Technische Schulden durch entwicklergesteuerte Sicherheit mindern

Reden wir über Schulden

Es ist mittlerweile allgemein bekannt, dass Cyberkriminalität ein großes Problem für unsere Weltwirtschaft darstellt. Im Jahr 2022 beliefen sich die durchschnittlichen Kosten einer Datenschutzverletzung in den Vereinigten Staaten auf 9,44 Millionen US-Dollar, ein Anstieg gegenüber 9,05 Millionen US-Dollar im Vorjahr. Es ist wichtig, die Kosten für unsicheren Code und die damit verbundenen technischen Schulden nicht zu ignorieren. Laut dem Bericht „Consortium for Information and Software Quality: The Cost of Poor Software Quality“ aus dem Jahr 2022 wird geschätzt, dass die Kosten für mangelhafte Softwarequalität in den USA auf 2,41 Billionen US-Dollar gestiegen sind und die angehäuften technischen Schulden bei Software 1,52 Billionen US-Dollar erreicht haben.

Die explodierenden Kosten für die Behebung unsicherer Programmierung und der damit verbundenen technischen Schulden sind zum größten Hindernis für Änderungen an bestehenden Codebasen geworden – was diese anfällig für Exploits und externe Bedrohungen macht. Die Software-Sicherheit steckt in einer existenziellen Krise: Wir wissen, dass wir unsere Sicherheitslage verbessern und die angehäuften technischen Schulden abbauen müssen, aber die Hürden sind enorm:

• In den USA gibt es schätzungsweise 300.000 unbesetzte Stellen für Softwareentwickler und IT-Fachkräfte mit einer prognostizierten Wachstumsrate von 15 %.
• Es wird vorhergesagt, dass bis 2025 40 % der IT-Budgets allein für die Instandhaltung technischer Schulden aufgewendet werden.
• Im Durchschnitt verbringen Entwickler ein Drittel ihrer wöchentlichen Arbeitszeit mit der Beseitigung technischer Schulden.

Schnelle Lösungen sind riskant – und langfristig teurer

Was sind technische Schulden und warum sind sie so wichtig? Technische Schulden entstehen, wenn Entscheidungsträger bei einem Softwareentwicklungsproblem eine kurzfristige Lösung einer umfassenderen, langfristigen Lösung vorziehen. Dies ist mit erheblichen versteckten Kosten verbunden, die Unternehmen später tragen müssen. Ähnlich wie bei einer ausgereizten Kreditkarte hat die technische Schuld zwei Hauptkomponenten:

• Kapital – bezieht sich auf die Gesamtkosten für das Refactoring oder die Reparatur von Software, damit sie ein gewünschtes Maß an Wartbarkeit und Sicherheit erreicht.
• Zinsen – der zusätzliche Aufwand, den Entwickler betreiben müssen, um diese Änderungen zur Behebung der technischen Schulden vorzunehmen, anstatt an neuen Funktionen zu arbeiten. Jede Minute, die für nicht ganz ausgereiften Code aufgewendet wird, erhöht die Zinsen auf die Schulden.

Man kann schließlich einen Zustand des „technischen Bankrotts“ erreichen, wenn die Kosten für neue Funktionen, Fehlerbehebungen und Wartung das Projektbudget übersteigen – was den Wert der Softwareanwendung erheblich mindert.

Allerdings ist eine gewisse Anhäufung von Schulden, wie im richtigen Leben, normal und in den meisten Fällen auch zu erwarten.

Idealerweise sollten alle Softwareentwickler Fehler so weit wie möglich reduzieren, bevor sie Code ausliefern. Sie stehen jedoch vor einem schwierigen Kompromiss: Um wettbewerbsfähig zu bleiben, möchte ein Unternehmen Funktionen oder Produkte schnell und zu minimalen Kosten an Kunden liefern. Infolgedessen leidet die Qualität der Anwendung, da die KPIs der Entwickler auf der Geschwindigkeit der Bereitstellung und den anfänglichen Entwicklungskosten basieren. Was dabei übersehen wird, sind die angehäuften Mängel und potenziellen Schwachstellen, die im Code verankert sind. Dies macht ihn anfällig für Fehler oder Sicherheitslücken in der Zukunft oder, noch schlimmer, für die Ausnutzung durch böswillige Akteure.

Doch hier liegt das Dilemma: Gibt es einen anderen Weg, Produkte schnell auszuliefern, ohne eine massive Menge an technischen Schulden anzuhäufen?

Die Kosten für das Finden und Beheben von Mängeln und Schwachstellen sind der größte Einzelposten im Softwareentwicklungszyklus. Je früher Probleme im Entwicklungszyklus erkannt werden, desto kosteneffizienter ist die gesamte Bereitstellung.

Technische Schulden können sich zu Sicherheitsschulden entwickeln

Viele Entwickler versuchen, diesen Kompromiss zu umgehen, indem sie Open-Source-Code verwenden, um schneller voranzukommen und idealerweise auf eine bereits geprüfte Lösung zurückzugreifen. Die starke Abhängigkeit von Open-Source-Software birgt jedoch oft eigene Risiken:

• 82 % der Open-Source-Komponenten erwiesen sich als veraltet (d. h. ungepatcht oder nicht gut unterstützt).
• 75 % der Codebasen enthielten Schwachstellen (gegenüber 60 % im Jahr 2018), und 49 % enthielten hochriskante Schwachstellen.
• Durchschnittlich wurden 82 Schwachstellen pro Codebasis identifiziert.

