Die Motivation von Entwicklern ist der Schlüssel zu besseren Sicherheitspraktiken.

Die Bedrohungslandschaft im Cyberraum wird von Tag zu Tag komplexer. Angreifer scannen ständig Netzwerke nach anfälligen Anwendungen, Programmen und Cloud-Instanzen. Der aktuelle Trend geht zu APIs, die aufgrund ihrer oft mangelhaften Sicherheitskontrollen weithin als leichtes Ziel gelten. Die Angreifer sind so hartnäckig, dass neue Apps manchmal innerhalb weniger Stunden nach der Bereitstellung kompromittiert und ausgenutzt werden können. Der Verizon 2021 Data Breach Investigations Report macht deutlich, dass die Bedrohungen für Unternehmen und Organisationen heute gefährlicher sind als je zuvor.

Es wird immer deutlicher, dass der einzige Weg, die erstellte Software wirklich zu schützen, darin besteht, sicherzustellen, dass sie auf sicherem Code basiert. Mit anderen Worten: Der beste Weg, die Invasion durch Bedrohungsakteure zu stoppen, besteht darin, ihnen von vornherein den Zugriff auf Ihre Anwendungen zu verwehren. Sobald man sich auf diesen Kampf einlässt, liegen die Vorteile meist bei den Angreifern.

Diese Situation führte zunächst zu agiler Entwicklung und DevOps, und später zur gesamten DevSecOps-Bewegung, bei der Sicherheit eine gemeinsame Verantwortung aller am Softwareerstellungsprozess Beteiligten ist – von der Entwicklung bis zur Bereitstellung. Doch das Fundament dieser Pyramide, und wohl der wichtigste Teil, sind die Entwickler. Während die meisten Entwickler ihren Teil dazu beitragen und sicheren Code schreiben wollen, unterstützen viele ihrer Arbeitgeber die Veränderungen, die ein solch grundlegender Prioritätenwechsel erfordert, nur unzureichend.

Sicherheit durch Design

Über viele Jahre hinweg wurde Entwicklern vermittelt, ihre Hauptaufgabe bestehe darin, in einem schnelllebigen Umfeld, in dem das Geschäft niemals stillsteht und Kunden niemals schlafen, zügig Apps zu erstellen und bereitzustellen. Je schneller sie programmieren und je mehr Funktionen sie bereitstellen konnten, desto wertvoller galten sie in ihren Leistungsbeurteilungen.

Sicherheit war ein nachträglicher Gedanke, wenn sie überhaupt berücksichtigt wurde. Stattdessen wurde dies den Application-Security-Teams (AppSec) überlassen. AppSec-Teams waren bei den meisten Entwicklern unbeliebt, da sie fertige Anwendungen oft zur Fehlerbehebung oder zum Umschreiben von Code zurück in die Entwicklung schickten. Jede Stunde, die ein Entwickler an einer bereits „fertigen“ App arbeitete, war eine Stunde, in der er keine neuen Apps oder Funktionen erstellen konnte, was seine Leistung (und seinen Wert in den Augen eines besonders strengen Unternehmens) minderte.

Dann veränderte die Bedrohungslage die Bedeutung und Priorisierung von Sicherheit für die meisten Unternehmen. Laut dem aktuellen Cost of a Data Breach Report von IBM und dem Ponemon Institute kostet eine durchschnittliche Cyber-Sicherheitsverletzung heute etwa 3,8 Millionen Dollar pro Vorfall, wobei dies kaum die Obergrenze darstellt. Ein einzelnes Unternehmen verzeichnete nach einer Sicherheitsverletzung in seinem Netzwerk Verluste in Höhe von 1,3 Milliarden Dollar. Die Unternehmen von heute wünschen sich die Sicherheit, die DevSecOps bietet, haben es aber leider versäumt, Entwickler, die diesem Ruf folgen, entsprechend zu belohnen.

Entwicklungsteams einfach nur aufzufordern, Sicherheit zu berücksichtigen, wird nicht funktionieren, besonders wenn sie weiterhin allein nach Geschwindigkeit bewertet werden. In einem solchen System könnten Entwickler, die sich die Zeit nehmen, Sicherheit zu erlernen und ihren Code abzusichern, sogar bei Leistungsbeurteilungen und lukrativen Boni schlechter abschneiden als ihre weniger sicherheitsbewussten Kollegen. Es wirkt fast so, als würden Unternehmen unwissentlich das System für ihr eigenes Scheitern bei der Sicherheit manipulieren, und das führt zurück auf ihre Wahrnehmung des Entwicklungsteams. Wenn sie diese nicht als Sicherheitsfrontlinie betrachten, ist es sehr unwahrscheinlich, dass ein tragfähiger Plan zur Nutzung ihrer Arbeitskraft Früchte tragen wird.

