Etablierung eines kohärenten Ansatzes für entwicklergeführte Sicherheit

Als Reaktion auf große Sicherheitsvorfälle wie die SolarWinds-Kampagne, bei der ein Software-Update-Prozess genutzt wurde, um über 18.000 Nutzer der beliebten Orion-Management-Software – darunter zahlreiche Spitzenunternehmen und Regierungsbehörden – zu infizieren, wächst der Druck für effektivere, entwicklergesteuerte Sicherheitsmaßnahmen. Unternehmen jeder Größe beginnen, ihre „Software-Lieferkette“ zu hinterfragen und fordern, dass die Entwickler ihrer Software über nachgewiesene Sicherheitskenntnisse und ein entsprechendes Bewusstsein verfügen.

Sogar die US-Regierung fordert bessere entwicklergesteuerte Sicherheitspraktiken und eine Stärkung der Software-Lieferkette. Diese Konzepte sind ein zentraler Bestandteil der Executive Order on Improving the Nation’s Cybersecurity, die von Präsident Biden erlassen wurde.

Insgesamt steht die Entwickler-Community der Idee, Sicherheit durch Programme und Bewegungen wie DevSecOps früher in den Softwareentwicklungslebenszyklus (SDLC) zu verlagern, aufgeschlossen gegenüber. In einer aktuellen Umfrage gaben Entwickler zudem an, dass sie die Sicherheitsschulungen, die sie zur Unterstützung dieses Ziels erhalten haben, sehr schätzen.

Software-Schwachstellen werden weiterhin ausgenutzt, und selbst Entwickler geben zu, dass sie gelegentlich Schwachstellen in ihrem Code hinterlassen.

Warum?

Die Umfrage bestätigte, dass die Erstellung von qualitativ hochwertigem Code für die Entwickler-Community oberste Priorität hat. Sie identifizierte jedoch auch mehrere Gründe, warum die Schulungen für Entwickler zwar als wertvoll erachtet werden, aber dennoch weit hinter dem Ziel zurückbleiben, die Software-Lieferkette abzusichern. 33 % gaben an, dass sie weiterhin Schwachstellen in ihrem Code hinterlassen, weil sie selbst nach den erhaltenen Schulungen nicht wussten, wie sie bekannte Schwachstellen identifizieren oder beheben können. Überwältigende 92 % gaben an, dass sie zumindest ein gewisses Maß an zusätzlicher Sicherheitsschulung benötigen, während 50 % sogar einen deutlich höheren Schulungsbedarf sehen.

Es ist offensichtlich, dass die Entwickler-Community die angebotenen Schulungen schätzt. Auf die Frage nach den Hindernissen für die Einführung sicherer Codierungspraktiken wurde jedoch Zeitmangel als Hauptgrund genannt, gefolgt von einem Fünftel der Befragten, die das Fehlen eines kohärenten Ansatzes bemängelten. Schulungen werden eher als einmalige Ereignisse wahrgenommen und nicht als Teil einer fortlaufenden strategischen Bemühung, Sicherheit in die täglichen Arbeitsabläufe der Entwickler zu integrieren.

Daher sind Entwickler nicht in der Lage, sichere Programmierkenntnisse als Teil eines kohärenten und kontinuierlichen Programms innerhalb ihrer Organisation aufzubauen und zu festigen. Wir können zudem schlussfolgern, dass die derzeitigen Schulungen nicht besonders effektiv oder umfassend sind, da viele Entwickler angeben, gängige Schwachstellen nach wie vor nicht identifizieren und beheben zu können.

92 % der Entwickler gaben an, dass sie zumindest ein gewisses Maß an zusätzlicher Sicherheitsschulung benötigen, während 50 % angaben, dass deutlich mehr Schulungen erforderlich seien.

Was können Unternehmen tun, um die Situation zu verbessern?

Es ist interessant, dass Entwickler überwältigend oft angaben, mehr Sicherheitsschulungen zu benötigen. Und obwohl sie die erhaltenen Schulungen schätzten, könnte dies ein Fall sein, in dem sie einfach froh über jedes Angebot sind, das sie bekommen können.

