Warum Gamification der Schlüssel zur Erhöhung Ihrer Softwaresicherheit ist

AppSec-Manager, CIOs, CIOs, Cybersicherheitsexperten — ich habe im Laufe meiner eigenen Karriere in den Bereichen Softwareentwicklung und Sicherheit mit vielen von ihnen gesprochen, die in Unternehmen aller Art auf der ganzen Welt gearbeitet haben.

Egal, wie unterschiedlich ihre Situation ist, wie erfahren ihr Team ist oder wie viel Zeit in dieser sich ständig verändernden digitalen Welt vergeht, es gibt ein Problem, das immer dasselbe bleibt: Sie sind selten in der Lage, ihr Entwicklungsteam positiv zum Thema Sicherheit zu bewegen. Sicherheit ist immer noch das Schimpfwort, die Quelle von Konflikten zwischen Teams und der regelrechte Schmerz im Hintern der Branche.

Softwaresicherheit ist jedoch einfach zu wichtig für unsere allgemeine Denkweise, um diesen Weg fortzusetzen. Wir müssen daran arbeiten, die Diskussion zu ändern und Sicherheit zu einem integralen Bestandteil des Arbeitslebens jedes Entwicklers zu machen. Und ich denke, eine der besten Möglichkeiten, dies zu tun, besteht darin, Entwickler in Bezug auf Sicherheit zu stärken und mit ihnen in Kontakt zu treten, beispielsweise durch Gamification.

Die aktuelle Landschaft

Entwickler verlassen die Universität mit sehr wenig praktischem Wissen über die Bereitstellung von sicherem Code. Sie arbeiten in Berufen, in denen Sicherheitstraining selten Priorität hat (und wenn, dann ist es normalerweise Teil der obligatorischen Compliance-Videos zum Thema Gesundheit und Sicherheit, die so langweilig sind, dass sich niemand jemals dazu bewegen würde, sich um sicheres Programmieren zu kümmern). Sehr oft ist ihre erste Erfahrung mit Sicherheit ein Audit- oder Test-Bugreport, der eine zukünftige Veröffentlichung plötzlich zum Stillstand bringt und sofort zu einer Störung ihres kreativen Denkens mit oberster Priorität wird. Sie geraten in Streit mit den Verantwortlichen für Sicherheitsberichte, sodass „Sicherheit“ in ihrem Kopf zum Synonym für „Kritik“ wird. Igitt.

Es ist ehrlich gesagt eine echte Schande, dass diese negative Wahrnehmung von Softwaresicherheit so weit verbreitet ist. Schließlich beziehen sich einige der besten Erinnerungen, die ich an meine Karriere habe, darauf, etwas über Softwaresicherheit zu lernen. Meine ersten Hacker-Tage verbrachte ich damit, Konferenzen zu besuchen, auf denen ich nicht nur meine Fähigkeiten gegen Kollegen testen (und, um ehrlich zu sein, auch ein bisschen damit angeben) konnte, sondern auch großen Spaß daran hatte, Gleichgesinnte zu treffen, die genauso viel Spaß daran hatten, Software zu entwickeln wie ich.

BruCon, DefCon, BlackHat... diese Veranstaltungen gaben Leuten wie mir die Möglichkeit, unsere Fähigkeiten in einem freundschaftlichen Wettbewerb einzusetzen. Obwohl ich niemals zugeben würde, an solch unsozialen Dingen teilgenommen zu haben, stellten einige sogar ihre Hackerfähigkeiten unter Beweis, indem sie in die Telefone anderer Teilnehmer einbrachen und deren Informationen auf den Präsentationsbildschirmen für alle sichtbar anzeigten. Es wurde ein Spiel, bei dem diese Fehler gefunden, ausgenutzt und behoben wurden, um Software zu verbessern. Vor ein paar Jahren hatte ich das Privileg, vor Hunderten von Kindern im Nahen Osten zu stehen und ihnen etwas über Cybersicherheit beizubringen. Ich erinnere mich noch an ein achtjähriges Mädchen unter meinen Schülern, das beim Spielen etwas über Brute-Forcing von Passwörtern und Base64-Kodierung lernte.

Gamification wird auch verwendet, um Programmierkenntnisse zu vermitteln. Bildungseinrichtungen auf der ganzen Welt nutzen diesen Ansatz, um sehr jungen Kindern Programmieren beizubringen, sogar bis ins hohe Schulalter. Kinder im Alter von vier Jahren besuchen jetzt regelmäßig Ferieninitiativen wie CodeCamp, und es gibt eine Reihe fantastischer Online-Programme, die Kindern beibringen, in Python und anderen Sprachen zu programmieren. Ich habe sogar das tolle bildschirmlose Codierungstool gekauft, Cubetto, für meine vierjährige Tochter.

