Fundierte Sicherheitsschulungen werfen Fragen in der Bildung auf

Seit wir 2015 unsere Mission begannen, lag unser Fokus stets darauf, Entwicklern eine unterhaltsame, relevante und motivierende Schulung für sicheres Programmieren zu bieten. Wir haben schon früh erkannt, wie wichtig es ist, Entwicklern das Wissen und die Werkzeuge an die Hand zu geben, um Sicherheits-Best-Practices zu verstehen, deren Bedeutung zu begreifen und zu lernen, wie sie Software bereits während des Schreibens des Codes vor böswilligen Angriffen schützen können.

Sicherheitsschulungen sind jedoch kein neues Konzept. Wir waren sicherlich nicht die Ersten mit dieser Initiative, und angemessene Sicherheitsmaßnahmen sind schon lange ein fester Bestandteil der Softwareentwicklung. Sicher, manche Schulungsarten sind effektiver als andere, aber der Zugang zu grundlegender Sicherheitsbildung ist, besonders heute, relativ einfach.

... warum zum Teufel haben wir dann so viele Datenpannen? Allein im Jahr 2019 wurden bis September über vier Milliarden Datensätze bei zahlreichen Cyberangriffen offengelegt.

Viele Unternehmen führen derzeit einen aussichtslosen Kampf, um unsere immer wertvoller werdenden Daten zu schützen. CISOs und CIOs auf der ganzen Welt ist längst klar geworden, dass „Shifting Left“ (die Verlagerung nach links) immer noch zu spät kommt; wir müssen ganz links im Softwareentwicklungslebenszyklus (SDLC) mit der Sicherheit beginnen. Das bedeutet, dass Entwickler über das nötige Sicherheitswissen verfügen müssen, um Schwachstellen zu beheben, lange bevor der Code eingecheckt wird – geschweige denn öffentlich zugänglich ist.

AppSec-Spezialisten dürfen nicht die einzigen Hüter des Sicherheitswissens sein.

Früher war Softwaresicherheit die Domäne einer ganz speziellen Gruppe kluger Geeks, die kaum Kontakt zu den Ingenieuren hatten, die den Code tatsächlich schrieben. Es war ihre Aufgabe, den Code zu testen, zu knacken und zu verhindern, dass unsicherer Code das Licht der Welt erblickt. Wenn sie doch einmal aufeinandertrafen, dann meist deshalb, weil der Sicherheitsspezialist auf Fehler im Code hinwies – was beim Entwickler, der sich bei der Erstellung abgemüht hatte, garantiert auf eisige Ablehnung stieß.

Heute sieht die Situation im Grunde genauso aus, nur dass jetzt viel mehr auf dem Spiel steht. Fast jeder Aspekt unseres Lebens ist digitalisiert – von Fotoalben in sozialen Medien über Krankenakten und Bankgeschäfte bis hin zu unseren wichtigsten Ausweisdokumenten. Es war eine Sache, weitgehend offline laufende Software und Betriebssysteme zu schützen. Es ist etwas völlig anderes, sich gegen Bedrohungen für Milliarden von Codezeilen wehren zu müssen, bei denen potenziell Hunderte Millionen Nutzer gefährdet sind. Es steht schlicht zu viel auf dem Spiel, als dass eine einzige Gruppe von Spezialisten die volle Verantwortung tragen könnte. Deshalb müssen wir die Lücke zwischen AppSec und dem Entwicklungsteam schließen. Sie müssen zusammenarbeiten, Wissen teilen und als eine geschlossene, sicherheitsbewusste Einheit agieren.

Es gibt nur ein Problem dabei: Entwickler erhalten selten die Gelegenheit, Fähigkeiten für sicheres Programmieren auf sinnvolle Weise zu erlernen. Die meisten Hochschulausbildungen behandeln Sicherheits-Best-Practices kaum, und die Qualität der betrieblichen Weiterbildung schwankt extrem.

Ist es da ein Wunder, dass wir fast täglich von riesigen Datenpannen hören? Laden Sie unsere AppSec-Checkliste herunter.

‍

Eine „Lizenz zum Programmieren“.

