Eine bessere Zukunft für DevSecOps? Sie ist näher, als Sie denken

Ich habe mich gefreut, gemeinsam mit einer Reihe von Experten an einem aufschlussreichen Artikel von Suparna Goswami in Data Breach Today mitzuwirken. Wie sie richtig feststellt, herrscht weitgehend Einigkeit darüber, dass Sicherheit bereits früh im Softwareentwicklungszyklus (SDLC) adressiert werden muss, um Datenpannen zu verhindern – doch das ist leichter gesagt als getan. Es gibt einige fantastische Einblicke von CISOs sowie aktuelle Umfrageergebnisse, die zeigen, dass die größte Herausforderung für die Anwendungssicherheit in CI/CD-Workflows (Continuous Integration/Continuous Delivery) der „Mangel an automatisierten, integrierten Sicherheitstest-Tools“ ist.

Meiner Ansicht nach sollte DevSecOps beginnen, sobald der Entwickler den ersten Code schreibt. Damit DevSecOps effektiv funktioniert, müssen Entwickler von Anfang an über die nötige Ausbildung, die Fähigkeiten und die Werkzeuge verfügen, um sicher zu programmieren. Wenn Entwickler lernen würden, in Echtzeit sicheren Code zu schreiben – oder noch besser, die Entstehung vieler Fehler von vornherein zu vermeiden –, könnten sich Sicherheitsmanager und Test-Tools darauf konzentrieren, die wirklich komplexen und schwierigen Schwachstellen zeitnah zu finden und zu beheben.

Es gibt viele Lösungen, die Schwachstellen im Code aufspüren, aber die Sicherheit muss stärker darauf ausgerichtet sein, Entwicklern Sicherheitsrichtlinien zu vermitteln, damit diese Fehler gar nicht erst entstehen.

Entwickler sollten dabei unterstützt werden, sicheren Code zu schreiben und die Mehrheit ihrer Fehler direkt während des Programmierens zu beheben. Ich bin stolz darauf, dass die Technologie hierfür heute bereits existiert. So wie Rechtschreib- und Grammatikprüfungen Autoren helfen, können Entwickler heute in Echtzeit dabei unterstützt werden, sicher zu programmieren – geleitet von den jeweiligen Sprach- und Sicherheitsrichtlinien. Meiner Meinung nach ist dies die einfachere, bessere Zukunft für DevSecOps.

Genau das bietet unser Secure Code Warrior Sensei – es fungiert als Echtzeit-Sicherheitscoach für Entwicklungsteams, gesteuert durch AppSec, und stellt sicher, dass Sicherheitsrichtlinien dem Entwickler jederzeit zur Seite stehen. Es hilft ihnen, konsistenter, sicherer und schneller zu programmieren. In unserem Early-Adopter-Programm konnten wir sehen, dass die Zeit zur Fehlerbehebung von durchschnittlich drei Stunden pro Bug auf nur zehn Minuten sinkt.

Wir müssen Sicherheitstools einsetzen, die effizient und vor allem präzise in einem DevSecOps-Zeitplan arbeiten können. Es ist an der Zeit, einen höheren Standard für Softwaresicherheit anzustreben.

Es gibt viele Lösungen, die Schwachstellen im Code aufspüren, aber die Sicherheit muss stärker darauf ausgerichtet sein, Entwicklern Sicherheitsrichtlinien zu vermitteln, damit diese Fehler gar nicht erst entstehen.