Das Beste vom Brunch: Unsere AppSec-Führungskräfte teilen ihr Wissen

Im Laufe meiner Karriere als AppSec-Profi hatte ich das Glück, einige der beeindruckendsten Talente der Branche kennenzulernen. Jeder von ihnen trägt dazu bei, die stetig wachsenden Code-Netzwerke der Welt sicherer und robuster zu machen. An diesem Punkt meiner Laufbahn (mit etwas mehr Wissen und deutlich weniger Haaren!) werde ich oft gebeten, zu den zukünftigen Stars der Softwaresicherheit zu sprechen – eine Aufgabe, die ich liebe. Ich weiß jedoch auch, wie wichtig es ist, als Führungskraft und Mentor für diejenigen sichtbar zu sein, die wachsen und Verantwortung übernehmen wollen.

Kürzlich war ich mit einem Teil des Secure Code Warrior-Teams in London. Wir veranstalteten einen Brunch, um einige AppSec-Superstars zum Netzwerken, für neue Erkenntnisse und bei einem Gebäck zusammenzubringen. Vor über sechzig Gästen teilten sie ihr Expertenwissen in einer Podiumsdiskussion und begeisterten das Publikum für die Zukunft der Anwendungssicherheit.

Das Panel widmete sich brennenden Themen wie der optimalen Nutzung des AppSec-Budgets und beantwortete knifflige Fragen aus dem Publikum. Es war ein inspirierender Vormittag, der Sicherheitsmanagern, Spezialisten und Entwicklern zweifellos dabei helfen wird, tragfähige Programme in ihren Unternehmen zu etablieren.

Wir hatten das Privileg, folgende Führungskräfte für das Panel zu begrüßen: Tools vs. Menschen: Wird Ihr AppSec-Budget beiden gerecht?

• Vincent Gilbert, CISO, Societe Generale
• Cédric Levy-Béncheton, CEO, Cetome
• Reena Shah, Head of Security & Privacy Culture and Awareness, M&G Prudential
• Lee Thurlow, Global AppSec Director, Pearson
• Lewis Bramfitt, Managing Director, Bramfitt Lab.

Jeder Sprecher teilte seine Gedanken zur Tool-Landschaft im AppSec-Bereich (Spoiler: Da Unternehmen so viel Software produzieren, ist die Auswahl der richtigen Tools ein Minenfeld. Schließlich kann kein einzelnes Tool alles abdecken).

Reena Shah brachte einen interessanten Punkt ein. In nur wenigen Jahren haben wir einen positiven Wandel in der Wahrnehmung von AppSec in großen Unternehmen erlebt, der es ermöglicht, ein entscheidendes Element zu etablieren: die Investition in Menschen, um Sicherheitsstandards und eine entsprechende Kultur zu fördern:

„Ich glaube, es findet ein Wandel statt. Als ich vor vier Jahren anfing, war es sehr schwierig, ein Budget und ein Team für Sicherheitskultur und Awareness zu bekommen. Heute ist das keine Herausforderung mehr für mich. Es fällt mir leicht zu sagen: ‚Das ist das Budget und das sind die Leute, die ich brauche, um Risiken zu senken.‘ Ich sehe einen massiven Wandel, weil der Vorstand und die Geschäftsführung verstehen, wie wichtig es ist, Mittel für die Reduzierung von Sicherheitsvorfällen bereitzustellen“, sagte sie.

Sie können sich die gesamte Podiumsdiskussion hier ansehen:

Für mich ist es unglaublich erfrischend zu sehen, dass die Zukunft von AppSec den Schwerpunkt auf die richtige Schulung und das Wissen der Entwickler an vorderster Front legt. So können sie eine solide Verteidigung gegen altbekannte Schwachstellen aufbauen, die immer wieder ihr hässliches Gesicht zeigen.

Tools bieten eine gewisse Unterstützung, aber wir müssen den Tatsachen ins Auge sehen: Wir müssen einfach aufhören, dieselben Fehler zu wiederholen.

Den AppSec-Fehlerkreislauf durchbrechen

Im Rahmen des „Leaders in AppSec“-Brunchs hielt ich einen Vortrag darüber, wie wir das kostspielige, anhaltende Problem immer wiederkehrender Sicherheitslücken angehen können. Tools finden sie zwar, aber sie verhindern sie kaum. Entwickler benötigen die richtige Schulung, um deren Entstehung von vornherein zu unterbinden.

Und nun ja, wir Entwickler sind ein spezielles Völkchen. Manche Schulungen sind bei Engagement und Wissensspeicherung deutlich effektiver als andere. Meinen vollständigen Vortrag können Sie hier ansehen:

Ein Fokus auf Sicherheitsschulungen, allgemeines Bewusstsein und eine positive Kultur zwischen Entwicklern und AppSec wirkt wie Kryptonit auf Angreifer. Diese kleinen Hintertüren schließen sich, einfache Wege zu unseren Daten versiegen und Sicherheits-Superhelden arbeiten zusammen, um Sicherheit mit Softwarequalität gleichzusetzen.

Langsam, aber sicher kommen wir ans Ziel.