Sind Ihre Entwickler das größte Risiko oder Ihre erste Verteidigungslinie? Bewerten Sie Ihr Unternehmen anhand unserer Checkliste für sichere Programmierung.

Betrachtet man eine beliebige Organisation, ob öffentlich oder kommerziell, gibt es zwei Dinge, die man garantieren kann. Erstens: Ihre Produkte und Dienstleistungen werden zunehmend digital, was bedeutet, dass Softwareentwickler Codezeilen schreiben. Zweitens: Diese digitalen Unternehmen stehen unter dem Druck traditioneller und neuer Wettbewerber und agieren in einer immer dynamischeren, globalen Welt.

In diesem Umfeld sind CIOs zu den neuen Innovatoren geworden und befinden sich in Positionen mit Macht und Einfluss. Der starke Druck, die Markteinführungszeit zu verkürzen, die Qualität zu verbessern und die Flexibilität zu erhöhen, hat jedoch zu komplexen, verteilten Entwicklungsteams geführt. Der Fokus liegt dabei auf der schnellen Entwicklung von Funktionen, ohne sich der Schwachstellen bewusst zu sein, die dabei entstehen könnten.

Mehr denn je ist eine neue Arbeitsweise erforderlich. Man muss sich nur den massiven Schaden bei Equifax nach dem jüngsten Datenleck ansehen, der das Ergebnis unsicherer Programmierung war. CIOs und CISOs sollten sorgfältig darüber nachdenken, ob ihre Entwicklungsteams das erste Risiko darstellen oder ob sie die Sicherheits-Champions des Unternehmens sind – die wahre „erste Verteidigungslinie“.

Ich habe diese Checkliste für sicheres Programmieren erstellt, um CIOs und CISOs dabei zu helfen, zu prüfen, ob sie ihre Entwicklungsteams zu Champions für sicheren Code gemacht haben, die dabei helfen können, mit schnellerem, besserem und sicherem Code zu innovieren.

1. Erkennt Ihre Geschäftsführung, dass herkömmliche Netzwerksicherheit nicht ausreicht?

Die Absicherung der Netzwerkebene mit herkömmlichen Sicherheitsmaßnahmen reicht nicht mehr aus und war selbst gegen semiprofessionelle Hacker selten erfolgreich. Unter vielen übereinstimmenden Berichten stellt der Data Breach Investigations Report 2017 von Verizon fest, dass heute 35 Prozent der Datenpannen durch Schwachstellen in Webanwendungen verursacht werden. Webanwendungssicherheit ist genauso wichtig wie Netzwerksicherheit.

2. Denken Sie von Anfang an an die Sicherheit?

Aktuelle Tools für Anwendungssicherheit konzentrieren sich darauf, sich im Software Development Life Cycle (SDLC) von rechts nach links zu bewegen. Dieser Ansatz unterstützt Erkennung und Reaktion, was bedeutet, dass Sicherheitsteams Schwachstellen im geschriebenen Code finden und darauf reagieren. Laut dem National Institute of Standards and Technology (NIST) ist es 30-mal teurer, Schwachstellen in bereits festgeschriebenem Code zu finden und zu beheben, als sie während des Schreibens in der IDE zu verhindern. Ganz zu schweigen von den Zeitverzögerungen bei der Fehlerbehebung. Champions für sicheren Code setzen ganz links im SDLC an und konzentrieren sich darauf, ihre Entwickler kontinuierlich in sicherem Programmieren zu schulen, damit sie die erste Verteidigungslinie ihres Unternehmens bilden und Schwachstellen von vornherein verhindern können.

3. Bauen Sie tatsächlich Sicherheitskompetenzen auf, anstatt nur Wissen zu vermitteln?

Die meisten Schulungslösungen (online und im Klassenzimmer) konzentrieren sich auf den Wissensaufbau statt auf die Entwicklung von Fähigkeiten. Damit Entwickler sicheren Code schreiben können, benötigen sie regelmäßigen Zugang zu praktischem Lernen, das sie aktiv einbindet, um ihre Fähigkeiten im sicheren Programmieren aufzubauen. Sie müssen etwas über kürzlich identifizierte Schwachstellen lernen – in echtem Code und in ihren eigenen Sprachen/Frameworks. Diese Lernerfahrung sollte ihnen helfen zu verstehen, wie man bekannte Schwachstellen im Code findet, identifiziert und behebt.

