, wird eine starke Wirkung haben und es ihnen ermöglichen, sofort loszulegen, wenn es um bewährte Sicherheitsmethoden in ihrer täglichen Arbeit geht.
ClickShare-Sicherheitslücken wurden möglicherweise gepatcht, verbergen jedoch ein viel größeres Problem
Es ist nicht einfach, Sicherheitsupdates wieder in den Entwicklungsprozess zu verlagern, aber in der heutigen Welt, in der selbst scheinbar einfache Geräte wie Präsentationstools überraschend komplex sind und auch mit allem anderen vernetzt sind, notwendig.
Webinar: Sind Sie bereit, das „Sec“ in DevOps einzubauen?
Wir müssen ein Stadium erreichen, in dem Sicherheit als gemeinsame Verantwortung der gesamten Organisation und des gesamten SDLC betrachtet wird. Dies ist sicherlich möglich, wenn Sie sich für eine vollwertige, äußerst unterstützende DevSecOps-Umgebung entscheiden.
Coders Conquer Security OWASP Top 10 API-Serie — Fehlende Zugriffskontrolle auf Funktionsebene
Die fehlende Sicherheitslücke bei der Zugriffskontrolle auf Funktionsebene ermöglicht es Benutzern, Funktionen auszuführen, die eingeschränkt werden sollten, oder ihnen den Zugriff auf Ressourcen zu ermöglichen, die geschützt werden sollten.
Coder Conquer Security OWASP Top 10 API-Serie — Fehlerhafte Authentifizierung
Die Authentifizierung dient oft als Gateway sowohl zu einer Anwendung als auch potenziell zum Rest eines Netzwerks, sodass sie ein verlockendes Ziel für Angreifer sind. Wenn ein Authentifizierungsprozess defekt oder anfällig ist, besteht eine gute Chance, dass Angreifer diese Schwachstelle entdecken und ausnutzen.
Prävention im Zeitalter der unendlichen Angriffsfläche
Softwareentwicklung ist keine Insel mehr, und wenn wir alle Aspekte des softwaregestützten Risikos berücksichtigen — von der Cloud über eingebettete Systeme in Geräten und Fahrzeugen bis hin zu unserer kritischen Infrastruktur, ganz zu schweigen von den APIs, die alles verbinden —, ist die Angriffsfläche grenzenlos und außer Kontrolle geraten.
Legen Softwareanbieter genauso viel Wert auf Sicherheit wie Sie?
Man kann mit Sicherheit sagen, dass die letzten Jahre die Cybersicherheitsstandards grundlegend verändert haben, und obwohl dies nicht verpflichtend ist, sollte es für alle Unternehmen ein Ziel sein, diesem Beispiel zu folgen und die Sicherheitspraktiken der Anbieter unter die Lupe zu nehmen, als ob sie Teil ihres eigenen internen Sicherheitsprogramms wären.
Coder Conquer Security OWASP Top 10 API-Serie — Massenzuweisung
Die Sicherheitslücke bei Massenzuweisungen entstand, weil viele moderne Frameworks Entwickler dazu ermutigten, Funktionen zu verwenden, die Eingaben von Clients automatisch in Codevariablen und interne Objekte binden.
Hör auf, meinen Arbeitsablauf zu stören! Wie Sie das richtige Sicherheitstraining zur richtigen Zeit erhalten
Wir begannen darüber nachzudenken, was wir tun könnten, um die Hürde zu verringern, die einer Schulung entgegensteht, wenn Sie sie benötigen, und wie Micro-Learning reibungsloser in Ihren Arbeitsablauf implementiert werden könnte.
Schlechte Codierungsmuster können zu großen Sicherheitsproblemen führen... warum fördern wir sie also?
