Prognosen für 2024: Sicherheit, KI, Entwicklerbindung und der Weg in die Zukunft

Es ist wieder diese Zeit des Jahres. Die Zeit, um auf alles zurückzublicken, was geschehen ist, was wir erwartet hatten und was nicht, welche Lektionen wir gelernt haben und was unserer Meinung nach die Entscheidungen, Maßnahmen und Ergebnisse der nächsten 12 Monate prägen wird.

Herausfordernde wirtschaftliche Dynamiken, neue Cybersicherheitsbedrohungen und der bisher zugänglichste Einstieg der Gesellschaft in die KI haben das Jahr 2023 für DevSecOps zu einer interessanten Zeit gemacht. Noch spannender ist, dass diese Faktoren auch beim Übergang ins Jahr 2024 keineswegs der Vergangenheit angehören. Sie stehen für Unternehmen, ihre Entwickler- und Sicherheitsteams sowie für Regulierungsbehörden weiterhin im Mittelpunkt.

Da sich die Prioritäten in rasantem Tempo verschieben, sind hier die wichtigsten Prognosen von Secure Code Warrior für die kommenden 12 Monate:

Unternehmen werden die Bindung von Entwicklern priorisieren

Entwickler leisten einen enormen Beitrag für Unternehmen und deren Kunden. Nun liegt es an den Unternehmen, diesen Wert zu würdigen und zu erkennen, was Entwickler für ihren Geschäftserfolg tun können. Es wird verstärkt in Bindungsstrategien, Programme und andere Maßnahmen investiert, um sicherzustellen, dass Entwickler ihren aktuellen Arbeitgeber als langfristige berufliche Heimat sehen. Aus- und Weiterbildung wird für diese Unternehmen ein entscheidender Wettbewerbsvorteil sein.

Höhere Anforderungen an Entwickler rücken Inhalte und Integrationen in den Mittelpunkt.

Der Druck auf Entwickler wird so schnell nicht nachlassen, da Unternehmen mehr Software und eine kontinuierliche digitale Transformation fordern, um ihre Kunden schneller zu bedienen. Damit Entwickler leistungsfähig bleiben, potenzielle Hindernisse im Softwareentwicklungslebenszyklus (SDLC) frühzeitig erkennen und Zugang zu mehr Ressourcen für schnellere Innovationen haben, werden Lerninhalte und Drittanbieter-Integrationen von größter Bedeutung sein.

KI-Tools sind das neue Stack Overflow

So wie Entwickler bisher Stack Overflow oder Open-Source-Foren zur Problemlösung genutzt haben, werden sie sich nun zunehmend KI-Tools zuwenden. Dies erzeugt jedoch ein trügerisches Gefühl von Sicherheit. Entwickler werden KI als „Hilfskanal“ verwenden, doch Unternehmen werden erkennen, dass dieser Ansatz allein nicht ausreicht.

KI-gestützte Fehlerbehebung ist gekommen, um zu bleiben

KI wird den Entwickler nicht von heute auf morgen ersetzen, aber die Technologie wird zunehmend in den Softwareentwicklungslebenszyklus (SDLC) integriert. Dies schafft sicherere Prozesse, um Schwachstellen zu vermeiden oder passende Lösungen schneller zu identifizieren. Wir werden im Laufe des Jahres zweifellos mehr Experimente sehen, die zwangsläufig zu Veränderungen im Entwicklerverhalten, bei Unternehmensinvestitionen, in der Personalplanung und bei neuen Ansätzen für das Cybersicherheits-Risikomanagement führen werden.

KI-Abhängigkeit + explosives API-Wachstum = regulatorische Maßnahmen

Die Anzahl der Unternehmen, die ihr Geschäft durch die beschleunigte Erstellung und Bereitstellung von APIs vorantreiben, hat die Angriffsfläche für API-Bedrohungen erheblich vergrößert. Da die Nutzung von KI die Geschwindigkeit, mit der APIs erstellt und veröffentlicht werden, exponentiell erhöht, muss eine stärkere Governance für API-Sicherheit in den Fokus rücken – und neue regulatorische Maßnahmen werden mit Sicherheit folgen.

