Zertifiziertes Sicherheitsbewusstsein: Eine Executive Order zur Förderung von Entwicklern

Wenn es so etwas wie ein perfektes Timing gibt, dann hat die Biden-Administration mit ihrer Executive Order (EO) genau ins Schwarze getroffen. Sie adressiert den Plan der US-Regierung, Bundesnetzwerke besser zu schützen sowie Cybersicherheitsstandards und Best Practices landesweit zu verbessern. Diese Strategie folgt auf zwei verheerende Cyberangriffe: den anhaltenden Lieferketten-Angriff auf SolarWinds sowie den Angriff auf die Colonial Pipeline Gasinfrastruktur.

Während diese Ereignisse zweifellos auf allen Regierungsebenen für Unruhe gesorgt haben, markiert diese Richtlinie einen spannenden Moment für die Zukunft der Cybersicherheit. Es scheint, als würden wir endlich anfangen, unsere digitale Existenz von höchster Stelle aus ernsthaft zu schützen – es gibt keinen besseren Zeitpunkt, um auf bessere Standards und qualitativ hochwertigere Software zu drängen als jetzt.

Die EO berührt viele Aspekte der funktionalen Cybersicherheit, unterstreicht jedoch erstmals explizit die Rolle von Entwicklern und die Notwendigkeit, dass diese über nachgewiesene Sicherheitskompetenzen und ein entsprechendes Bewusstsein verfügen. Seit Jahren fordern wir lautstark, dass dies der richtige Weg ist, um die häufigen Schwachstellen zu bekämpfen, die uns immer wieder zum Verhängnis werden. Dass staatliche Vorgaben nun diesen Ansatz verfolgen, ist der Weg zu einem flächendeckenden Erfolg in der Cyberabwehr.

Wie sollten Organisationen – und auch Bundesbehörden – auf diese Anordnung reagieren? Lassen Sie uns einige der wichtigsten Kategorien beleuchten.

„Abhaken“ reicht nicht mehr aus.

Wir weisen schon lange darauf hin, wie ineffektiv die meisten Arten von Cybersicherheitsschulungen für Entwickler sind. Sie sind oft zu allgemein gehalten, werden nicht auf eine Weise vermittelt, die motiviert und zu den gewünschten Ergebnissen führt (sprich: sicherere Code-Qualität), und finden viel zu selten statt. Schlimmer noch: Viele Unternehmen geben sich mit „Abhaken“-Schulungen zufrieden – ein Ansatz, der nur das absolute Minimum bietet, um eine betriebliche Anforderung zu erfüllen und einen Haken hinter den Namen eines Entwicklers zu setzen. Solche Bildungsstrategien lassen jeden CISO zittern, während er hofft, dass sein Unternehmen nicht das nächste Opfer einer Zero-Day-Lücke wird. Sie tragen schlichtweg nicht dazu bei, Schwachstellen zu reduzieren und qualitativ hochwertigeren Code zu erstellen.

In Abschnitt 4 von Bidens Mandat wird die Notwendigkeit für eine Organisation, nachzuweisen, dass ihre Entwickler dokumentierte und verifizierte Sicherheitskonformität aufweisen, deutlich gemacht:

‍

„Die Richtlinien müssen Kriterien enthalten, die zur Bewertung der Softwaresicherheit herangezogen werden können, Kriterien zur Bewertung der Sicherheitspraktiken der Entwickler und Anbieter selbst umfassen sowie innovative Werkzeuge oder Methoden identifizieren, um die Einhaltung sicherer Praktiken nachzuweisen.”

Es gibt dabei ein kleines Problem: Bisher existiert keine branchenweite Zertifizierung, die speziell auf Entwickler zugeschnitten ist. Um das Niveau der sicheren Programmierkenntnisse von Entwicklern messen und durch gezielte Kurse und Bewertungen verbessern zu können, ist ein solcher Standard grundlegend. Er ermöglicht es Unternehmen, Ziele zu setzen und Compliance zu erreichen. Wenn Entwickler ihre Kernkompetenzen in einer praktischen, hands-on Umgebung unter Beweis stellen können, lässt sich dies sinnvoll und vertrauenswürdig zertifizieren. Dies ist ein zentraler Bestandteil unseres Angebots bei Secure Code Warrior. Wir haben hart daran gearbeitet, ein System zu entwickeln, das für eine zuverlässige Zertifizierung genutzt werden kann und sich an den jeweiligen Tech-Stack sowie die organisatorischen Anforderungen anpassen lässt.

Diese Fähigkeiten sind wertvoll und lassen sich nicht automatisieren. Eine Zertifizierung kann Entwickler in eine sicherheitsbewusste Truppe verwandeln, die die Codebasis gegen heimtückische Bedrohungen verteidigen kann.

‍

Ein Fokus auf Entwickler-Tools (und Werkzeuge im Allgemeinen).