Entwickler werden keinen positiven Einfluss auf die Reduzierung von Sicherheitslücken haben, wenn sie nicht ein grundlegendes Verständnis dafür haben, wie die Sicherheitslücken funktionieren, warum sie gefährlich sind, welche Muster sie verursachen und welche Design- oder Codierungsmuster sie in einem Kontext beheben, der in ihrer Welt Sinn macht. Ein gerüsteter Ansatz ermöglicht es mehreren Wissensebenen, sich ein vollständiges Bild davon zu machen, was es heißt, sicher zu programmieren, eine Codebasis zu verteidigen und sich als sicherheitsbewusster Entwickler zu profilieren.
Ergreifen Sie Zero-Day-Angriffe. Es ist an der Zeit, eine Verteidigungslinie zu planen.
Zero-Day-Angriffe geben Entwicklern per Definition keine Zeit, um bestehende Sicherheitslücken zu finden und zu beheben, die ausgenutzt werden könnten, da der Bedrohungsakteur zuerst eingedrungen ist. The damage is applied and then is a wahnsinnig angel, both the software as also and the reputation damage of the company. Angreifer sind immer im Vorteil, und es ist entscheidend, diesen Vorteil so weit wie möglich zu schließen.
Aus langweiliger PCI-DSS-Konformität eine sinnvolle Übung für alle machen: Teil 1 — AppSec
Dies ist Teil 1 einer zweiteiligen Serie zur erfolgreichen PCI-DSS-Compliance innerhalb eines Unternehmens. In diesem Kapitel beschreiben wir, wie AppSec-Spezialisten eng mit Entwicklungsmanagern zusammenarbeiten können, um Entwickler zu stärken, den SSDLC zu stärken und konkrete Ergebnisse aus der allgemeinen Gesetzgebung zu ziehen.
Möchten Sie, dass Entwickler sicherheitsbewusst programmieren? Bringen Sie das Training zu ihnen.
Wir wissen bereits, dass an einem Arbeitstag zu viel los ist. Welchen Anreiz haben Entwickler also, in ein Klassenzimmer zu gehen oder den Kontext zu wechseln, um fünf Schritte zu durchlaufen, um an Schulungen teilzunehmen, die auf statischen Theorien basieren?
Wenn AppSec-Tools die Wunderwaffe sind, warum setzen dann so viele Unternehmen sie nicht ein?
Es gibt einige Gründe, warum AppSec-Tools nicht so verwendet werden, wie wir es vielleicht erwarten würden. Es geht weniger um die Tools und ihre Funktionalität als vielmehr darum, wie sie sich in ein Sicherheitsprogramm als Ganzes integrieren lassen.
Experteninterview: Infrastruktur als Code mit Oscar Quintas
Wir möchten einen unserer Experten, Oscar Quintas, ins Rampenlicht rücken. Er ist Teil unseres Product Content Teams und arbeitet als Senior Security Researcher. Er ist auch unser ansässiger Zauberer für alles, was mit Infrastructure as Code (IaC) zu tun hat.
Alles Gute zum Geburtstag SQL Injection, der Fehler, der nicht behoben werden kann
Es ist der 22. Geburtstag von SQL Injection, und obwohl diese Sicherheitslücke alt genug ist, um sie zu trinken, lassen wir uns von ihr überwältigen, anstatt sie endgültig zu zerquetschen.
Für Entwickler, die bei der Bekämpfung der Cyberkriminalität helfen wollen, besteht das Training aus zwei Teilen
Die Wettbewerbsbedingungen zwischen Helden und Bösewichten in der Cybersicherheit sind bekanntermaßen unfair. Sensible Daten sind das neue Gold, und Angreifer passen sich schnell an, um Abwehrmaßnahmen zu umgehen, und nutzen große und kleine Sicherheitslücken für potenzielle Gehälter aus.
Programmierer erobern Sicherheit OWASP Top 10 API-Serie — Mangel an Ressourcen und Ratenbegrenzung
Diese Sicherheitsanfälligkeit tritt auf, wenn zu viele Anfragen gleichzeitig eingehen und die API nicht über genügend Rechenressourcen verfügt, um diese Anfragen zu bearbeiten. Die API kann dann nicht mehr verfügbar sein oder nicht mehr auf neue Anfragen reagieren.
