Welche Rolle spielt das menschliche Element in der Zukunft der sicheren Codierung?
Da die Zahl der Cyberbedrohungen weiter zunimmt, gehen Unternehmen täglich Kompromisse zwischen Sicherheit, Praktikabilität und Geschwindigkeit ein und setzen sich dabei Risiken aus. Neue Ansätze für sichere Codierung sind erforderlich, also Secure Code Warrior arbeitete mit Evans Data Corp. zusammen, um grundlegende Untersuchungen zur Einstellung von Entwicklern zu sicherem Programmieren, sicheren Codepraktiken und Sicherheitsvorgängen durchzuführen (Whitepaper herunterladen) hier).
Dieser Bericht zeigte, dass reaktives Denken der „alten Schule“ zwar immer noch dominiert, aber das Bewusstsein für die Notwendigkeit proaktiverer Lösungen wächst, die die Entwickler selbst zur ersten Verteidigungslinie machen.
Jede Untersuchung der Einführung sicherer Codierungspraktiken muss mit einem Verständnis der an der Implementierung beteiligten Personen, ihrer Wahrnehmung davon und ihrer Fähigkeit, sie umzusetzen, beginnen. Dies führt dann zum wichtigsten Puzzleteil: Wie können sie in die Lage versetzt werden, von Anfang an sicherer zu programmieren und Qualitätscode schneller und mit Zuversicht zu versenden?
Sicheres Programmieren — wo stehen wir jetzt und was muss sich ändern? Herunterladen die Infografik „Das menschliche Element“ jetzt.
Aktuelle Perspektiven — reaktiv oder proaktiv
Als Entwickler und Entwicklungsmanager nach den Aktivitäten gefragt wurden, die sie mit sicherem Programmieren verbinden, lauteten die drei wichtigsten Antworten:
- Verwendung von Scan-Tools für bereitgestellte Anwendungen.
- Manuelles Überprüfen des Codes auf Sicherheitslücken.
- Die aktive und kontinuierliche Praxis, Software zu schreiben, die vor Sicherheitslücken geschützt ist.
Wie wir sehen können, konzentrierten sich zwei der drei häufigsten Antworten immer noch auf reaktive Ansätze — die erste hing von Tools (Scannern) ab, und die zweite davon, dass der Entwickler (d. h. ein Mensch) manuelle Prüfungen durchführt.
Gleichzeitig stützen sich zwei der drei nominierten Aktivitäten auf das menschliche Element. Dies deutet darauf hin, dass Sicherheit zunehmend als menschliches Problem wahrgenommen wird. Von allen nominierten Aktivitäten ist jedoch Nummer 3, die den Faktor Mensch identifiziert, am aussagekräftigsten beim Schreiben von Software, die in erster Linie vor Sicherheitslücken geschützt ist. Dies unterstreicht eine Verlagerung nach links — einen proaktiven und präventiven Ansatz, der Sicherheit von Beginn des SDLC an in die Software integriert.
Wo passt Sicherheit in den SDLC?
Wenn Entwickler und Entwicklungsmanager gefragt werden, welche Sicherheitscode-Praktiken ihrer Meinung nach in den SDLC integriert werden, gehen die Meinungen auseinander. 55% der Manager glauben, dass sicheres Programmieren in den gesamten Entwicklungsprozess integriert ist, verglichen mit nur 43% der Entwickler. Der Unterschied könnte die unterschiedlichen Rollen dieser beiden Gruppen innerhalb des SDLC widerspiegeln. Das Management ist in der Regel weniger in die eigentliche Codierungsarbeit involviert und hat tendenziell eine übergeordnete Sichtweise — wohingegen sich Entwickler möglicherweise mehr mit den Einzelheiten befassen.
Aus Sicht der allgemeinen Sicherheit und Codequalität ist jedoch alarmierend, dass nur 13 Prozent der Entwickler und 10 Prozent der Manager angeben, dass sichere Codepraktiken in die Entwurfsphasen integriert werden sollten — gleich zu Beginn des SDLC. Dies ist eine riesige und noch nicht realisierte Chance. Laut einer IBM-Studie ist es dreißig Mal teurer, Sicherheitslücken im Code nach der Veröffentlichung zu beheben, als wenn sie zu Beginn gefunden und behoben wurden.1 Das ist ein starker Anreiz für eine neue proaktive und von Menschen geleitete Verteidigung der Softwaresicherheit, die Entwickler in die Lage versetzt, von Anfang an sicherer zu programmieren. Softwaresicherheit lässt sich nicht allein durch Tools lösen — sie muss den Faktor Mensch berücksichtigen.
