Hör auf, meinen Arbeitsablauf zu stören! Wie Sie das richtige Sicherheitstraining zur richtigen Zeit erhalten

Denken Sie an das letzte Mal, als Sie bei der Arbeit waren, vielleicht in einem Softwareprojektteam, das zu einer unmöglichen Frist gearbeitet hat. Und dann kommt Ihr Manager und sagt, dass einige obligatorische Sicherheitsschulungen erforderlich sind und dass diese zusätzlich zu allem anderen in Ihren Arbeitstag integriert werden müssen.

Sie wissen es und du weißt es. Es ist eine riesige PITA, aber aus Compliance-Gründen werden Sie im Hintergrund einige langweilige Trainingsvideos abspielen, während Sie weiter programmieren, beide Aufgaben ein- und ausschalten und Ihre volle Aufmerksamkeit keiner von beiden widmen. Das ist ein übliches Szenario; es ist äußerst störend und verschwendet die Zeit aller Beteiligten. Die meisten Sicherheitsschulungen sind zu allgemein gehalten, und es ist leicht, etwas zu ignorieren, das an einem Arbeitstag ein- und ausfällt und keinen wirklichen Nutzen hat.

Als Unternehmen ist es unser Ziel, Ihnen eine bessere und effektivere Art von Sicherheitsschulung zu bieten. Dies ist darauf zurückzuführen, dass wir genau wissen, wie es ist, von dem, was das AppSec-Team für wichtig hält, losgelöst zu werden, wenn alle Ihre Prioritäten falsch ausgerichtet sind. Interessant ist jedoch, dass wir angefangen haben, darüber nachzudenken, was wir tun könnten, um die Barriere zu verringern, die Sie daran hindert, zu trainieren, wenn Sie es brauchen. Selbst mit unserer vollständigen Plattform sind einige Schritte erforderlich, die Sie von Ihrer Arbeit ablenken, in Momenten, in denen Sie immer noch einen hilfreichen Schub benötigen, aber keinen Konzentrationsblock einer Trainingseinheit widmen können.

Wir haben untersucht, wie Microlearning nahtloser in Ihren Workflow, in der IDE oder im Issue Tracker, implementiert werden kann. Und das haben wir uns ausgedacht:

Dies basiert auf Just-in-Time-Prinzipien (JiT), bei denen Ihnen das richtige Wissen zur richtigen Zeit zur Verfügung gestellt wird, damit es sofort wirksam und nützlich ist. Es ist das Gegenteil des Lernansatzes für alle Fälle, bei dem es sich häufig um eine Informationsflut handelt, die wertvolle Zeit und Kopfraum für die Erstellung von Funktionen kostet.

Qualitätscode ist sicherer Code, und wenn Sie einen nicht-invasiven Sicherheitsexperten benötigen, mit dem Sie gelegentlich zusammenarbeiten können, dann könnte es sich lohnen, ihn zu testen.

Beseitigen Sie die Barrieren und bringen Sie das Training zu Ihnen.

Cybersicherheit mag für einige von Interesse sein, aber nicht für alle. Und niemand sollte erwarten, dass Entwickler zu Sicherheitsexperten werden — das bleibt immer noch die Aufgabe spezialisierter AppSec-Teams. Sicherheitsbewusste Entwickler werden jedoch für ihre Fähigkeiten und den Schutz, den sie Unternehmen bereits in der Phase der Codeerstellung bieten können, verehrt. Diese Position ist sehr gefragt, und mit kontextbezogenem Mikrolernen können Sie im Laufe der Zeit die Grundlagen dafür schaffen.

Wenn Sie nun über integriertes Training nachdenken, das eher Clippy ähnelt (möge er in Frieden ruhen), dann ist es wichtig zu beachten, dass die Integrationen von Secure Code Warrior von Entwicklern für Entwickler entwickelt wurden, sodass der Irritationsfaktor berücksichtigt und ausgelöscht wurde.

Schauen wir uns das mal in Aktion an:

Secure Code Warrior for Github überprüft den Code auf Common Weakness Enumeration (CWE) - oder OWASP-Referenzen in den Labels, dem Titel der Ausgabe und dem Hauptteil der Probleme, um kontextbezogenes Just-in-Time-Training anzuzeigen. Es funktioniert so, dass, wenn eine Schwachstellenreferenz gefunden wird, ein Kommentar zu dem Problem veröffentlicht wird, um eine schnelle Lösung und Vermeidung wiederkehrender Sicherheitslücken zu ermöglichen. Es lässt sich in das Problem integrieren, ohne dass Ihr Prozess unterbrochen wird oder Sie bei der Suche nach einer Lösung durch einen Reifen springen müssen.

Und wenn Sie Jira verwenden, ist der Vorgang ähnlich:

Für die amtierenden sicherheitsbewussten Superstars ist es wichtig, sich daran zu erinnern, dass es nicht nur an Ihnen liegt, Magie zu verwirklichen. Sie benötigen Unterstützung, Schulung und einen Grund, Sicherheit ernst zu nehmen und sie in Ihren eigenen Arbeitsablauf zu integrieren. Zum Glück ist das alles Teil eines funktionierenden DevSecOps-Prozesses, und viele Organisationen nehmen das bereits zur Kenntnis. Warum nicht einen Vorsprung bekommen?

Laden Sie sie jetzt herunter, und lass uns wissen, was du denkst.