Die Cybersicherheitsprobleme, die wir 2022 nicht ignorieren können
Wenn es darum geht, Cyberkriminelle zu bekämpfen, müssen wir so nah wie möglich an ihrer Seite bleiben und ihnen mit einer präventiven Denkweise zuvorkommen. Ich denke, hier könnten sie im kommenden Jahr Wellen schlagen:
Programmierer erobern Sicherheitsinfrastruktur als Code-Serie: Fehlende Zugriffskontrolle auf Funktionsebene
Wenn die Zugriffskontrolle auf Infrastrukturebene nicht in perfekter Ordnung ist, wird ein ganzes Unternehmen für Angreifer geöffnet, die diese Sicherheitslücke als Einfallstor für unbefugtes Ausspionieren oder für einen vollständigen Angriff nutzen können.
Death by Doki: Eine neue Docker-Schwachstelle mit ernstem Biss (und was du dagegen tun kannst)
Cyberangriffe werden immer häufiger und Bedrohungen, die Linux-basierte Infrastrukturen betreffen, werden immer häufiger. Das Endziel ist die Gelegenheit, eine Beutekiste mit sensiblen Daten, die in der Cloud gespeichert sind, zu öffnen.
Coders Conquer Security OWASP Top 10 API-Serie — Übermäßiges Datenrisiko
Die eigentliche Mechanik hinter dieser Sicherheitslücke ist ähnlich wie bei anderen, aber eine übermäßige Datenexposition wird in diesem Fall so definiert, dass rechtlich geschützte oder hochsensible Daten betroffen sind.
Wenn gute Mikrowellen schlecht werden: Warum Embedded Systems Security der nächste Bosskampf für Entwickler ist
Ähnlich wie bei webbasierter Software, APIs und Mobilgeräten kann anfälliger Code in eingebetteten Systemen ausgenutzt werden, wenn er von einem Angreifer in freier Wildbahn entdeckt wird.
Aus langweiliger PCI-DSS-Compliance eine sinnvolle Übung für alle machen: Teil 2 — CISOs und Sensibilisierung von Entwicklern
Dies ist Teil 2 einer Miniserie zur PCI-DSS-Konformität innerhalb einer Organisation. In diesem letzten Kapitel beschreiben wir, wie CTOs und CISOs von Anfang an eine Vorreiterrolle bei der Reduzierung von Cyberrisiken übernehmen und den Prozess reibungslos, erfolgreich und vielleicht ein bisschen unterhaltsam für Entwickler gestalten können.
Ist Ihre Organisation wirklich bereit für DevSec? Stellen Sie es auf die Probe.
Denken Sie unter Berücksichtigung Ihrer Organisation über diese Fragen im Zusammenhang mit Ihrer Rolle nach. Wie würde es abschneiden, wenn es dem DevSec-Test unterzogen würde?
Coders Conquer Security OWASP Top 10 API-Serie — Ungenügende Protokollierung und Überwachung
Der unzureichende Protokollierungs- und Überwachungsfehler ist hauptsächlich auf einen gescheiterten Cybersicherheitsplan zurückzuführen, der alle fehlgeschlagenen Authentifizierungsversuche, Zugriffsverweigerungen und Eingabevalidierungsfehler protokolliert.
Programmierer erobern die Sicherheitsinfrastruktur als Code-Serie: Unsichere Kryptografie
Heutzutage ist es ein Eckpfeiler jeder Cybersicherheitsabwehr, wichtige Daten wie Passwörter, persönliche Informationen und Finanzunterlagen im Ruhezustand zu hashen.