Ist das menschliche Element vorbereitet?
97% der befragten Entwickler sind der Meinung, dass sie ausreichend in sicherer Codierung geschult wurden, und 95% stimmten zu, dass Schulungen in sicherer Codierung für ihre Karriere wertvoll waren. Doch bevor wir diese Behauptungen für bare Münze nehmen, müssen wir uns fragen: Warum sind Code-Schwachstellen immer noch so häufig? Sind die Behauptungen der Entwickler, sie seien Experte im Bereich des sicheren Codes, nur ein Fall von menschlichem Ego? Die Beweise deuten sicherlich in diese Richtung. In einem bescheideneren Eingeständnis geben mehr als 88% der befragten Entwickler zu, dass sicheres Programmieren schwer zu erlernen ist, und 91% der Entwicklungsmanager räumen ein, dass sichere Programmierpraktiken schwierig zu implementieren sind. Auf die Frage nach ihren wichtigsten persönlichen Bedenken im Zusammenhang mit der Implementierung von sicherem Code empfanden 28% der Entwickler den Lernprozess als schwierig, während 24% den Lernprozess als langweilig empfinden. Dies deutet darauf hin, dass die Schulung der Entwickler verbessert werden muss.
Was braucht das menschliche Element?
Um den „herausfordernden“ Faktor zu überwinden, eine lohnende sichere Schulung erfordert einen „Gerüstbau“ -Prozess, der den Entwickler dabei unterstützt, Schritt für Schritt sichere Programmierkenntnisse aufzubauen. Um ein Höchstmaß an Relevanz und unmittelbarer Anwendbarkeit zu erreichen, sollte diese Schulung in dem spezifischen Sprache:Framework stattfinden, das sie täglich verwenden.
Um den Faktor „Langeweile“ zu überwinden, Sicherheitscode-Schulungen müssen praxisnah vermittelt werden — sie haben sich für Entwickler als weitaus ansprechender erwiesen als veraltete Modelle im Klassenzimmer oder „Schau dir dieses Video an“. Dazu sollten Live-Simulationen gehören, die es Entwicklern ermöglichen, manchmal riskante Sicherheitsherausforderungen in einer sicheren Umgebung zu bewältigen. Ziel sollte es sein, Entwicklern beizubringen, Sicherheitslücken im Code während der Arbeit zu finden und zu beheben und sicheres Programmieren zu einem Teil ihres täglichen Ablaufs zu machen. Ein weiterer wichtiger Faktor ist das Linting und Coaching innerhalb der IDE, das Entwicklern hilft, während des Programmierens ständig zu lernen und ihre Fähigkeiten zu verbessern und Sicherheitslücken zu verhindern und zu beseitigen.
Wenn Sie herausfinden möchten, wie Sie Ihren Entwicklern dieses neue Niveau an entwicklerzentrierten Tools und Schulungen zur Verfügung stellen können, eine Demo buchen jetzt.
Du kannst auch lade dein Exemplar herunter des Whitepapers Übergang von der Reaktion zur Prävention: Das sich wandelnde Gesicht der Anwendungssicherheit.
.avif)
.avif)
Da die Zahl der Cyberbedrohungen weiter zunimmt, gehen Unternehmen täglich Kompromisse zwischen Sicherheit, Praktikabilität und Geschwindigkeit ein und setzen sich dabei Risiken aus.
Secure Code Warrior macht sicheres Programmieren zu einer positiven und ansprechenden Erfahrung für Entwickler, die ihre Fähigkeiten erweitern. Wir begleiten jeden Programmierer auf seinem eigenen bevorzugten Lernweg, sodass sicherheitserfahrene Entwickler zu den alltäglichen Superhelden unserer vernetzten Welt werden.
Secure Code Warrior ist für Ihr Unternehmen da, um Ihnen zu helfen, Code während des gesamten Softwareentwicklungszyklus zu sichern und eine Kultur zu schaffen, in der Cybersicherheit an erster Stelle steht. Ganz gleich, ob Sie AppSec-Manager, Entwickler, CISO oder jemand anderes sind, der sich mit Sicherheit befasst, wir können Ihrem Unternehmen helfen, die mit unsicherem Code verbundenen Risiken zu reduzieren.
Eine Demo buchen
Secure Code Warrior macht sicheres Programmieren zu einer positiven und ansprechenden Erfahrung für Entwickler, die ihre Fähigkeiten erweitern. Wir begleiten jeden Programmierer auf seinem eigenen bevorzugten Lernweg, sodass sicherheitserfahrene Entwickler zu den alltäglichen Superhelden unserer vernetzten Welt werden.