4. Messen Sie Ihre Fähigkeiten im sicheren Programmieren mit Echtzeit-Metriken?

Es ist wichtig, Nachweise zu schaffen, die dem Entwickler und seinem Unternehmen zeigen, dass sich die Fähigkeiten im sicheren Programmieren verbessern. Was man nicht messen kann, kann man nicht verbessern. Ihre Bewertungen sollten dabei helfen, den Fortschritt Ihrer Entwicklungsteams in Echtzeit zu identifizieren sowie deren Stärken und Schwächen beim sicheren Programmieren zu bewerten.

5. Sind Sie sicher, dass Ihre externen Dienstleister Techniken für sicheres Programmieren anwenden?

Viele Unternehmen entscheiden sich dafür, Entwicklungsarbeiten an große Onshore- oder Offshore-Häuser zu vergeben. Im besten Fall besteht die einzige Sicherheitsgarantie, die ein Unternehmen verlangt, aus einer Vertragsklausel, dass das Ergebnis „sicher“ sein muss. Nur wenige prüfen die Fähigkeiten dieser Häuser vorab und erhalten am Ende Software, die nicht den bewährten Praktiken für sicheres Programmieren entspricht. Im schlimmsten Fall wissen sie nichts davon und bringen die Anwendung live. Das häufigste Szenario ist, dass die Mängel von spezialisierten Experten entdeckt werden (für die Sie bezahlen), was zu Verzögerungen beim Go-Live und vertraglichen Diskussionen darüber führt, wer für die Behebung dieser Sicherheitslücken aufkommen muss. Seien Sie von Anfang an clever und bewerten Sie die Fähigkeiten der Entwickler, die Ihre nächste Anwendung erstellen sollen.

6. Sind sich Ihre Entwickler der häufigsten Sicherheitsschwachstellen bewusst?

85,5 % der ausgenutzten Schwachstellen in Webanwendungen lassen sich auf nur 10 bekannte Schwachstellen zurückführen – die OWASP Top 10. Ihre Schulung zur Anwendungssicherheit muss mindestens diese und viele weitere Schwachstellentypen abdecken. Die Herausforderungen, die Ihre Entwickler absolvieren, müssen kontinuierlich überarbeitet und mit neuen Aufgaben für neue Programmier-Frameworks oder Schwachstellentypen aktualisiert werden.

7. Haben Sie interne Sicherheits-Champions?

Jedes entwicklerorientierte Unternehmen sollte in eine Person investieren, die sich innerhalb der Entwicklungsteams für Sicherheit stark macht. Ihre Aufgabe ist es, als Ansprechpartner für alle sicherheitsrelevanten Fragen zu fungieren und gleichzeitig sichere Programmier- und Architekturpraktiken im Team zu fördern.

8. Haben Sie in Tools investiert, die Ihren Entwicklern das sichere Programmieren erleichtern?

In Umgebungen mit häufigen Anwendungsänderungen oder agiler Entwicklung ist die Automatisierung von Sicherheitsaspekten unerlässlich, um mit Tempo und Volumen Schritt zu halten. Für jede Phase des Entwicklungszyklus gibt es Tools, die als Berater, Qualitätskontrolle oder Erkennungssysteme dienen. IDE-Plugins können wie eine Rechtschreibprüfung während des Schreibens auf bestimmte Sicherheitslücken hinweisen. Andere Tools lassen sich in den Build-Prozess integrieren und erkennen Schwachstellen bereits beim Einreichen des Codes. Wieder andere führen automatisierte Tests durch, die Hacking-Techniken simulieren, sobald die Software produktiv ist. Jedes Tool hat Vor- und Nachteile, und keines bietet eine hundertprozentige Garantie. Die goldene Regel lautet: Je früher eine Schwachstelle erkannt wird, desto schneller und kostengünstiger lässt sie sich beheben, ohne den Geschäftsbetrieb zu beeinträchtigen.

Während CIOs ihre agilen Unternehmensfähigkeiten massiv ausbauen, werden sichere Programmierkenntnisse zu einem Innovationsmotor – ihr Fehlen hingegen zu einem erheblichen Risiko. Überlegen Sie es sich gut, bevor Sie auf diese entscheidende Kompetenz verzichten.

Wie hat Ihr Unternehmen bei dieser Checkliste abgeschnitten?

Während CIOs ihre agilen Unternehmensfähigkeiten massiv ausbauen, werden sichere Programmierkenntnisse zu einem Innovationsmotor – ihr Fehlen hingegen zu einem erheblichen Risiko. Überlegen Sie es sich gut, bevor Sie auf diese entscheidende Kompetenz verzichten.