Wie kreative CISOs und CIOs ihr Sicherheitsprogramm innovativ gestalten und transformieren können

Eine Version dieses Artikels erschien auf DevOps.com; er wurde neu betitelt und um neue Informationen ergänzt.

CISOs und CIOs befinden sich in der undankbaren Lage, den Löwenanteil der Verantwortung für Softwaresicherheit zu tragen, insbesondere wenn es zu einer peinlichen Datenpanne im Unternehmen kommt. Gleichzeitig bietet sich ihnen jedoch eine einzigartige Chance, an Bedeutung zu gewinnen: Sie sind die neuen Innovatoren und können mit dem richtigen Ansatz enormen Einfluss ausüben. Jedes Unternehmen weltweit, ob öffentlich oder kommerziell, kämpft darum, seinen Marktanteil in einer sich rasant digitalisierenden Welt zu behaupten (und auszubauen). Kunden erwarten von Produkten – ob bestehend oder zukünftig – ein nahtloses Online-Erlebnis, und ein „Digital-first“-Geschäftsansatz wird zur Pflicht. Wenn diese Erwartungen nicht erfüllt werden, steht mit Sicherheit ein Wettbewerber bereit, der diese Chance nutzt.

Was bedeutet das nun für den modernen CISO oder CIO? Natürlich bedeutet es, dass sie Teams von Entwicklern beschäftigen, die Zeile für Zeile den Code schreiben, aus dem ihre digitalen Produkte oder Dienstleistungen bestehen. Cybersicherheit ist zwar seit vielen Jahren ein zentrales Thema, wird aber zu einem immer größeren Risikofaktor, da immer mehr Geschäftsprozesse online stattfinden und damit in den Fokus von Angreifern rücken. Die Folgen einer Sicherheitsverletzung sind enorm, doch auf Digitalisierung zu verzichten, ist keine Option.

Kreative CISOs und CIOs sind in einer hervorragenden Position, um gemeinsam mit ihren AppSec- und Entwicklungsteams den Weg in unsere digitale Zukunft zu ebnen. Sie werden zweifellos die langfristige Innovation von Unternehmen, Behörden und öffentlichen Online-Diensten prägen, tragen aber die schwere Verantwortung, die Ziele einer schnellen Markteinführung, hoher Softwarequalität und der Minderung von Sicherheitsrisiken in Einklang zu bringen.

Dieses Gleichgewicht war bisher extrem schwer zu finden. Es hat zu oft fragmentierten Entwicklungsteams geführt, deren Hauptaugenmerk auf der Bereitstellung von Funktionen liegt, ohne die Schwachstellen zu berücksichtigen, die sie in dem Code, den sie so schnell produzieren, möglicherweise erzeugen. AppSec-Spezialisten beheben ständig dieselben Fehler, während das Risiko eines Angriffs durch eine relativ einfache, offen gelassene Hintertür wie ein Damoklesschwert über ihnen schwebt.

Wenn unsere Daten sicher bleiben sollen, müssen CISOs und CIOs bei der Zusammenarbeit ihrer Teams kreativ werden und von oben herab eine Kultur der positiven Sicherheit und gemeinsamen Verantwortung schaffen. Man denke nur an die katastrophalen Folgen für Marriott infolge der Datenpanne von 2018: eine DSGVO-Strafe von über 123 Millionen US-Dollar, mehr als 500 Millionen gestohlene Datensätze und ein ruinierter Ruf in Sicherheitsfragen. Dieses Desaster war zu einem großen Teil das direkte Ergebnis unsicherer Programmierpraktiken, wobei SQL-Injection-Schwachstellen bereits 2014 auf den Servern von Starwood entdeckt wurden, einem Unternehmen, das 2016 von Marriott übernommen wurde. Die anschließende Nutzung der Software blieb aus Sicht der Anwendungssicherheit eindeutig ungeprüft. Dies gab böswilligen Angreifern mehrere Jahre Zeit, auf Daten zuzugreifen und diese zu entwenden, während andere Schwachstellen, wie schwache Passwörter, im Laufe der Zeit weitere Einfallstore boten.