Dieser Artikel wurde vom Branchenexpertenteam von Secure Code Warrior verfasst, das sich zum Ziel gesetzt hat, Entwicklern von Anfang an das Wissen und die Fähigkeiten zu vermitteln, um sichere Software zu entwickeln. Wir stützen uns auf fundiertes Fachwissen in Bezug auf sichere Codierungspraktiken, Branchentrends und Erkenntnisse aus der Praxis.
Da die Zahl der Cyberbedrohungen weiter zunimmt, gehen Unternehmen täglich Kompromisse zwischen Sicherheit, Praktikabilität und Geschwindigkeit ein und setzen sich dabei Risiken aus. Neue Ansätze für sichere Codierung sind erforderlich, also Secure Code Warrior arbeitete mit Evans Data Corp. zusammen, um grundlegende Untersuchungen zur Einstellung von Entwicklern zu sicherem Programmieren, sicheren Codepraktiken und Sicherheitsvorgängen durchzuführen (Whitepaper herunterladen) hier).
Dieser Bericht zeigte, dass reaktives Denken der „alten Schule“ zwar immer noch dominiert, aber das Bewusstsein für die Notwendigkeit proaktiverer Lösungen wächst, die die Entwickler selbst zur ersten Verteidigungslinie machen.
Jede Untersuchung der Einführung sicherer Codierungspraktiken muss mit einem Verständnis der an der Implementierung beteiligten Personen, ihrer Wahrnehmung davon und ihrer Fähigkeit, sie umzusetzen, beginnen. Dies führt dann zum wichtigsten Puzzleteil: Wie können sie in die Lage versetzt werden, von Anfang an sicherer zu programmieren und Qualitätscode schneller und mit Zuversicht zu versenden?
Sicheres Programmieren — wo stehen wir jetzt und was muss sich ändern? Herunterladen die Infografik „Das menschliche Element“ jetzt.
Aktuelle Perspektiven — reaktiv oder proaktiv
Als Entwickler und Entwicklungsmanager nach den Aktivitäten gefragt wurden, die sie mit sicherem Programmieren verbinden, lauteten die drei wichtigsten Antworten:
- Verwendung von Scan-Tools für bereitgestellte Anwendungen.
- Manuelles Überprüfen des Codes auf Sicherheitslücken.
- Die aktive und kontinuierliche Praxis, Software zu schreiben, die vor Sicherheitslücken geschützt ist.
Wie wir sehen können, konzentrierten sich zwei der drei häufigsten Antworten immer noch auf reaktive Ansätze — die erste hing von Tools (Scannern) ab, und die zweite davon, dass der Entwickler (d. h. ein Mensch) manuelle Prüfungen durchführt.
Gleichzeitig stützen sich zwei der drei nominierten Aktivitäten auf das menschliche Element. Dies deutet darauf hin, dass Sicherheit zunehmend als menschliches Problem wahrgenommen wird. Von allen nominierten Aktivitäten ist jedoch Nummer 3, die den Faktor Mensch identifiziert, am aussagekräftigsten beim Schreiben von Software, die in erster Linie vor Sicherheitslücken geschützt ist. Dies unterstreicht eine Verlagerung nach links — einen proaktiven und präventiven Ansatz, der Sicherheit von Beginn des SDLC an in die Software integriert.
Wo passt Sicherheit in den SDLC?
Wenn Entwickler und Entwicklungsmanager gefragt werden, welche Sicherheitscode-Praktiken ihrer Meinung nach in den SDLC integriert werden, gehen die Meinungen auseinander. 55% der Manager glauben, dass sicheres Programmieren in den gesamten Entwicklungsprozess integriert ist, verglichen mit nur 43% der Entwickler. Der Unterschied könnte die unterschiedlichen Rollen dieser beiden Gruppen innerhalb des SDLC widerspiegeln. Das Management ist in der Regel weniger in die eigentliche Codierungsarbeit involviert und hat tendenziell eine übergeordnete Sichtweise — wohingegen sich Entwickler möglicherweise mehr mit den Einzelheiten befassen.