Zusätzlich zu den Richtlinien zur Überprüfung sicherer Programmierpraktiken geht die EO sehr detailliert auf den Bereich Automatisierung und Sicherheitstools ein.

Es wird schlichtweg zu viel Code produziert, als dass Menschen ihn aus Sicherheitsperspektive allein bewältigen könnten. Automatisierung – als Teil eines umfassenden Tech-Stacks – ist daher ein wesentlicher Bestandteil jedes Sicherheitsprogramms, wie es auch sein sollte. Allerdings sind nicht alle Tools gleichwertig, und es gibt kein „Allheilmittel“, das jede Schwachstelle in jeder Programmiersprache erkennt. Ein exzellentes Sicherheitsprogramm erfordert einen differenzierten Ansatz, insbesondere wenn es um Tools und Dienste geht, die sich an Entwickler richten.

Abschnitt 3 der EO beschreibt die Erwartungen an Anbieter, die Software für die Nutzung durch die Bundesregierung entwickeln, sowie hilfreiche Richtlinien für den Einsatz von Tools im Entwicklungsprozess:

‍

“ (iii) Einsatz automatisierter Tools oder vergleichbarer Prozesse zur Aufrechterhaltung vertrauenswürdiger Quellcode-Lieferketten, um so die Integrität des Codes zu gewährleisten;
(iv) Einsatz automatisierter Tools oder vergleichbarer Prozesse, die auf bekannte und potenzielle Schwachstellen prüfen und diese beheben; diese müssen regelmäßig oder mindestens vor der Veröffentlichung eines Produkts, einer Version oder eines Updates ausgeführt werden.”

Sicherheitstools im Tech-Stack der Entwickler sind eine Möglichkeit, Best Practices für Sicherheit schnell zu verbessern und sicherzustellen, dass Releases ihre Termine einhalten können, ohne durch Sicherheitslücken oder andere kritische Fehler aufgehalten zu werden. Die Sache ist jedoch die: Entwickler benötigen dennoch kontextbezogenes Lernen, um die mächtigsten Tools optimal nutzen zu können. Dass sie verstehen, was markiert wurde, warum es gefährlich ist und wie man es behebt, ist entscheidend – und führt dazu, dass von vornherein weniger Fehler entstehen, die von den Tools erkannt werden müssen.

Die besten Tools integrieren sich nahtlos in die Umgebung der Entwickler, unterstützen sie bei der Erstellung von qualitativ hochwertigerem (und sicherem) Code und sorgen dafür, dass Sicherheit stets im Fokus bleibt.

‍

Absicherung der Lieferkette.

Einer meiner Lieblingsaspekte der Executive Order sind die umfassenden Pläne zur Sicherung der Software-Lieferkette. Angesichts des SolarWinds-Vorfalls ist das wenig überraschend, aber dennoch ein wichtiger Punkt:

„Die Sicherheit der von der Bundesregierung genutzten Software ist entscheidend für deren Fähigkeit, ihre kritischen Funktionen zu erfüllen. Bei der Entwicklung kommerzieller Software mangelt es oft an Transparenz, einem ausreichenden Fokus auf die Widerstandsfähigkeit gegen Angriffe sowie an angemessenen Kontrollen, um Manipulationen durch böswillige Akteure zu verhindern. Es besteht ein dringender Bedarf, strengere und berechenbarere Mechanismen zu implementieren, um sicherzustellen, dass Produkte sicher und wie vorgesehen funktionieren... Die Bundesregierung muss Maßnahmen ergreifen, um die Sicherheit und Integrität der Software-Lieferkette rasch zu verbessern, wobei der Schwerpunkt auf kritischer Software liegt.“

Diese Regelung betrifft jedes Softwareunternehmen, das Geschäfte mit der US-Regierung anstrebt, sollte jedoch überall als Standard gelten. Die mangelnde Transparenz von Drittanbietern (ganz zu schweigen von Entwicklern, die Drittkomponenten verwenden) hinsichtlich ihrer Sicherheitsmaßnahmen macht es extrem schwierig, die Einhaltung von Best Practices im Bereich Cybersicherheit zu bewerten, zu validieren und zu bestätigen. Wir müssen unsere Zulieferer und die von ihnen geschriebene Software analysieren. Diese Maßnahmen mögen als „Extra-Meile“ erscheinen, sollten aber zum Goldstandard für Cybersicherheit gehören.

Die Bereitstellung sicherer Software war in unserer Branche lange Zeit ein wunder Punkt. Dies ist jedoch die perfekte Gelegenheit, aktuelle Prozesse zu bewerten und den Weg zu gehärteter Software und Cloud-Infrastruktur zu ebnen, um die Konkurrenz hinter sich zu lassen. Sprechen Sie uns jetzt an und erfahren Sie, wie Sie Kurse, Assessments und Entwicklertools nutzen können, um Ihr nächstes Team sicherheitsbewusster Entwickler zu zertifizieren.

‍