Mit NIST Schritte machen: Unsere von Menschen geleitete Position zur Zukunft der Cyberabwehr
Die jüngste Cybersicherheitsverordnung der Biden-Administration hat die Sicherheitsbranche sicherlich zum Reden gebracht, insbesondere diejenigen, die Entwickler dafür gewinnen wollen, wie wichtig es ist, bewährte Methoden für sichere Codierung in ihrer täglichen Arbeit anzuwenden.
Alle 39 Sekunden findet ein Cyberangriff statt. Ist die Regierung endlich in der Lage, sich zu wehren?
Wir müssen einen von Menschen geleiteten Ansatz für bewährte Cybersicherheitsmethoden stärken, und das wird zu besseren Ergebnissen führen, als wenn wir uns stark auf Automatisierung, Tools und Reaktionen auf Probleme verlassen, die bereits eingebettet und entdeckt wurden.
Verbesserte Sicherheitsinformationen: Geführte Kurse helfen Entwicklern, sich auf NIST vorzubereiten
Entwickler gehören neben Sicherheitskonfigurationen und Zugriffskontrolle zu denjenigen, die mit Code am nächsten kommen. Ihre Sicherheitskompetenzen müssen gefördert werden, und um die vom NIST festgelegten hohen Standards zu erreichen, könnte eine praxisorientierte Kursstruktur genau der richtige Weg sein, um das Problem anzugehen, insbesondere bei großen Entwicklungskohorten.
Wir stellen vor: Die nächste Phase des entwicklerorientierten Sicherheitstrainings
Wir freuen uns, eine brandneue Feature-Veröffentlichung auf der Secure Code Warrior-Plattform ankündigen zu können: Missionen. Diese brandneue Herausforderungskategorie ist die nächste Phase des Sicherheitstrainings für Entwickler, bei dem die Benutzer ihr Sicherheitswissen nicht mehr nur noch abrufen, sondern es in einer realen Simulationsumgebung anwenden können.
Die Zukunft der Arbeit ist flexibel und eignet sich hervorragend für die Cybersicherheit
Ganz gleich, ob die Ungewissheit einer neuen Arbeitsweise, ein wenig Misstrauen oder vielleicht der Unglaube an Telearbeit herrührt, ich stelle fest, dass Unternehmen, die sich dagegen wehren, tendenziell ins Hintertreffen geraten, wenn es darum geht, Top-Talente anzuwerben, ihre globale Reichweite zu wahren und ehrlich gesagt, mit der Zeit zu gehen.
Programmierer erobern Sicherheitsinfrastruktur als Code-Serie: Klartext-Speicherung von Passwörtern
Der Schlüssel zu den meisten Computersicherheitsmaßnahmen sind heutzutage Passwörter. Selbst wenn andere Sicherheitsmethoden wie die Zwei-Faktor-Authentifizierung oder Biometrie eingesetzt werden, verwenden die meisten Unternehmen immer noch passwortbasierte Sicherheit als ein Element ihres Schutzes.
Entwickeln Sie sichere Programmierkenntnisse in jeder Phase des SSDLC
Secure Code Warrior hat eine GitHub-Aktion entwickelt, die kontextbezogenes Lernen in das GitHub-Code-Scannen integriert. Das bedeutet, dass Entwickler eine Aktion eines Drittanbieters wie die Snyk Container Action verwenden können, um Sicherheitslücken zu finden, und das Ergebnis dann durch CWE-spezifisches, hyperrelevantes Lernen erweitern können.
Mein Pentester, mein Feind? Entwickler verraten, was sie wirklich von Pentests und statischen Analyseergebnissen halten
Penetrationstests und Scan-Tools für statische Analysen (besser bekannt als SAST) sind nur ein Teil des Gesamtprozesses zur Minderung von Sicherheitsrisiken. Sie arbeiten ziemlich unabhängig von dem, was wir tun — bis der Code für Hotfixes zu uns zurückkommt, natürlich!
„Links von links“ beginnen: Ist Sicherheitscode immer Qualitätscode?