Aus Sicht der allgemeinen Sicherheit und Codequalität ist jedoch alarmierend, dass nur 13 Prozent der Entwickler und 10 Prozent der Manager angeben, dass sichere Codepraktiken in die Entwurfsphasen integriert werden sollten — gleich zu Beginn des SDLC. Dies ist eine riesige und noch nicht realisierte Chance. Laut einer IBM-Studie ist es dreißig Mal teurer, Sicherheitslücken im Code nach der Veröffentlichung zu beheben, als wenn sie zu Beginn gefunden und behoben wurden.1 Das ist ein starker Anreiz für eine neue proaktive und von Menschen geleitete Verteidigung der Softwaresicherheit, die Entwickler in die Lage versetzt, von Anfang an sicherer zu programmieren. Softwaresicherheit lässt sich nicht allein durch Tools lösen — sie muss den Faktor Mensch berücksichtigen.
Ist das menschliche Element vorbereitet?
97% der befragten Entwickler sind der Meinung, dass sie ausreichend in sicherer Codierung geschult wurden, und 95% stimmten zu, dass Schulungen in sicherer Codierung für ihre Karriere wertvoll waren. Doch bevor wir diese Behauptungen für bare Münze nehmen, müssen wir uns fragen: Warum sind Code-Schwachstellen immer noch so häufig? Sind die Behauptungen der Entwickler, sie seien Experte im Bereich des sicheren Codes, nur ein Fall von menschlichem Ego? Die Beweise deuten sicherlich in diese Richtung. In einem bescheideneren Eingeständnis geben mehr als 88% der befragten Entwickler zu, dass sicheres Programmieren schwer zu erlernen ist, und 91% der Entwicklungsmanager räumen ein, dass sichere Programmierpraktiken schwierig zu implementieren sind. Auf die Frage nach ihren wichtigsten persönlichen Bedenken im Zusammenhang mit der Implementierung von sicherem Code empfanden 28% der Entwickler den Lernprozess als schwierig, während 24% den Lernprozess als langweilig empfinden. Dies deutet darauf hin, dass die Schulung der Entwickler verbessert werden muss.
Was braucht das menschliche Element?
Um den „herausfordernden“ Faktor zu überwinden, eine lohnende sichere Schulung erfordert einen „Gerüstbau“ -Prozess, der den Entwickler dabei unterstützt, Schritt für Schritt sichere Programmierkenntnisse aufzubauen. Um ein Höchstmaß an Relevanz und unmittelbarer Anwendbarkeit zu erreichen, sollte diese Schulung in dem spezifischen Sprache:Framework stattfinden, das sie täglich verwenden.
Um den Faktor „Langeweile“ zu überwinden, Sicherheitscode-Schulungen müssen praxisnah vermittelt werden — sie haben sich für Entwickler als weitaus ansprechender erwiesen als veraltete Modelle im Klassenzimmer oder „Schau dir dieses Video an“. Dazu sollten Live-Simulationen gehören, die es Entwicklern ermöglichen, manchmal riskante Sicherheitsherausforderungen in einer sicheren Umgebung zu bewältigen. Ziel sollte es sein, Entwicklern beizubringen, Sicherheitslücken im Code während der Arbeit zu finden und zu beheben und sicheres Programmieren zu einem Teil ihres täglichen Ablaufs zu machen. Ein weiterer wichtiger Faktor ist das Linting und Coaching innerhalb der IDE, das Entwicklern hilft, während des Programmierens ständig zu lernen und ihre Fähigkeiten zu verbessern und Sicherheitslücken zu verhindern und zu beseitigen.
Wenn Sie herausfinden möchten, wie Sie Ihren Entwicklern dieses neue Niveau an entwicklerzentrierten Tools und Schulungen zur Verfügung stellen können, eine Demo buchen jetzt.
Du kannst auch lade dein Exemplar herunter des Whitepapers Übergang von der Reaktion zur Prävention: Das sich wandelnde Gesicht der Anwendungssicherheit.
Da die Zahl der Cyberbedrohungen weiter zunimmt, gehen Unternehmen täglich Kompromisse zwischen Sicherheit, Praktikabilität und Geschwindigkeit ein und setzen sich dabei Risiken aus. Neue Ansätze für sichere Codierung sind erforderlich, also Secure Code Warrior arbeitete mit Evans Data Corp. zusammen, um grundlegende Untersuchungen zur Einstellung von Entwicklern zu sicherem Programmieren, sicheren Codepraktiken und Sicherheitsvorgängen durchzuführen (Whitepaper herunterladen) hier).
Dieser Bericht zeigte, dass reaktives Denken der „alten Schule“ zwar immer noch dominiert, aber das Bewusstsein für die Notwendigkeit proaktiverer Lösungen wächst, die die Entwickler selbst zur ersten Verteidigungslinie machen.