Trotz all des Spaßes und Fortschritts gibt es jedoch eine Lücke. Niemand dachte an die Möglichkeit, Gamification zu nutzen, um Entwicklern das Schreiben von sicherem Code beizubringen.

Nun... fast niemand. Vor ein paar Jahren wurde mir klar, dass wir die Sicherheit wieder inspirierend gestalten und die Entwickler wirklich motivieren müssen, sich zu engagieren und mit dem Spielen zu beginnen.

Gamification: Der einfache Weg in die Zukunft.

In mir steckt ein tiefer Drang, Entwickler weiterzuentwickeln und ihnen Sicherheitswissen zu vermitteln, und genau diese Leidenschaft hat mich dazu gebracht, Secure Code Warrior zu entwickeln. Softwaresicherheit ist so wichtig und kann wirklich aufregend sein.

Ich bin mit meinem Denken nicht allein.

Gamification kann selbst die alltäglichsten Aufgaben unterhaltsamer machen und die Leute dazu bringen, weiter zu spielen, zu gewinnen und Fortschritte zu machen — sieh dir nur an, wie Pokémon Go funktioniert! Ich habe sogar die faulste Person von der Couch geholt, draußen auf der Suche nach imaginären Kreaturen, oder wie FitBit es für viele zum täglichen Ziel macht, ihre Schrittzahl zu erreichen... ein sehr reales Gefühl der Enttäuschung entsteht, wenn diese Ziele nicht erreicht werden, wenn Serien beendet und Abzeichen nicht verdient werden.

Also, zurück zum Sicherheitstraining. Wir haben bei vielen Kunden bewiesen, dass Gamification der Schlüssel ist, um die Sicherheitskultur in ihren Organisationen wirklich zu verändern. Wir bauen Brücken zwischen AppSec und Entwicklungsteams und helfen ihnen generell dabei, Software mit höherem Standard zu entwickeln.

Im Moment ist Sicherheit nicht die Priorität des Entwicklers. Indem Sie Ihren Trainingsmethoden ein freundliches, kompetitives und fesselndes Element hinzufügen, motivieren Sie sie, nicht nur zu „spielen“, sondern immer wieder zurückzukehren, um mehr Punkte zu sammeln, Highscores zu übertreffen, genauer zu werden und ihre Teamkollegen herauszufordern.

Wir wissen bereits, dass ein erfolgreiches Training ungefähr so aussieht:

• Entwickler können in echtem Code und in ihren eigenen Sprachen/Frameworks arbeiten
• Die Herausforderungen sind kurz und decken alle gängigen Sicherheitslücken ab
• Die Herausforderungen werden ständig erweitert und aktualisiert, sodass Entwickler ihre Fähigkeiten im Laufe der Zeit weiter ausbauen können
• Die Herausforderungen sind unterschiedlich komplex und daher sowohl für erfahrene als auch für weniger erfahrene Entwickler interessant.
• Entwickler und ihre Manager können den Fortschritt verfolgen, einschließlich der Herausforderungen, die sie gemeistert haben, ihre Stärken und Schwächen, die für die Schulung aufgewendete Zeit und ihre allgemeine Genauigkeit.

Einer unserer größten Kunden zeigte bei seinem Rollout die wahre Magie einer gamifizierten Plattform. Er stattete seine Entwickler mit themenbezogener Teamausrüstung aus, bot den Gewinnern tolle Preise an und machte ihr Turnier zu einem unvergesslichen Tag. Seitdem bieten sie internationale Wettbewerbe an, und ihr gesamtes Team legt bis heute ernsthafte Trainingsstunden ein.

Ihre eigene Software-Revolution beginnt hier. Die australische Bankenbranche ist wegweisend bei der Einführung von gamifiziertem Training im Kampf gegen schlechten Code. Dabei handelt es sich um einen wirklich innovativen Ansatz, der traditionelle (oder langweilige) Schulungen auf den Kopf stellt. Schauen Sie sich einfach an, was unser Kunde mit ihrem Turnier der nächsten Stufe. Bist du bereit Verbessere dein Team bei uns?

Wir müssen daran arbeiten, das Gespräch zu ändern und Sicherheit zu einem integralen Bestandteil des Arbeitslebens jedes Entwicklers zu machen. Und ich denke, eine der besten Möglichkeiten, dies zu tun, besteht darin, Entwickler in Bezug auf Sicherheit zu stärken und mit ihnen in Kontakt zu treten, beispielsweise durch Gamification.