Wegweisend mit NIST: Unsere menschzentrierte Vision für die Zukunft der Cyberabwehr

Die jüngste Executive Order zur Cybersicherheit der Biden-Administration sorgt in der Sicherheitsbranche für reichlich Gesprächsstoff – insbesondere bei denjenigen, die Entwickler davon überzeugen wollen, wie wichtig die Anwendung bewährter Verfahren für sicheres Programmieren im Arbeitsalltag ist. Erstmals müssen Entwickler, die an Software für die Bundesregierung arbeiten, nachgewiesene Sicherheitskompetenzen vorweisen und neue, weiterentwickelte Richtlinien einhalten.

Dies markiert einen positiven Wandel im Status quo der Cyberabwehr und rückt die angemessene Weiterbildung von Entwicklern endlich in den Fokus. Auch wenn diese Richtlinien auf die US-Regierung ausgerichtet sind, bieten sie Unternehmen weltweit die Chance, aktuelle Sicherheitsstandards anzugehen und zu verbessern – von der Arbeit der Entwickler bis hin zur Sicherheitsanalyse von Software-Lieferketten.

Das NIST hat kürzlich um öffentliche Stellungnahmen gebeten, um unter anderem die nächsten Aktualisierungen der HIPAA-Gesetzgebung vorzubereiten. Dies war für uns eine einmalige Gelegenheit, unsere Unternehmensexpertise in Positionspapieren zu bündeln, die einen sichereren und effektiveren, menschenzentrierten Ansatz für die Cybersicherheit fördern und Unternehmen dabei helfen, ihre Teams für bessere Ergebnisse einzusetzen.

Als expertenorientiertes Unternehmen schätzen wir uns glücklich, einige der engagiertesten und versiertesten Cybersicherheitsexperten bei uns zu haben, darunter den Doktoranden Pieter de Cremer und Dr. Brian Chess, der unserem technischen Beirat angehört. Wir drei haben unsere Köpfe zusammengesteckt, um dem NIST formell Positionspapiere vorzulegen, in denen wir aufzeigen, wie unser Ansatz zur Weiterbildung von Entwicklern und zur präventiven Sicherheit in der Softwareentwicklungsphase die Cybersicherheitsstandards künftig positiv beeinflussen könnte.

Ein sicherer Entwicklungspfad, geebnet für Entwickler

Tools zum Scannen von Schwachstellen, Überwachung und andere Formen der Sicherheitsautomatisierung sind immer weiter verbreitet und finden sowohl in der neuen Executive Order als auch in den NIST-Richtlinien Erwähnung. Sie sind ein zunehmend wesentlicher Bestandteil eines modernen Sicherheitsprogramms. Doch die Vergangenheit und Gegenwart zeigen: Während Scan-Tools Schwachstellen in Software zwar immer effizienter aufspüren, hat dies allein noch keinen Effekt auf deren Reduzierung oder gar auf eine Verbesserung der Sicherheit von Anfang an.

Ein schwerfälliger Tech-Stack, der ablenkt und den Workflow der Entwickler verlangsamt, ist einer der Hauptgründe, warum Entwickler sich von Sicherheitsthemen distanzieren und diese negativ wahrnehmen. Wenn Entwickler jedoch einen geebneten Pfad für sichere Entwicklung hätten – einen, der nicht nur auf die Technologie, sondern auch auf Sprachen, Frameworks und projektspezifische Entwicklungsziele zugeschnitten ist –, dann wäre die Einbettung von Sicherheit in den Entwicklungsprozess von Beginn an (bei möglichst geringer Beeinträchtigung der Produktivität) ein Ideal, das langfristig zu einer signifikanten Reduzierung häufiger Schwachstellen führen würde.

Um unser NIST-Positionspapier vollständig zu lesen, laden Sie es jetzt herunter:

Zertifizierungsrahmen für sichere Entwicklungspraktiken: Das (derzeit) fehlende Glied

Bislang gibt es keine formelle Zertifizierung zur Überprüfung von Fähigkeiten im Bereich sicheres Programmieren und bewährter Verfahren. Dies ist seit langem ein Versäumnis der Branche, und wir sind der Ansicht, dass dies für die Zukunft einer verbesserten Cyberabwehr und sicheren Entwicklung unerlässlich ist.

Wir wissen, dass es viele Formen von Sicherheitsschulungen für Entwickler gibt. Doch wenn die Menge an groß angelegten Datenpannen, Cyberangriffen und qualitativ minderwertigem Code ein Indikator ist, dann entstehen dadurch keine sicherheitsbewussten Entwickler, und sie werden nicht mit dem Wissen ausgestattet, um ein Problem anzugehen, das immer schlimmer wird.

Die Weiterbildung von Entwicklern erfordert Tools und Schulungen, die für den Arbeitsalltag relevant, kontextbezogen und in kleinen, aber häufigen Einheiten vermittelt werden. Sie müssen darauf aufbauen, was die Entwickler bereits in den Sprachen und Frameworks wissen, die sie tatsächlich verwenden. Allgemeine Schulungen reichen nicht aus, und dies muss in der Gesetzgebung und bei Branchengremien wie dem NIST unmissverständlich klargestellt werden.

Das NICE-Framework ist mehr als geeignet, um umfassende Zertifizierungsrichtlinien zu entwickeln, die aktiv Methoden nutzen, die funktionieren und für Entwickler sowie deren Arbeit von größtem Interesse und Nutzen sind. Die Ausrichtung an diesem anerkannten institutionellen Rahmen hilft dabei, Praktiken zu standardisieren, die wirklich einen Unterschied machen, und bietet Unternehmen konkretere Wege zur Umsetzung.

Um unser zweites NIST-Positionspapier vollständig zu lesen, laden Sie es jetzt herunter:

Der Faktor Mensch wird in der Cybersicherheit oft vergessen. Es ist an der Zeit, dass wir an menschlichen Lösungen für menschliche Probleme arbeiten, wie etwa wiederkehrende, häufige Schwachstellen. Jahrzehntealte Fehler sollten uns nicht mehr ausbremsen, aber es bedarf der Unterstützung durch Regierungen weltweit, um den Status quo zu ändern und messbare, positive Auswirkungen zu erzielen.
‍
Sind Sie bereit, Ihre Entwickler zu zertifizieren? Dann sind Sie bei uns genau richtig. Entdecken Sie noch heute unsere Lernplattform.