Jede Untersuchung der Einführung sicherer Codierungspraktiken muss mit einem Verständnis der an der Implementierung beteiligten Personen, ihrer Wahrnehmung davon und ihrer Fähigkeit, sie umzusetzen, beginnen. Dies führt dann zum wichtigsten Puzzleteil: Wie können sie in die Lage versetzt werden, von Anfang an sicherer zu programmieren und Qualitätscode schneller und mit Zuversicht zu versenden?
Sicheres Programmieren — wo stehen wir jetzt und was muss sich ändern? Herunterladen die Infografik „Das menschliche Element“ jetzt.
Aktuelle Perspektiven — reaktiv oder proaktiv
Als Entwickler und Entwicklungsmanager nach den Aktivitäten gefragt wurden, die sie mit sicherem Programmieren verbinden, lauteten die drei wichtigsten Antworten:
- Verwendung von Scan-Tools für bereitgestellte Anwendungen.
- Manuelles Überprüfen des Codes auf Sicherheitslücken.
- Die aktive und kontinuierliche Praxis, Software zu schreiben, die vor Sicherheitslücken geschützt ist.
Wie wir sehen können, konzentrierten sich zwei der drei häufigsten Antworten immer noch auf reaktive Ansätze — die erste hing von Tools (Scannern) ab, und die zweite davon, dass der Entwickler (d. h. ein Mensch) manuelle Prüfungen durchführt.
Gleichzeitig stützen sich zwei der drei nominierten Aktivitäten auf das menschliche Element. Dies deutet darauf hin, dass Sicherheit zunehmend als menschliches Problem wahrgenommen wird. Von allen nominierten Aktivitäten ist jedoch Nummer 3, die den Faktor Mensch identifiziert, am aussagekräftigsten beim Schreiben von Software, die in erster Linie vor Sicherheitslücken geschützt ist. Dies unterstreicht eine Verlagerung nach links — einen proaktiven und präventiven Ansatz, der Sicherheit von Beginn des SDLC an in die Software integriert.
Wo passt Sicherheit in den SDLC?
Wenn Entwickler und Entwicklungsmanager gefragt werden, welche Sicherheitscode-Praktiken ihrer Meinung nach in den SDLC integriert werden, gehen die Meinungen auseinander. 55% der Manager glauben, dass sicheres Programmieren in den gesamten Entwicklungsprozess integriert ist, verglichen mit nur 43% der Entwickler. Der Unterschied könnte die unterschiedlichen Rollen dieser beiden Gruppen innerhalb des SDLC widerspiegeln. Das Management ist in der Regel weniger in die eigentliche Codierungsarbeit involviert und hat tendenziell eine übergeordnete Sichtweise — wohingegen sich Entwickler möglicherweise mehr mit den Einzelheiten befassen.
Aus Sicht der allgemeinen Sicherheit und Codequalität ist jedoch alarmierend, dass nur 13 Prozent der Entwickler und 10 Prozent der Manager angeben, dass sichere Codepraktiken in die Entwurfsphasen integriert werden sollten — gleich zu Beginn des SDLC. Dies ist eine riesige und noch nicht realisierte Chance. Laut einer IBM-Studie ist es dreißig Mal teurer, Sicherheitslücken im Code nach der Veröffentlichung zu beheben, als wenn sie zu Beginn gefunden und behoben wurden.1 Das ist ein starker Anreiz für eine neue proaktive und von Menschen geleitete Verteidigung der Softwaresicherheit, die Entwickler in die Lage versetzt, von Anfang an sicherer zu programmieren. Softwaresicherheit lässt sich nicht allein durch Tools lösen — sie muss den Faktor Mensch berücksichtigen.
Ist das menschliche Element vorbereitet?
97% der befragten Entwickler sind der Meinung, dass sie ausreichend in sicherer Codierung geschult wurden, und 95% stimmten zu, dass Schulungen in sicherer Codierung für ihre Karriere wertvoll waren. Doch bevor wir diese Behauptungen für bare Münze nehmen, müssen wir uns fragen: Warum sind Code-Schwachstellen immer noch so häufig? Sind die Behauptungen der Entwickler, sie seien Experte im Bereich des sicheren Codes, nur ein Fall von menschlichem Ego? Die Beweise deuten sicherlich in diese Richtung. In einem bescheideneren Eingeständnis geben mehr als 88% der befragten Entwickler zu, dass sicheres Programmieren schwer zu erlernen ist, und 91% der Entwicklungsmanager räumen ein, dass sichere Programmierpraktiken schwierig zu implementieren sind. Auf die Frage nach ihren wichtigsten persönlichen Bedenken im Zusammenhang mit der Implementierung von sicherem Code empfanden 28% der Entwickler den Lernprozess als schwierig, während 24% den Lernprozess als langweilig empfinden. Dies deutet darauf hin, dass die Schulung der Entwickler verbessert werden muss.