Trotz der düsteren aktuellen Lage bin ich optimistisch, was die Zukunft der Sicherheit angeht. Es liegt ein Wandel in der Luft, und ich bin sehr ermutigt von der enormen Anzahl an Unternehmen, die sicheres Programmieren derzeit ernst nehmen.

Es wird immer deutlicher, dass Entwickler Zugang zu den richtigen Werkzeugen und dem nötigen Wissen benötigen, um Sicherheitsrisiken zu minimieren, und dass eine gelebte Kultur des Sicherheitsbewusstseins im Kampf gegen Datenpannen unerlässlich ist. Wenn Entwickler Verantwortung für die Sicherheit übernehmen, während der Code geschrieben wird, wird es für Angreifer weitaus schwieriger, einfache Schwachstellen auszunutzen und sich Zugang zu verschaffen.

Es war schon immer so, dass manche Entwickler sicherheitsbewusster sind als andere, und das stellt Unternehmen vor eine echte Herausforderung. Während interne Entwicklungsteams oft ein gewisses Maß an Schulung und Kompetenzüberwachung haben, wird die Lage sehr unübersichtlich, sobald Auftragnehmer, Freiberufler und Absolventen hinzukommen. Handeln sie mit einem Sicherheitsbewusstsein? Können sie altbekannte Schwachstellen wie Cross-Site Scripting, die es schon seit Jahrzehnten gibt, erfolgreich vermeiden? Das ist schwer zu sagen, und doch werden sie oft auf wichtige Teile eines Software-Builds losgelassen. Oje.

Glücklicherweise sehen wir einen Anstieg bei den verbindlichen Standards für Entwickler. Einige Unternehmen nutzen beispielsweise Secure Code Warrior als Werkzeug, um Entwicklerfähigkeiten zu bewerten und eine „Lizenz zum Programmieren“ auszustellen. Ohne das Bestehen grundlegender Assessments für sicheres Programmieren dürfen sie nicht an Projekten arbeiten. Dies war von unschätzbarem Wert, um Absolventen und Praktikanten dabei zu helfen, ihre Sicherheitskenntnisse auf den neuesten Stand zu bringen und gleichzeitig ein Bewusstsein für die Bedeutung von sicherem Code zu schaffen. Schließlich muss Sicherheit bei Software gleichbedeutend mit Qualität sein.

Außerschulische Weiterbildung rückt Universitäten ins Rampenlicht.

Die Diskussion über sicheres Programmieren zu verändern, erfordert mehr als nur einen Artikel hier oder eine Keynote dort. Es muss eine gemeinschaftsweite Bewegung sein, und es ist großartig zu sehen, dass so viele erstklassige Unternehmen dies erkennen und hochkarätige Sicherheitsprogramme auf einem beneidenswerten Niveau aufbauen. Ein solches Unternehmen ist HSBC, deren beeindruckendes Programm sicherstellt, dass Absolventen und neue Mitarbeiter so früh wie möglich auf die „Start Left“-Reise mitgenommen werden. Als Leiter der Technology Academy von HSBC India hält Sekhar Babu Tatavarti fundierte Sicherheitsschulungen für ein Muss:

„Bei HSBC Technology wollten wir sicherstellen, dass unsere Entwickler-Community die Bedeutung von sicherem Programmieren versteht, um die Bank vor Schwachstellen zu schützen. Wir sahen im diesjährigen Graduierten-Trainingsprogramm eine riesige Chance, sie frühzeitig abzuholen und ihnen zu ermöglichen, sich selbst weiterzubilden und die besten Praktiken für sicheres Programmieren zu verinnerlichen, bevor sie in ihre jeweiligen Projekte einsteigen und mit dem Programmieren beginnen.

Wir haben uns für die Plattform von Secure Code Warrior entschieden, weil sie eine wunderbare spielerische Lernmethode für die Absolventen bietet, und sie haben unsere Erwartungen nicht enttäuscht. Wir freuen uns sehr, dass jeder von ihnen enthusiastisch am Turnier teilgenommen und zusätzlich die White-Belt-Zertifizierung in verschiedenen Technologien abgeschlossen hat“, sagte er.