Dabei ist der Mangel an Schulungen noch gar nicht berücksichtigt. Einige sehr erfahrene Entwickler haben jahrzehntelange Erfahrung im Programmieren, aber kaum welche im Bereich Sicherheit – schließlich wurde dies nie von ihnen verlangt. Wenn ein Unternehmen seinen qualifizierten Programmierern kein gutes Schulungsprogramm bietet, kann es kaum erwarten, dass sie plötzlich neue Fähigkeiten erwerben und diese sinnvoll einsetzen, um Schwachstellen aktiv zu reduzieren.

Entwickler für gute Sicherheitspraktiken belohnen

Die gute Nachricht ist, dass die überwältigende Mehrheit der Entwickler ihren Job macht, weil sie ihn als herausfordernd und lohnend empfindet und weil sie den Respekt schätzt, den ihre Position mit sich bringt. Der langjährige professionelle Programmierer Michael Shpilt schrieb kürzlich über all die Dinge, die ihn und seine Kollegen bei ihrer Arbeit motivieren. Ja, er führt finanzielle Anreize auf, aber diese stehen überraschend weit unten auf der Liste. Stattdessen priorisiert er den Nervenkitzel, etwas Neues zu erschaffen, neue Fähigkeiten zu erlernen und die Zufriedenheit, zu wissen, dass seine Arbeit direkt dazu beiträgt, anderen zu helfen. Er spricht auch davon, sich innerhalb seines Unternehmens und seiner Community wertgeschätzt fühlen zu wollen. Kurz gesagt: Entwickler sind wie viele gute Menschen, die stolz auf ihre Arbeit sind.

Entwickler wie Shpilt und andere möchten nicht, dass Bedrohungsakteure ihren Code kompromittieren und ihn nutzen, um ihrem Unternehmen oder den Nutzern, denen sie helfen wollen, zu schaden. Aber sie können ihre Prioritäten nicht ohne Unterstützung plötzlich auf Sicherheit verlagern. Andernfalls arbeitet das System fast zwangsläufig gegen sie.

Um Entwicklungsteams dabei zu helfen, ihre Cybersicherheitskompetenz zu verbessern, müssen ihnen zunächst die notwendigen Fähigkeiten vermittelt werden. Die Nutzung von strukturiertem Lernen und Tools wie Just-in-Time (JiT)-Schulungen kann diesen Prozess erheblich erleichtern und hilft dabei, vorhandenes Wissen im richtigen Kontext zu erweitern.

Das Prinzip von JiT besteht darin, dass Entwicklern genau zum richtigen Zeitpunkt das richtige Wissen vermittelt wird. Wenn beispielsweise ein JiT-Schulungstool erkennt, dass ein Programmierer unsicheren Code erstellt oder versehentlich eine Schwachstelle in seine Anwendung einbaut, kann es aktiv werden und dem Entwickler zeigen, wie er das Problem beheben und sichereren Code schreiben kann, um dieselbe Funktion in Zukunft korrekt auszuführen.

Sobald ein Engagement für die Weiterbildung besteht, müssen die alten Methoden, Entwickler ausschließlich nach Geschwindigkeit zu bewerten, abgeschafft werden. Stattdessen sollten Programmierer für ihre Fähigkeit belohnt werden, sicheren Code zu erstellen, wobei die besten Entwickler zu Security Champions werden, die dem Rest des Teams helfen, ihre Fähigkeiten zu verbessern. Diese Champions müssen sowohl mit Unternehmensprestige als auch mit finanzieller Vergütung belohnt werden. Es ist zudem wichtig zu bedenken, dass Entwickler in der Regel keine positiven Erfahrungen mit Sicherheit gemacht haben. Sie mit positivem, unterhaltsamem Lernen und Anreizen zu motivieren, die ihre Interessen ansprechen, trägt wesentlich dazu bei, sowohl das Wissen zu festigen als auch den Wunsch zu wecken, kontinuierlich neue Fähigkeiten aufzubauen.

Unternehmen können die Programmiergeschwindigkeit weiterhin als Teil der Leistungsbewertung eines Entwicklers beibehalten, jedoch mit der Erwartung, dass die Entwicklung sicherer Anwendungen etwas länger dauern kann, insbesondere während die Programmierer diese neuen Fähigkeiten erlernen.

DevSecOps kann die ultimative Verteidigung gegen die dunklen Künste einer zunehmend gefährlichen Bedrohungslandschaft sein. Vergessen Sie nur nicht, dass die Champions dieser neuen Welt – die Entwickler, die kontinuierlich neuen Code erstellen – für ihre Arbeit respektiert und entlohnt werden müssen.

Möchten Sie Ihre Sicherheitskenntnisse mit Entwicklern aus der ganzen Welt messen? Schauen Sie sich die Devlympics 2021 von Secure Code Warrior an und gewinnen Sie tolle Preise bei unseren globalen Turnieren!