Was braucht das menschliche Element?
Um den „herausfordernden“ Faktor zu überwinden, eine lohnende sichere Schulung erfordert einen „Gerüstbau“ -Prozess, der den Entwickler dabei unterstützt, Schritt für Schritt sichere Programmierkenntnisse aufzubauen. Um ein Höchstmaß an Relevanz und unmittelbarer Anwendbarkeit zu erreichen, sollte diese Schulung in dem spezifischen Sprache:Framework stattfinden, das sie täglich verwenden.
Um den Faktor „Langeweile“ zu überwinden, Sicherheitscode-Schulungen müssen praxisnah vermittelt werden — sie haben sich für Entwickler als weitaus ansprechender erwiesen als veraltete Modelle im Klassenzimmer oder „Schau dir dieses Video an“. Dazu sollten Live-Simulationen gehören, die es Entwicklern ermöglichen, manchmal riskante Sicherheitsherausforderungen in einer sicheren Umgebung zu bewältigen. Ziel sollte es sein, Entwicklern beizubringen, Sicherheitslücken im Code während der Arbeit zu finden und zu beheben und sicheres Programmieren zu einem Teil ihres täglichen Ablaufs zu machen. Ein weiterer wichtiger Faktor ist das Linting und Coaching innerhalb der IDE, das Entwicklern hilft, während des Programmierens ständig zu lernen und ihre Fähigkeiten zu verbessern und Sicherheitslücken zu verhindern und zu beseitigen.
Wenn Sie herausfinden möchten, wie Sie Ihren Entwicklern dieses neue Niveau an entwicklerzentrierten Tools und Schulungen zur Verfügung stellen können, eine Demo buchen jetzt.
Du kannst auch lade dein Exemplar herunter des Whitepapers Übergang von der Reaktion zur Prävention: Das sich wandelnde Gesicht der Anwendungssicherheit.
Klicken Sie auf den Link unten und laden Sie das PDF dieser Ressource herunter.
Secure Code Warrior ist für Ihr Unternehmen da, um Ihnen zu helfen, Code während des gesamten Softwareentwicklungszyklus zu sichern und eine Kultur zu schaffen, in der Cybersicherheit an erster Stelle steht. Ganz gleich, ob Sie AppSec-Manager, Entwickler, CISO oder jemand anderes sind, der sich mit Sicherheit befasst, wir können Ihrem Unternehmen helfen, die mit unsicherem Code verbundenen Risiken zu reduzieren.
Bericht ansehenEine Demo buchen
Secure Code Warrior macht sicheres Programmieren zu einer positiven und ansprechenden Erfahrung für Entwickler, die ihre Fähigkeiten erweitern. Wir begleiten jeden Programmierer auf seinem eigenen bevorzugten Lernweg, sodass sicherheitserfahrene Entwickler zu den alltäglichen Superhelden unserer vernetzten Welt werden.
Dieser Artikel wurde vom Branchenexpertenteam von Secure Code Warrior verfasst, das sich zum Ziel gesetzt hat, Entwicklern von Anfang an das Wissen und die Fähigkeiten zu vermitteln, um sichere Software zu entwickeln. Wir stützen uns auf fundiertes Fachwissen in Bezug auf sichere Codierungspraktiken, Branchentrends und Erkenntnisse aus der Praxis.
Da die Zahl der Cyberbedrohungen weiter zunimmt, gehen Unternehmen täglich Kompromisse zwischen Sicherheit, Praktikabilität und Geschwindigkeit ein und setzen sich dabei Risiken aus. Neue Ansätze für sichere Codierung sind erforderlich, also Secure Code Warrior arbeitete mit Evans Data Corp. zusammen, um grundlegende Untersuchungen zur Einstellung von Entwicklern zu sicherem Programmieren, sicheren Codepraktiken und Sicherheitsvorgängen durchzuführen (Whitepaper herunterladen) hier).
Dieser Bericht zeigte, dass reaktives Denken der „alten Schule“ zwar immer noch dominiert, aber das Bewusstsein für die Notwendigkeit proaktiverer Lösungen wächst, die die Entwickler selbst zur ersten Verteidigungslinie machen.
Jede Untersuchung der Einführung sicherer Codierungspraktiken muss mit einem Verständnis der an der Implementierung beteiligten Personen, ihrer Wahrnehmung davon und ihrer Fähigkeit, sie umzusetzen, beginnen. Dies führt dann zum wichtigsten Puzzleteil: Wie können sie in die Lage versetzt werden, von Anfang an sicherer zu programmieren und Qualitätscode schneller und mit Zuversicht zu versenden?