CIOs und CISOs müssen den Zustand ihrer eigenen Softwaresicherheit sehr genau unter die Lupe nehmen. Wie sicherheitsbewusst ist der durchschnittliche Entwickler? Wie gut arbeiten AppSec- und Entwicklungsteams zusammen? Es gibt kein „Wundermittel“, aber an Kultur, Schulung und Unterstützung kann gearbeitet und verbessert werden. Entwicklungsteams können sich von der ersten Risikolinie für Datenpannen im Unternehmen zu Sicherheits-Superhelden entwickeln, die fehlerhaften Code stoppen, bevor er jemals in die Produktion gelangt.

Check-up für sicheres Programmieren: Hängt Ihre Sicherheit am Tropf?

Wo steht Ihr eigenes Entwicklungsteam? Ich habe diese Checkliste für sicheres Programmieren erstellt, um CIOs und CISOs dabei zu helfen, festzustellen, ob ihre Entwicklungsteams wirklich das Zeug zu Champions im sicheren Programmieren haben, die dabei helfen, mit schnellerem, besserem und sicherem Code zu innovieren (oder ob Sie tatsächlich eine grundlegende Überarbeitung Ihres Sicherheitsprogramms benötigen):

1. Wie sehr unterstützt Sie der Rest der Geschäftsführung? Verstehen sie, dass herkömmliche Netzwerksicherheit nicht mehr ausreicht?

In der Zukunft der Software reicht die Absicherung der Netzwerkebene mit veralteten Sicherheitsmaßnahmen einfach nicht mehr aus (und seien wir ehrlich, sie ist ohnehin selten erfolgreich), selbst gegen semiprofessionelle Hacker. Unter vielen konsistenten Berichten zitiert der „2017 Data Breach Investigations Report“ von Verizon die erschreckende Tatsache, dass heute 35 Prozent aller Datenpannen durch Schwachstellen in Webanwendungen verursacht werden.

Die Sicherheit von Webanwendungen ist genauso wichtig wie die Netzwerksicherheit; dies zu ignorieren und es zu versäumen, das grundlegende, elementare Schutzniveau von AppSec-Maßnahmen einzuplanen und zu etablieren, könnte Sie anfällig für eine Sicherheitsverletzung machen.

2. Verlagern Sie Ihre Sicherheitsmaßnahmen weit genug nach links und tun Sie dies früh genug?

Der aktuelle Ansatz zur Anwendungssicherheit ist sehr tool-lastig und konzentriert sich darauf, sich im Softwareentwicklungslebenszyklus (SDLC) von rechts nach links zu bewegen. Dies erkennt per Definition und Design an, dass der Prozess fehlerhaft ist, und unterstützt ein Ergebnis, das auf Erkennung und Reaktion basiert. Sicherheitsteams suchen nach Schwachstellen in bereits geschriebenem Code und reagieren darauf, indem sie bereits übermittelten Code korrigieren, anstatt sicherzustellen, dass er fehlerfrei ist, während er erstellt wird. Laut dem National Institute of Standards and Technology (NIST) ist es 30-mal teurer, Schwachstellen in übermitteltem Code zu erkennen und zu beheben, als sie während des Schreibens in der IDE zu verhindern. Dabei sind Produktionsverzögerungen, Doppelarbeit und die Zeit, die für die immer wiederkehrende Behebung derselben bekannten Sicherheitsprobleme aufgewendet wird, noch gar nicht mitgerechnet.

Eine wirklich robuste Sicherheitskultur besteht darauf, frühzeitig anzusetzen, Sicherheits-Champions innerhalb der Entwicklergruppe zu inspirieren und dem Entwicklungsteam die richtigen Werkzeuge und Schulungen an die Hand zu geben, damit es wachsen und mit einer Mentalität für sicheres Programmieren handeln kann. Der Fokus liegt auf kontinuierlicher Selbstentwicklung und dem Training der Problemlösungskompetenz, damit sie die erste Verteidigungslinie in ihrem Unternehmen bilden und verhindern können, dass häufige Schwachstellen überhaupt erst entstehen.