Code mit einem bestimmten Qualitätsniveau ist per Definition auch sicher, aber jeder sichere Code ist nicht unbedingt von guter Qualität. Ist das Starten von „links von links“ die Formel, um reine sichere Codierungsstandards zu gewährleisten?
Programmierer erobern die Sicherheitsinfrastruktur als Code-Serie — mit Komponenten aus nicht vertrauenswürdigen Quellen
Das anfällige Verhalten, auf das wir uns hier konzentrieren werden, ist die Verwendung von Code aus nicht vertrauenswürdigen Quellen, eine scheinbar harmlose Praxis, die große Probleme verursacht.
Equifax-Sicherheitsprobleme, die 2016 aufgedeckt wurden
Gehen wir weiter ins Jahr 2016, als ein Sicherheitsforscher auf der Equifax-Hauptwebsite eine häufige Sicherheitslücke entdeckte, die als Cross-Site Scripting (XSS) bekannt ist. Dies geht aus einem Tweet eines Forschers hervor, der den Namen x0rz trägt.
Coder Conquer Security OWASP Top 10 API-Serie — Unsachgemäße Vermögensverwaltung
Bei dieser Sicherheitslücke handelt es sich eher um ein menschliches Problem oder ein Managementproblem, das es älteren APIs ermöglicht, lange nachdem sie durch neuere, sicherere Versionen ersetzt werden sollten, bestehen zu bleiben.
Meister gegen Trainer: Warum jedes Entwicklungsteam beides braucht
Viele Unternehmen, die in ihrem Cybersicherheitsansatz Ziele überschreiten, haben ein offizielles Security-Champion-Programm eingeführt, das wichtige Sicherheitsaufgaben — von der Zusammenarbeit zwischen Teams und allgemeinem Cheerleading bis hin zur Überwachung von Best Practices — Personen überträgt, die Eignung und Leidenschaft für eine solche Rolle zeigen.
Rust ist zum fünften Mal die beliebteste Programmiersprache. Ist es unser neuer Sicherheitsretter?
Rust integriert bekannte und funktionale Elemente aus häufig verwendeten Sprachen und arbeitet nach einer anderen Philosophie, die Komplexität beseitigt und gleichzeitig Leistung und Sicherheit einführt.
Coders Conquer Security OWASP Top 10 API-Serie — Sicherheitsfunktionen deaktiviert/Debug-Funktionen aktiviert/Unzulässige Berechtigungen
Es ist wahrscheinlich etwas häufiger in APIs, aber Angreifer versuchen oft, ungepatchte Fehler und ungeschützte Dateien oder Verzeichnisse überall in einem Netzwerk zu finden. Wenn sie auf eine API stoßen, bei der Debugging aktiviert oder Sicherheitsfunktionen deaktiviert sind, wird ihre schändliche Arbeit nur ein wenig einfacher.
So werden Sie ein umwerfender DevSecOps-Ingenieur
Die Welt beginnt, sich hinter Waterfall, Agile und jetzt DevOps weiterzubewegen. Was ist also die nächste Lösung? Und was ist Ihre Rolle als Entwickler, um mit diesen Änderungen im Ansatz Schritt zu halten?
Warum Gerüstlernen sicherheitsbewusste Entwickler hervorbringt
Als Branche sollten wir niemals erwarten, dass Entwickler zu Sicherheitsexperten werden, aber Unternehmen können neue Standards für die Unterstützung von Entwicklern einführen, um qualitativ hochwertigere Software zu entwickeln.
Programmierer erobern die Sicherheitsinfrastruktur als Code-Serie: Ungenügender Schutz der Transportebene
Manchmal teilen Anwendungen im Rahmen einer Gesamtarbeitslast auch Daten mit anderen Programmen. Wenn die Transportebene nicht geschützt ist, ist sie sowohl für das Ausspionieren von außen als auch für unbefugte interne Zugriffe anfällig.
