Gemeinsam zum Ziel: Wie Teamgeist sicherere Entwickler fördert

Das Sprichwort „Es braucht ein ganzes Dorf“ ist ein altes afrikanisches Sprichwort, das viele verschiedene afrikanische Kulturen, Dialekte und geografische Regionen umfasst. Auch wenn die Sprache, mit der diese Lebensweisheit vermittelt wird, unterschiedlich sein mag, ist der Kern derselbe: Es bedarf des Beitrags der gesamten Gemeinschaft, um ein sicheres, positives und bereicherndes Umfeld zu schaffen, in dem zukünftige Generationen zu ausgeglichenen Erwachsenen heranwachsen können.

Das mag weit hergeholt klingen, aber die Entwickler-Community profitiert tatsächlich seit Jahrzehnten genau von diesem Prinzip. Die Vorstellung des unsozialen „Einzelgänger“-Geeks vor dem Computer ist wie die meisten Stereotypen: übertrieben und nicht der beste Weg, um unsere Arbeitsweise zu verstehen. Es gibt Entwickler aller Art und aus allen Lebensbereichen, und in allem, was wir tun, war schon immer ein Gemeinschaftsgefühl spürbar.

Lange bevor das Internet zur Norm wurde, waren wir in Bulletin Boards unterwegs, tauschten Tipps aus, lösten gegenseitig unsere Probleme und stritten uns über Best Practices (und – zumindest auf meiner Seite – arbeiteten hart daran, Dinge kaputt zu machen). Diese Einstellung hat sich nicht geändert. Das Internet ist heute ein anderes Kaliber, mit mehr Trollen und deutlich mehr Lärm, aber ein kurzer Blick auf Plattformen wie Reddit und Stack Overflow vermittelt sofort ein Gefühl von Hilfsbereitschaft, Kameradschaft und einer Fülle an Informationen.

Es gibt jedoch eine Sache, bei der wir uns alle gegenseitig unterstützen könnten: die realen Verbindungen zu Menschen, die vor denselben Herausforderungen stehen. Interaktionen in der echten Welt verleihen dem Ganzen eine neue Bedeutung, und die Förderung einer „IRL“-Community kann den Wissensaustausch beschleunigen, für Klarheit sorgen und den Horizont auf wunderbare Weise erweitern.

Wie unterstützt die Entwickler-Community die Sicherheit?

Organisationen wie OWASP leisten unglaubliche Arbeit in der Sicherheits-Community und bieten zahlreiche kostenlose Ressourcen zu Schwachstellen, Nachrichten und kritischen Warnmeldungen. Offline gibt es in Städten auf der ganzen Welt OWASP-Ortsgruppen, die regelmäßig Veranstaltungen ausrichten, bei denen Menschen zusammenkommen, über Sicherheit sprechen und Tipps für sicherere Software austauschen können. Das ist wirklich großartig und für mich der Kern dessen, wofür die Entwickler-Community steht.

Ein Punkt, den diese Communities – ob online oder persönlich – adressieren, ist die Wissens- und Kompetenzlücke unter Entwicklern. Viele erfahrene Entwickler geben ihr Wissen nur zu gerne weiter, helfen Einsteigern oder weisen ihnen den richtigen Weg (jeder gute Jedi weiß, dass er hin und wieder einem Padawan helfen muss).

Daher ist es immer ein besonderes Vergnügen, wenn wir gemeinsam mit ihnen Veranstaltungen wie Turniere für sicheres Programmieren ausrichten können. Bisher haben wir Meetups in Australien, England, Indien und den USA unterstützt, und ich hoffe, dass noch viele weitere folgen werden.

Wie sieht ein OWASP-Turnier-Meetup aus? Schauen Sie sich dieses Video eines OWASP-Turniers in den legendären BBC-Studios in London an:

Diese Veranstaltungen tragen definitiv dazu bei, das Bewusstsein zu schärfen. Diese Dynamik kann innerhalb von Unternehmen genutzt werden, wenn sie diese Basisinitiativen unterstützen, umfassende Schulungen zu sicherem Programmieren einführen und sich zu einer positiven Sicherheitskultur verpflichten.

Wie helfen Gamification und Turniere dabei, Entwickler zu sicherem Arbeiten zu befähigen?