3. Bemühen Sie sich um den Aufbau praktischer Sicherheitskompetenzen oder vermitteln Sie nur einseitiges Wissen?

Die überwiegende Mehrheit der Sicherheitsschulungslösungen (online und computerbasiert) konzentriert sich auf den Aufbau von Wissen statt auf praktische Fähigkeiten, die einen direkten Bezug zur Arbeit haben. Damit Entwickler erfolgreich sicheren Code schreiben können, benötigen sie regelmäßigen Zugang zu kontextbezogenem, praxisnahem Lernen, das sie aktiv dazu ermutigt, ihre Fähigkeiten in einer realen Umgebung weiterzuentwickeln. Sie müssen etwas über kürzlich identifizierte Schwachstellen lernen, anhand von echten Codebeispielen, und in der Lage sein, in ihren bevorzugten Sprachen und Frameworks zu arbeiten. Diese Lernerfahrung hilft ihnen effektiv dabei, bekannte Schwachstellen in dem Code, an dem sie im Rahmen ihrer Arbeit aktiv arbeiten, zu finden, zu identifizieren und zu beheben.

Obwohl es viele sachkundige Lehrer und zahlreiche Informationen zur Behebung von Sicherheitslücken gibt, ist das Durchblättern von Lehrbüchern oder das Ansehen stundenlanger Videos für viele kreative, problemlösungsorientierte Entwickler wenig ansprechend. Wenn der ständige Strom an Datenpannen ein Indikator ist, bleibt dies weitgehend wirkungslos, um das Eindringen von Schwachstellen in den Code zu verhindern.

4. Messen Sie Ihre Fähigkeiten im sicheren Programmieren mit Echtzeit-Metriken?

Ein entscheidender Schritt, um sicherzustellen, dass im Entwicklungsteam eine sicherheitsorientierte Denkweise verankert ist, besteht darin, Nachweise zu sammeln und zu prüfen. Dies sollte keine Vermutung oder ein Ratespiel sein: Entwickler haben entweder ein Sicherheitsbewusstsein oder eben nicht.

Metriken sollen dem Entwickler und seinem Unternehmen beweisen, dass sich die harte Arbeit auszahlt und sich die individuellen Fähigkeiten im Bereich Secure Coding verbessern. Was man nicht messen kann, kann man nicht verbessern. Es sollte entsprechende Bewertungen geben, die dabei helfen, den Fortschritt Ihrer Entwicklungsteams in Echtzeit zu ermitteln sowie deren Stärken und Schwächen im Bereich Secure Coding für eine kontinuierliche Verbesserung zu bewerten.

Allzu oft wird Sicherheitsschulung für Unternehmen zu einer reinen Pflichtübung, ohne dass darauf geachtet wird, ob diese Schulung effektiv war, angenommen wurde oder überhaupt im Gedächtnis geblieben ist.

5. Nutzen Ihre externen Dienstleister robuste Secure-Coding-Verfahren?

Viele Unternehmen entscheiden sich dafür, Entwicklungsarbeiten an externe Agenturen zu vergeben. Ob diese im In- oder Ausland ansässig sind, ihre allgemeinen Fähigkeiten und Praktiken im Bereich Secure Coding bleiben für den Kunden oft ein Rätsel. Im besten Fall besteht die einzige Form der Sicherheit, die ein Unternehmen erhält, aus einer Vertragsklausel, die verlangt, dass das Ergebnis „sicher“ sein muss. Nur sehr wenige Unternehmen ergreifen Maßnahmen, um die Fähigkeiten dieser Entwicklungshäuser vorab zu überprüfen. Sie laufen damit Gefahr, Software geliefert zu bekommen, die zwar wie gewünscht funktioniert, aber ohne fundierte Secure-Coding-Praktiken erstellt wurde. Schlimmer noch: Wenn das beauftragende Unternehmen nichts von den inhärenten Sicherheitslücken in der Anwendung weiß, riskiert es, verwundbare Software in Umlauf zu bringen.

Das häufigste Szenario ist, dass Schwachstellen erst von spezialisierten Sicherheitsexperten entdeckt werden (die schwer zu finden und teuer sind). Sie stehen dann vor einer Verzögerung Ihres Go-Live-Termins und möglichen Vertragsdiskussionen darüber, wer für die Behebung dieser Sicherheitsmängel aufkommen muss. Wenn Sie jedoch vorausschauend handeln und die Anwendungssicherheitskenntnisse der Entwickler prüfen, die Ihre nächste Anwendung erstellen sollen, ersparen Sie sich viele potenzielle Verzögerungen, Frustration und Kosten.