Nationaler Monat des Bewusstseins für Cybersicherheit: Mehr als eine Phishing-Expedition
Jedes Unternehmen kann den Cybersecurity Awareness Month nutzen, um sein Sicherheitsbewusstsein aufzufrischen. In diesem Jahr bringen wir auch eine neue, kostenlose App für die Programmierer-Community auf den Markt!
Vertrauen aufbauen: Der Weg zu echten Sicherheitssynergieeffekten zwischen AppSec und Entwicklern
Eine Beziehung, die auf den wackeligen Fundamenten des Misstrauens aufgebaut ist, naja, lässt sich am besten mit niedrigen Erwartungen angehen. Leider kann dies der Stand der Arbeitsbeziehung zwischen Entwicklern und dem AppSec-Team innerhalb einer Organisation sein.
Programmierer erobern die Sicherheitsinfrastruktur als Code-Serie: Fehlkonfiguration der Sicherheit — falsche Berechtigungen
Sicherheitsfehlkonfigurationen, insbesondere solche mit falschen Berechtigungen, treten am häufigsten auf, wenn ein Entwickler einen neuen Benutzer erstellt oder die Erlaubnis für eine Anwendung als Tool erteilt, um eine Aufgabe zu erledigen.
Programmierer erobern Sicherheitsinfrastruktur als Code-Serie: Deaktivierte Sicherheitsfunktionen
Angreifer versuchen immer zuerst, leicht ausnutzbare Sicherheitslücken zu finden, und können sogar ein Skript verwenden, um häufig auftretende Schwachstellen ausfindig zu machen. Es ist nicht unähnlich wie ein Dieb, der alle Autos auf einer Straße überprüft, um zu sehen, ob irgendwelche Türen unverschlossen sind, was viel einfacher ist, als ein Fenster einzuschlagen.
Haben Sie die Sicherheitsreife Ihres Unternehmens überschätzt?
Angesichts der ständigen Fachkräftemangel und der Flut von Code, the written, to be fair to the world software requirements, many companies into their cybersecurity strategy and their existing infrastructure. Es ist an der Zeit, dass wir einen ehrlichen Blick auf unseren allgemeinen Reifegrad im Bereich Cybersicherheit werfen und die realisierbaren Quick Wins bewerten, die direkt vor uns liegen.
Wie erstklassige CISOs 2023 mehr Budget und Vertrauen in den Vorstand gewinnen
CISOs befinden sich in einer zunehmend angespannten Lage: Schützen Sie mehr Ressourcen, versenden mehr Code, reduzieren eine größere Angriffsfläche und das mit schnell abnehmenden finanziellen Ressourcen. Es ist eine unausweichliche Tatsache, dass Cybersicherheit als Kostenstelle angesehen wird, und obwohl das Sicherheitsprogramm eines Unternehmens das ist, was einem Bedrohungsakteur im Weg steht, ihn zur katastrophalen Schlagzeile von morgen zu machen, müssen Sicherheitsverantwortliche mehr tun, um den allgemeinen Geschäftswert der Abteilung zu verkaufen und zu beweisen, und zwar in einer Sprache, die für die Exekutive sinnvoll ist.
Förderung des sinnvollen Erfolgs von Secure-by-Design-Initiativen für Unternehmen
Unser neuestes Forschungspapier, Benchmarking Security Skills: Streamlining Secure-by-Design in the Enterprise, ist das Ergebnis einer eingehenden Analyse echter Secure-by-Design-Initiativen auf Unternehmensebene und der Ableitung von Best-Practice-Ansätzen auf der Grundlage datengestützter Ergebnisse.
Die Vorteile des Benchmarkings von Sicherheitskompetenzen für Entwickler
Der zunehmende Fokus auf sicheren Code und die Secure-by-Design-Prinzipien erfordert, dass Entwickler von Beginn des SDLC an in Cybersicherheit geschult werden. Tools wie der Trust Score von Secure Code Warrior helfen dabei, ihre Fortschritte zu messen und zu verbessern.