OWASP-Meetups basieren auf Geselligkeit, Wissensaustausch und dem Diskutieren von Ideen mit einer Vielzahl sicherheitsbewusster Personen. Für diejenigen, die neu im Bereich Sicherheit sind (oder sich noch nicht dafür interessieren), bleiben diese Veranstaltungen jedoch möglicherweise unbemerkt.

Wenn Unternehmen eine aktive Rolle dabei spielen, das Sicherheitsbewusstsein zu stärken und echtes Interesse bei den Entwicklern zu wecken, kann dies den positiven Effekt haben, ein lebenslanges Streben nach Sicherheitswissen zu fördern – genau das, was wir brauchen, damit jeder das Thema sicheres Programmieren ernster nimmt.

Typische Schulungsmethoden sind selten ein großer Motivator (denken Sie daran, in einem Klassenzimmer zu sitzen, während sich die tägliche Arbeit stapelt, oder zu versuchen, bei endlosen Videos wach zu bleiben). Doch Wettbewerb, Spaß und spielerische Elemente können das Lernen deutlich weniger mühsam machen. Gamifizierte Lernmethoden machen technisches (und manchmal trockenes) Wissen viel verdaulicher, indem sie es in kleinere Häppchen unterteilen, die kontextbezogen und einprägsam sind und zum wiederholten Lernen anregen. Secure Code Warrior basiert auf dem Prinzip der Zugänglichkeit und ermöglicht es Entwicklern, ihr Wissen Schritt für Schritt zu erweitern – auf eine Weise, die ihre Kreativität und ihren natürlichen Problemlösungsinstinkt anspricht.

Bewertungen helfen dabei, den Überblick zu behalten und Verbesserungsbereiche zu identifizieren. Ein Turnier für sicheres Programmieren kann jedoch als Katalysator für das Sicherheitsbewusstsein im Unternehmen und für positive Veränderungen dienen – und ist zudem eine großartige Möglichkeit für Teilnehmer, ihre fundierten Fähigkeiten unter Beweis zu stellen. Wenn man sieht, wie sich eine Turnier-Bestenliste in Echtzeit aktualisiert, ist man schließlich motiviert, weiter Punkte zu sammeln und seine Sicherheitskompetenz unter Beweis zu stellen.

Wie sieht ein erfolgreiches Turnier aus?

Das Ziel unserer Meetups mit OWASP ist es immer, in die langfristige Gesundheit der Sicherheits-Community zu investieren und dabei zu helfen, das Konzept zu fördern, dass das Lernen über Sicherheit tatsächlich Spaß machen kann.

Sichere Coding-Turniere sind ideal, um Entwickler zu begeistern und ihnen dabei zu helfen, ihre Fähigkeiten in einem sozialen Umfeld unter Gleichgesinnten zu verfeinern. Sie helfen dabei, Vorurteile gegenüber dem Thema „Sicherheit“ abzubauen, die oft durch weniger positive Erfahrungen im Arbeits- oder Bildungsalltag entstanden sind.

Ein wirklich großartiges Turnier zeichnet sich durch folgende Punkte aus:

• Ein wenig Aufmerksamkeit für die Organisation; informieren Sie auch Mitarbeiter außerhalb der Entwicklungsteams darüber, was passiert und warum
• Ein wertfreies Umfeld, das Entwickler auf allen Niveaus unterstützt
• Ein paar Extras; sorgen Sie für Verpflegung, geben Sie dem Event ein Motto und fördern Sie die Kreativität
• Belohnungen und Anerkennung; wir Entwickler lieben Goodies, und tolle Preise für die Gewinner sind ein Bonus: Denken Sie daran, dass dabei Ihre zukünftigen Security-Champions entdeckt werden könnten
• Ein Gefühl von Gemeinschaft und Zusammenhalt.

Wir bewegen uns in eine DevSecOps-Welt. Da Sicherheit nun endlich von Beginn an bei Softwareprojekten im Fokus steht, müssen Entwickler frühzeitig durch effektives Training eingebunden werden. Sie sind entscheidend dafür, ein Unternehmen von der ersten Codezeile an vor Schwachstellen zu schützen – und in einer starken Sicherheitskultur können alle etwas entspannter arbeiten.