6. Sind sich Ihre Entwickler der am häufigsten ausgenutzten Sicherheitsschwachstellen bewusst?

Mehr als 85 Prozent der ausgenutzten Webanwendungsschwachstellen lassen sich auf nur 10 bekannte Schwachstellen zurückführen – die OWASP Top 10. Ihre Schulung zur Anwendungssicherheit muss mindestens diese sowie viele weitere Schwachstellentypen abdecken. Die Schulungsaufgaben, denen sich Ihre Entwickler stellen, müssen regelmäßig überarbeitet und aktualisiert werden, mit neuen Herausforderungen für neue Coding-Frameworks oder neue Schwachstellentypen.

Präzises Training anhand von praxisnahen Secure-Coding-Szenarien sollte der Standard sein; vages Allgemeinwissen ist schlichtweg nicht effektiv. (Sie fragen sich, wie diese Secure-Coding-Szenarien aussehen könnten? Werfen Sie einen Blick auf unsere Coders Conquer Security-Blogserie; jeder Beitrag enthält eine spielbare Herausforderung).

7. Haben Sie interne Sicherheits-Champions?

Jedes entwicklungsstarke Unternehmen sollte in einen Security Champion investieren – jemanden, der die Verantwortung für die Einhaltung eines hohen Sicherheitsstandards im Entwicklungsteam übernimmt. Seine Aufgabe ist es, als Ansprechpartner für alle Fragen rund um die Sicherheit zu fungieren und sich als Hauptverfechter für die Einhaltung von Best Practices im Sicherheitsbereich einzusetzen.

Sie sind ein entscheidendes Puzzleteil der Sicherheitskultur; ein großartiger Security Champion kann die Dynamik intensiver Schulungen aufrechterhalten, sicherstellen, dass alle Teammitglieder über das nötige Wissen verfügen, und sich weiterhin für Unterstützung einsetzen.

8. Haben Sie in Tools investiert, die Ihren Entwicklern das sichere Programmieren erleichtern?

Wenn in Ihrem Unternehmen agile Entwicklung praktiziert wird oder Sie mit häufigen Updates für unternehmenseigene Anwendungen konfrontiert sind, ist die Automatisierung von Sicherheitsteilen eine der wenigen Möglichkeiten, mit dem rasanten Tempo und dem Arbeitsaufwand Schritt zu halten.

Es gibt Tools für jede Phase des SDLC, die als Berater, Qualitätswächter oder Erkennungswerkzeuge dienen. Darüber hinaus führen einige Tools automatisierte Tests am Code durch und simulieren Hacking-Versuche, sobald die Software in Produktion ist. Alle haben ihre eigenen Vorteile und Herausforderungen, und keines kann eine hundertprozentige Garantie dafür bieten, dass keine Sicherheitsbedrohungen in der Anwendung existieren. Die wichtigste Präventivmaßnahme ist: Je früher Sie eine Schwachstelle erkennen, desto schneller und kostengünstiger lässt sie sich beheben, mit minimalen Auswirkungen auf Ihr Geschäft.

Der nächste Schritt für zukunftsorientierte CISOs

Wie hat Ihr Unternehmen bei der obigen Checkliste abgeschnitten?

Während CISOs und CIOs im Grunde gezwungen sind, ihre DevOps- und DevSecOps-Fähigkeiten aggressiv auszubauen, bedeutet das nicht, dass keine Zeit bleibt, die richtigen Tools und Schulungen in den Teams zu implementieren. Secure-Coding-Fähigkeiten sind eine Waffe – kein Hindernis – für Innovationen. Darauf zu verzichten, könnte den Ruin des Unternehmensrufes und den Verlust von Daten bedeuten. Diese Fähigkeiten sind entscheidende Kompetenzen und eine langfristig kostengünstigere Lösung, um Schwachstellen zu reduzieren und Risiken zu mindern.

Ein brillanter, innovativer CISO hat die Macht, von oben herab eine gesunde Sicherheitskultur zu etablieren; stellen Sie sicher, dass Ihre Mitarbeiter alles haben, was sie für die effektive Umsetzung von Sicherheits-Best-Practices benötigen.

Pieter Danhieux ist Sicherheitsexperte und Mitbegründer von Secure Code Warrior.