Der Trust Score zeigt den Wert von Secure-by-Design-Weiterbildungsinitiativen
Unsere Untersuchungen haben gezeigt, dass sicheres Codetraining funktioniert. Trust Score verwendet einen Algorithmus, der auf mehr als 20 Millionen Lerndatenpunkten aus der Arbeit von mehr als 250.000 Lernenden in über 600 Organisationen basiert. Er zeigt, wie effektiv es ist, Sicherheitslücken zu schließen und zeigt, wie die Initiative noch effektiver gestaltet werden kann.
Benchmarking von Sicherheitskompetenzen: Rationalisierung von Secure-by-Design im Unternehmen
Es ist bekanntermaßen schwierig, aussagekräftige Daten zum Erfolg von Secure-by-Design-Initiativen zu finden. CISOs stehen oft vor der Herausforderung, die Investitionsrendite (ROI) und den Geschäftswert der Aktivitäten von Sicherheitsprogrammen sowohl auf Personal- als auch auf Unternehmensebene nachzuweisen. Ganz zu schweigen davon, dass es für Unternehmen besonders schwierig ist, Erkenntnisse darüber zu gewinnen, wie ihre Unternehmen im Vergleich zu aktuellen Industriestandards bewertet werden. In der Nationalen Cybersicherheitsstrategie des Präsidenten wurden die Interessengruppen aufgefordert, „Sicherheit und Widerstandsfähigkeit von Anfang an zu berücksichtigen“. Der Schlüssel zum Erfolg von Secure-by-Design-Initiativen besteht nicht nur darin, Entwicklern die Fähigkeiten zu vermitteln, um sicheren Code zu gewährleisten, sondern auch darin, den Aufsichtsbehörden zu versichern, dass diese Fähigkeiten vorhanden sind. In dieser Präsentation stellen wir eine Vielzahl qualitativer und quantitativer Daten vor, die aus mehreren Primärquellen stammen, darunter interne Datenpunkte, die von über 250.000 Entwicklern gesammelt wurden, datengestützte Kundeneinblicke und öffentliche Studien. Auf der Grundlage dieser Aggregation von Datenpunkten wollen wir einen Überblick über den aktuellen Stand der Secure-by-Design-Initiativen in mehreren Branchen vermitteln. Der Bericht beschreibt, warum dieser Bereich derzeit nicht ausreichend genutzt wird, welche erheblichen Auswirkungen ein erfolgreiches Weiterbildungsprogramm auf die Minderung von Cybersicherheitsrisiken haben kann und welches Potenzial es hat, Kategorien von Sicherheitslücken aus einer Codebasis zu entfernen.
Rückgewinnung kritischer Denkweisen in der KI-gestützten sicheren Softwareentwicklung
In der KI-Debatte geht es nicht um Nutzung, sondern um Anwendung. Erfahren Sie, wie Sie die Notwendigkeit von KI-Produktivitätssteigerungen mit robuster Sicherheit in Einklang bringen können, indem Sie sich auf Entwickler verlassen, die ihren Code genau verstehen.
.avif)
The Agentic Era Arrived Early. Don’t Get Caught Off Guard by Late AI Governance.
Anthropic's Claude Mythos represents a permanent, fundamental shift in how every security leader must approach their security program, especially with patch management of legacy systems.
Forge your fortress: Sechs wichtige Säulen der Entwicklerunterstützung im Bereich Softwaresicherheit
In diesem Whitepaper wird der Sicherheitsexperte und Secure Code Warrior CTO und Mitbegründer Matias Madou, Ph.D. erörtern: Die sechs Säulen, die Sie benötigen, um Ihre Entwicklungskohorte effektiv zu schulen und zu unterstützen. Erkenntnisse von zehn Führungskräften, die Sicherheitsprogramme auf Unternehmensebene implementiert haben, und häufige Fallstricke, die Sie auf Ihrem Weg zum Erfolg vermeiden sollten.