Immer mehr Unternehmen, wie etwa HSBC, erkennen, dass sichere Programmierkenntnisse auf Entwicklerebene unverzichtbar sind. Dies hat ein Schlaglicht auf die Hochschulbildung geworfen. CISOs und CIOs fragen sich zunehmend, warum Absolventen der Informatik ihr Studium ohne fundierte Sicherheitsausbildung abschließen.

Innovation in der Hochschulbildung.

Während sichere Programmierung ein obligatorischer Bestandteil der Softwareentwicklung an Hochschulen werden muss, gehen einige Universitäten bereits voran. Sie bieten erstklassige Schulungen an und priorisieren Sicherheit von Anfang an als Teil des Entwicklungsprozesses, statt sie nur den wenigen spezialisierten AppSec-Experten zu überlassen.

An der University of Queensland in Australien macht Professor Ryan Ko große Fortschritte dabei, die nächste Generation von Entwicklern auf die unvermeidliche Welle von Cyberangriffen vorzubereiten:

"Die meisten Software-Schwachstellen entstehen bereits beim Programmieren. Wenn wir das Problem an der Wurzel packen, könnten wir die meisten der heute in der CVE-Liste aufgeführten Probleme beseitigen. Da Software das Leben und die Existenzgrundlage unserer modernen Gesellschaft beeinflusst, tragen Universitäten und Bildungseinrichtungen eine moralische und soziale Verantwortung, allen angehenden Programmierern sicheres Coden beizubringen", so Ko.

Dies ist eine spannende Entwicklung gegenüber Standardkursen, die kaum nennenswertes Sicherheitsbewusstsein oder entsprechende Fähigkeiten vermitteln. Und das ist ein "Virus", den ich gerne weiterverbreiten würde. Zu meiner Freude infiziert auch die Macquarie University ihre Studierenden mit einer Security-First-Mentalität, dank des Engagements von Persönlichkeiten wie Christophe Doche:

"Der 2016 ins Leben gerufene Optus Macquarie University Cyber Security Hub ist die erste Initiative dieser Art in Australien. Er vernetzt Wissenschaftler aus den Bereichen Informationssicherheit, Wirtschaft, Kriminologie, Nachrichtendienst, Recht und Psychologie mit Cybersicherheitsexperten aus Industrie und Regierung.

Unsere Mission ist es, Australien durch Bildung, Forschung und Partnerschaften als weltweit führend im Bereich Cybersicherheit zu positionieren. Ein wichtiger Aspekt dabei ist die Schließung der gut dokumentierten Qualifikationslücke: Prognosen zufolge werden weltweit im Jahr 2022 voraussichtlich 1,8 Millionen Stellen unbesetzt bleiben.

Um diese Lücke zu schließen, ist ein vielschichtiger Ansatz erforderlich. Dazu gehören die Weiterbildung und Umschulung der bestehenden Belegschaft sowie die Ausbildung einer neuen Generation von Cybersicherheitsspezialisten", sagte er.

Ihr Ansatz ist beeindruckend: Sie bieten hochgradig interaktives, präzises Lernen, das hilft, Brücken zwischen Fachbereichen zu schlagen und ein lebendiges Sicherheitsbewusstsein zu schaffen. Sie nutzen Microlearning in ihrer Strategie und bieten spielerische, kompakte Lernmodule mit hoher Bindungs- und Motivationskraft. Ich bin besonders stolz darauf, dass wir sie dabei unterstützen können, ihre Studierenden kreativ einzubinden:

"Ein hervorragendes Beispiel für dieses Engagement ist die Partnerschaft mit Secure Code Warrior. Nach einem Turnier, das Secure Code Warrior und der Cyber Security Hub im August 2019 gemeinsam organisiert haben, prüfen wir nun die Integration der Secure Code Warrior-Plattform in unseren Lehrplan, insbesondere für unser neues Modul zur sicheren Anwendungsentwicklung", so Christophe.

Initiativen wie die der Macquarie University und der University of Queensland sind echte Pioniere für sichere Programmierung im Bildungsbereich. Unser Ziel als AppSec-Profis, Entwickler und als breitere Sicherheits-Community muss es sein, Sicherheit in alles, was wir tun, zu integrieren und unser Engagement für das "Starting Left"-Prinzip fortzusetzen.