Sicheres Programmieren — wo stehen wir jetzt und was muss sich ändern? Herunterladen die Infografik „Das menschliche Element“ jetzt.
Aktuelle Perspektiven — reaktiv oder proaktiv
Als Entwickler und Entwicklungsmanager nach den Aktivitäten gefragt wurden, die sie mit sicherem Programmieren verbinden, lauteten die drei wichtigsten Antworten:
- Verwendung von Scan-Tools für bereitgestellte Anwendungen.
- Manuelles Überprüfen des Codes auf Sicherheitslücken.
- Die aktive und kontinuierliche Praxis, Software zu schreiben, die vor Sicherheitslücken geschützt ist.
Wie wir sehen können, konzentrierten sich zwei der drei häufigsten Antworten immer noch auf reaktive Ansätze — die erste hing von Tools (Scannern) ab, und die zweite davon, dass der Entwickler (d. h. ein Mensch) manuelle Prüfungen durchführt.
Gleichzeitig stützen sich zwei der drei nominierten Aktivitäten auf das menschliche Element. Dies deutet darauf hin, dass Sicherheit zunehmend als menschliches Problem wahrgenommen wird. Von allen nominierten Aktivitäten ist jedoch Nummer 3, die den Faktor Mensch identifiziert, am aussagekräftigsten beim Schreiben von Software, die in erster Linie vor Sicherheitslücken geschützt ist. Dies unterstreicht eine Verlagerung nach links — einen proaktiven und präventiven Ansatz, der Sicherheit von Beginn des SDLC an in die Software integriert.
Wo passt Sicherheit in den SDLC?
Wenn Entwickler und Entwicklungsmanager gefragt werden, welche Sicherheitscode-Praktiken ihrer Meinung nach in den SDLC integriert werden, gehen die Meinungen auseinander. 55% der Manager glauben, dass sicheres Programmieren in den gesamten Entwicklungsprozess integriert ist, verglichen mit nur 43% der Entwickler. Der Unterschied könnte die unterschiedlichen Rollen dieser beiden Gruppen innerhalb des SDLC widerspiegeln. Das Management ist in der Regel weniger in die eigentliche Codierungsarbeit involviert und hat tendenziell eine übergeordnete Sichtweise — wohingegen sich Entwickler möglicherweise mehr mit den Einzelheiten befassen.
Aus Sicht der allgemeinen Sicherheit und Codequalität ist jedoch alarmierend, dass nur 13 Prozent der Entwickler und 10 Prozent der Manager angeben, dass sichere Codepraktiken in die Entwurfsphasen integriert werden sollten — gleich zu Beginn des SDLC. Dies ist eine riesige und noch nicht realisierte Chance. Laut einer IBM-Studie ist es dreißig Mal teurer, Sicherheitslücken im Code nach der Veröffentlichung zu beheben, als wenn sie zu Beginn gefunden und behoben wurden.1 Das ist ein starker Anreiz für eine neue proaktive und von Menschen geleitete Verteidigung der Softwaresicherheit, die Entwickler in die Lage versetzt, von Anfang an sicherer zu programmieren. Softwaresicherheit lässt sich nicht allein durch Tools lösen — sie muss den Faktor Mensch berücksichtigen.
Ist das menschliche Element vorbereitet?
97% der befragten Entwickler sind der Meinung, dass sie ausreichend in sicherer Codierung geschult wurden, und 95% stimmten zu, dass Schulungen in sicherer Codierung für ihre Karriere wertvoll waren. Doch bevor wir diese Behauptungen für bare Münze nehmen, müssen wir uns fragen: Warum sind Code-Schwachstellen immer noch so häufig? Sind die Behauptungen der Entwickler, sie seien Experte im Bereich des sicheren Codes, nur ein Fall von menschlichem Ego? Die Beweise deuten sicherlich in diese Richtung. In einem bescheideneren Eingeständnis geben mehr als 88% der befragten Entwickler zu, dass sicheres Programmieren schwer zu erlernen ist, und 91% der Entwicklungsmanager räumen ein, dass sichere Programmierpraktiken schwierig zu implementieren sind. Auf die Frage nach ihren wichtigsten persönlichen Bedenken im Zusammenhang mit der Implementierung von sicherem Code empfanden 28% der Entwickler den Lernprozess als schwierig, während 24% den Lernprozess als langweilig empfinden. Dies deutet darauf hin, dass die Schulung der Entwickler verbessert werden muss.