Mehr Konsequenzen für Softwareanbieter, die keinen sicheren Code liefern

CISA-Direktorin Jen Easterly hat unmissverständlich klargestellt, dass Softwareanbieter nicht die Verantwortung für die Sicherheit ihrer Produkte „von sich weisen“ dürfen. Auch wenn die Befugnisse der CISA begrenzt sind – sie hilft lediglich dabei, „Secure-by-Design“-Praktiken bei Anbietern durchzusetzen, die an Bundesbehörden verkaufen –, hat der MOVEit-Vorfall Anfang des Jahres bestätigt, dass große Softwareanbieter einen neuen Standard erreichen und übertreffen müssen. Es bedarf mehr Rechenschaftspflicht und spürbarerer Konsequenzen für Wiederholungstäter, die unsicheren Code ausliefern.

Die OWASP Top 10 für 2024 werden einen erneuerten Fokus auf Designfehler legen

Zum Thema Secure-by-Design: 2021 führte OWASP die Kategorie „Insecure Design“ ein, die den Fokus auf architektonische Sicherheitsprobleme und Schwachstellen lenkt. Mit Blick auf die kommende Top-10-Liste (voraussichtlich 2024) wird auf Führungsebene verstärkt über den Unterschied zwischen unsicherem Design und unsicherer Implementierung diskutiert werden. Dabei liegt der Schwerpunkt auf Teams, die einen sicheren Softwareentwicklungslebenszyklus (SSDLC) entwickeln, einschließlich eines umfassenden Threat-Modeling-Verfahrens, das kritische Konfigurationen für Authentifizierung und Zugriffskontrolle unterstützt.

DevSecOps-Anbieter müssen einen konkreten ROI nachweisen, um verschiedene Entscheider auf Führungsebene zu überzeugen

Um in einem wettbewerbsintensiven Verkaufszyklus an verschiedene Gruppen zu verkaufen, müssen Anbieter ihre Argumentation auf unterschiedliche Geschäftsbereiche zuschneiden. Traditionell verkaufen Sicherheitsanbieter primär an CISOs oder Sicherheitsverantwortliche. 2024 wird es wichtiger denn je, die Risikominimierung in immer spezifischeren Kontexten für Führungskräfte aus den Bereichen L&D und DevOps/AppSec nachzuweisen – zusätzlich zu Security/CISOs.

„Gatekeeping“ wird der Schlüssel zur Sicherheitsreife in der Softwareentwicklung

CISOs stehen weiterhin unter Druck, den geschäftlichen Mehrwert von Cybersicherheitsmaßnahmen sowie die Effektivität ihres Programms im Zeitverlauf nachzuweisen. Entwickler müssen zunehmend belegen, dass sie sicherheitsbewusst arbeiten, bevor ihnen Projekte mit sensiblen Repositories anvertraut werden. CISOs, die einen „Gatekeeping“-Standard einführen und sicheres Programmieren von Beginn des Softwareentwicklungsprozesses an priorisieren, stellen ihre Teams besser für exzellente Sicherheit auf.

Reaktive Sicherheit gilt als veraltet

Da das Ziel einer erhöhten Cyber-Resilienz die Strategien in vielen Branchen dominiert, werden diejenigen, die sich nur auf Reaktion und Incident Response verlassen, ein inakzeptables Risiko eingehen. „Shift Left“ muss mehr als ein abgenutztes Schlagwort sein; Sicherheit auf Code-Ebene sollte Priorität haben, ebenso wie die Weiterbildung und Kompetenzprüfung der Entwickler, die an unserer Software und kritischen digitalen Infrastruktur arbeiten. Mehr denn je müssen sich Regierungen und Unternehmen zu einem präventiven, sicherheitsbewussten Programm verpflichten, bei dem jeder Mitarbeiter Verantwortung übernimmt.

Als führender Anbieter für Schulungen und Implementierung im Bereich Secure Coding freuen wir uns auf das kommende Jahr und die Zusammenarbeit mit unseren über 600 Kunden, um diesen sich wandelnden Dynamiken einen Schritt voraus zu sein. Wie sieht Ihr Jahr 2024 aus und wie kann Secure Code Warrior Sie unterstützen?

Möchten Sie mehr erfahren? Folgen Sie uns auf X und LinkedIn, um über alle Ankündigungen auf dem Laufenden zu bleiben.