Als sie gebeten wurden, Möglichkeiten zur Verbesserung ihrer Schulungen zu kommentieren, kamen ihre tatsächlichen Ansichten zum Vorschein. Im Allgemeinen waren die meisten Schulungen, die Entwickler erhielten, begrenzt, nicht interaktiv, nur bedingt auf ihre beruflichen Aufgaben zugeschnitten und kein Teil eines umfassenden oder fortlaufenden Plans zur Verbesserung der Sicherheitskompetenzen und des Bewusstseins in ihrem Unternehmen. Den befragten Entwicklern zufolge sollte das Schulungsangebot, wenn Unternehmen die Effektivität steigern wollen, als Teil eines ganzheitlichen Ansatzes präsentiert werden, der einen stärkeren Fokus auf Sicherheit während des gesamten SDLC legt. Darüber hinaus hatten Entwickler konkrete Wünsche, um ihre Schulungen wertvoller zu gestalten. Einer der beliebtesten Vorschläge war die Einbeziehung von mehr Anwendungsfällen und praktischen Beispielen für Situationen, denen sie aus Sicherheitsperspektive wahrscheinlich begegnen werden. Eine weitere häufige Antwort zur Effizienzsteigerung war, dass die Ausbildung mit der Zeit immer komplexere oder schwierigere Szenarien abdecken sollte – ein Schritt, der wahrscheinlich auch einen kohärenteren Ansatz und einen langfristigen Plan für kontinuierliches Lernen und Kompetenzentwicklung erfordern würde. Entwickler betonten zudem die Notwendigkeit von mehr Interaktivität und vielleicht sogar die Einführung eines Wettbewerbselements. Generell werden Schulungen, bei denen Nutzer lediglich Videos ansehen oder Vorträgen zuhören, ohne die Möglichkeit für praktisches, kontextbezogenes Lernen, nicht als effektiv oder besonders wertvoll angesehen, wenn es darum geht, eine komplexe und (als schwierig wahrgenommene) Fähigkeit wie sicheres Programmieren zu vermitteln.

Entwickler betonten zudem die Notwendigkeit von mehr Interaktivität und vielleicht sogar die Einführung eines Wettbewerbselements.

Welche weiteren Elemente sind bei der Einführung eines kohärenten Sicherheitsansatzes wichtig?

Schulungen sind natürlich entscheidend, wenn man das Sicherheitsbewusstsein und die Fähigkeiten der Entwickler-Community eines Unternehmens verbessern will. Und sicherzustellen, dass das Lernen kontinuierlich, interaktiv, relevant und kontextbezogen ist, ist eine Notwendigkeit. Aber ein wirklich kohärenter Ansatz für ein besseres Sicherheitsbewusstsein geht noch darüber hinaus.

Ein wirklich kohärenter Ansatz muss berücksichtigen, was erforderlich ist, um eine echte entwicklergesteuerte Sicherheitskultur zu fördern. Dies erfordert möglicherweise eine Abkehr von den typischen Methoden der Verwaltung und des Aufbaus von Entwicklerteams. Entwickler wurden beispielsweise traditionell danach bewertet, wie schnell sie programmieren konnten. Ein kohärenter Sicherheitsansatz könnte jedoch bedeuten, diese langjährigen Kennzahlen und Werte zu ändern. Stattdessen könnten Bewertungen den Fokus von der reinen Geschwindigkeit weg verlagern und stattdessen diejenigen Entwickler belohnen, die qualitativ hochwertigen und sicheren Code erstellen – das heißt, Code, der frei von Schwachstellen ist.

Es könnte auch bedeuten, die Entwickler-Community selbst in die Bemühungen einzubeziehen. Anstatt Sicherheit einfach nur vorzugeben, sollten Sie in Erwägung ziehen, Sicherheits-Champions aus der Community zu ernennen. Dies wären talentierte und sicherheitsbewusste Entwickler, die sich entweder in Schulungen oder durch die neu ausgerichteten Leistungskennzahlen hervorgetan haben. Sie sollten zudem bereit sein, anderen Entwicklern bei der Verbesserung ihrer Fähigkeiten zu helfen und so die Entwickler-Community von innen heraus zu stärken.

Ein wirklich kohärenter Ansatz muss berücksichtigen, was erforderlich ist, um eine echte entwicklergesteuerte Sicherheitskultur zu fördern. Dies erfordert möglicherweise eine Abkehr von den typischen Methoden der Verwaltung und des Aufbaus von Entwicklerteams.

Weiterführende Informationen

Whitepaper: Herausforderungen (und Chancen) zur Verbesserung der Softwaresicherheit

Whitepaper: Der präventive, entwicklerorientierte Ansatz für Softwaresicherheit

Whitepaper: Der DevSecOps-Superbowl: Wie Security Champions Ihr Team zum Sieg gegen Schwachstellen in späten Phasen führen

Bericht: Der Stand der entwicklerorientierten Sicherheit 2022