Was braucht das menschliche Element?
Um den „herausfordernden“ Faktor zu überwinden, eine lohnende sichere Schulung erfordert einen „Gerüstbau“ -Prozess, der den Entwickler dabei unterstützt, Schritt für Schritt sichere Programmierkenntnisse aufzubauen. Um ein Höchstmaß an Relevanz und unmittelbarer Anwendbarkeit zu erreichen, sollte diese Schulung in dem spezifischen Sprache:Framework stattfinden, das sie täglich verwenden.
Um den Faktor „Langeweile“ zu überwinden, Sicherheitscode-Schulungen müssen praxisnah vermittelt werden — sie haben sich für Entwickler als weitaus ansprechender erwiesen als veraltete Modelle im Klassenzimmer oder „Schau dir dieses Video an“. Dazu sollten Live-Simulationen gehören, die es Entwicklern ermöglichen, manchmal riskante Sicherheitsherausforderungen in einer sicheren Umgebung zu bewältigen. Ziel sollte es sein, Entwicklern beizubringen, Sicherheitslücken im Code während der Arbeit zu finden und zu beheben und sicheres Programmieren zu einem Teil ihres täglichen Ablaufs zu machen. Ein weiterer wichtiger Faktor ist das Linting und Coaching innerhalb der IDE, das Entwicklern hilft, während des Programmierens ständig zu lernen und ihre Fähigkeiten zu verbessern und Sicherheitslücken zu verhindern und zu beseitigen.
Wenn Sie herausfinden möchten, wie Sie Ihren Entwicklern dieses neue Niveau an entwicklerzentrierten Tools und Schulungen zur Verfügung stellen können, eine Demo buchen jetzt.
Du kannst auch lade dein Exemplar herunter des Whitepapers Übergang von der Reaktion zur Prävention: Das sich wandelnde Gesicht der Anwendungssicherheit.
Inhaltsverzeichniss
Secure Code Warrior macht sicheres Programmieren zu einer positiven und ansprechenden Erfahrung für Entwickler, die ihre Fähigkeiten erweitern. Wir begleiten jeden Programmierer auf seinem eigenen bevorzugten Lernweg, sodass sicherheitserfahrene Entwickler zu den alltäglichen Superhelden unserer vernetzten Welt werden.
Secure Code Warrior ist für Ihr Unternehmen da, um Ihnen zu helfen, Code während des gesamten Softwareentwicklungszyklus zu sichern und eine Kultur zu schaffen, in der Cybersicherheit an erster Stelle steht. Ganz gleich, ob Sie AppSec-Manager, Entwickler, CISO oder jemand anderes sind, der sich mit Sicherheit befasst, wir können Ihrem Unternehmen helfen, die mit unsicherem Code verbundenen Risiken zu reduzieren.
Eine Demo buchenHerunterladenRessourcen für den Einstieg
Themen und Inhalte der Securecode-Schulung
Unsere branchenführenden Inhalte werden ständig weiterentwickelt, um der sich ständig ändernden Softwareentwicklungslandschaft unter Berücksichtigung Ihrer Rolle gerecht zu werden. Themen, die alles von KI bis XQuery Injection abdecken und für eine Vielzahl von Rollen angeboten werden, von Architekten und Ingenieuren bis hin zu Produktmanagern und QA. Verschaffen Sie sich einen kleinen Einblick in das Angebot unseres Inhaltskatalogs nach Themen und Rollen.
%20(1).avif)
.avif)
Threat Modeling with AI: Turning Every Developer into a Threat Modeler
Walk away better equipped to help developers combine threat modeling ideas and techniques with the AI tools they're already using to strengthen security, improve collaboration, and build more resilient software from the start.
Ressourcen für den Einstieg
Cybermon is back: Beat the Boss KI-Missionen jetzt auf Abruf verfügbar
Cybermon 2025 Beat the Boss ist jetzt das ganze Jahr über in SCW verfügbar. Setzt fortschrittliche KI/LLM-Sicherheitsanforderungen ein, um die sichere KI-Entwicklung in einem großen Maßstab zu stärken.
Cyber-Resilienz-Gesetz erklärt: Was das für die Entwicklung von Secure by Design-Software bedeutet
Erfahren Sie, was der EU Cyber Resilience Act (CRA) verlangt, für wen er gilt und wie sich Entwicklungsteams mit sicheren Methoden, der Vorbeugung von Sicherheitslücken und dem Aufbau von Fähigkeiten für Entwickler darauf vorbereiten können.