Dies führt zu einer speziellen Form von technischer Schuld: Sicherheitsschulden. Dabei handelt es sich um die Anhäufung von Schwachstellen in einer Softwareanwendung, die es erschweren oder gar unmöglich machen, Daten und Systeme vor Angriffen zu schützen.

Eines der bekanntesten Beispiele ist Equifax, der Kreditberichterstattungsriese, der 2017 Opfer eines Datendiebstahls wurde, weil er es versäumt hatte, eine bekannte Schwachstelle in Apache Struts, einem beliebten Open-Source-Framework für Webanwendungen, zu schließen. Der Patch war bereits seit Monaten verfügbar, doch der Vorfall gefährdete die sensiblen persönlichen Daten von mehr als 147 Millionen Menschen.

Daher muss dem Thema sichere Programmierung mehr Aufmerksamkeit geschenkt werden, da viele Anwendungen bei ihrer technischen Schuld sowie bei der Dichte an Sicherheitslücken und Schwachstellen in der Anwendung selbst eine kritische Grenze erreicht haben.

Dies kann zu massiven Verlusten führen, die sowohl materieller als auch immaterieller Natur sein können:

Reputationsschaden: Der Verlust des Kundenvertrauens kann langfristig extrem negative Auswirkungen haben. Dazu können Markenschäden, Umsatzeinbußen und kostspielige rechtliche Probleme infolge einer Sicherheitsverletzung gehören.

Regulatorische Auswirkungen und Compliance: Wenn eine Sicherheitsverletzung dazu führt, dass ein Unternehmen Fristen oder vertragliche Verpflichtungen nicht einhalten kann. Die Nichteinhaltung von SLAs kann ein Unternehmen in Konflikt mit Aufsichtsbehörden bringen und zu erheblichen Geldstrafen führen.

Behebungskosten: Nach einem Ausfall oder einer Störung ist oft zusätzliche Arbeit erforderlich, um den Produktivitätsverlust auszugleichen.

Vermeidung von technischer Schuld und Sicherheitsschulden im SDLC

Viele Unternehmen verlagern bereits ihre Budgets, um ihre Sicherheitslage zu stärken. Letztes Jahr hat Google 10 Milliarden US-Dollar über 5 Jahre zugesagt, um ein Programm zur Stärkung der Cybersicherheit zu finanzieren. Auch die Biden-Regierung beantragte 2,1 Milliarden US-Dollar im diskretionären Haushalt 2022 für die Cybersecurity and Infrastructure Security Agency (CISA).

Die Bereitstellung von mehr Ressourcen und Schulungen zur Förderung der beruflichen Entwicklung und des Wissens Ihrer Entwickler kann der erste Schritt sein, um Qualitätsstandards für den gesamten in die Produktion überführten Code zu etablieren.

Die Kosten für das Auffinden und Beheben von Schwachstellen oder Fehlern steigen exponentiell, je später sie im Softwareentwicklungszyklus entdeckt und adressiert werden. Und wie wir gesehen haben, verursachen Unternehmen durch den hohen Zeitaufwand für die Beseitigung technischer Schulden und Sicherheitsschulden ihre eigenen Verluste, indem sie auf Innovationen und Zeit für neue Funktionen oder Produkte verzichten.

Im Jahr 2022 gab die Mehrheit der Entwicklerteams an, dass DevOps oder DevSecOps ihre bevorzugte Methodik sei, und das aus gutem Grund. DevSecOps integriert Sicherheit in jede Phase des Softwareentwicklungszyklus, um bessere und sicherere Anwendungen bereitzustellen. Sicherheits- und Entwicklungsteams arbeiten oft noch in Silos und stehen in einem Spannungsverhältnis, doch es ist klar, dass sich dies ändern muss, damit Unternehmen erfolgreich sein können. DevOps ist Teil der Bemühungen von Unternehmen, Barrieren abzubauen und die Kultur neu zu gestalten. Das grundlegende Ziel von DevSecOps ist es, die Zusammenarbeit zwischen AppSec/Sicherheit und Entwicklern von Beginn des Softwareentwicklungszyklus an zu verbessern.

Die Implementierung einer neuen Denkweise im Umgang mit technischer Schuld und Sicherheit muss kein monumentales Unterfangen sein. Die Etablierung einer proaktiven Einstellung durch Schulungen ist entscheidend, wenn man das Sicherheitsbewusstsein und die Fähigkeiten der Entwickler-Community eines Unternehmens verbessern will. Eine fundierte Ausbildung in sicherer Programmierung für Entwickler, die sicherstellt, dass das Lernen kontinuierlich, interaktiv, relevant und kontextbezogen ist, ist eine Notwendigkeit. Ein wirklich ganzheitlicher Ansatz muss berücksichtigen, was erforderlich ist, um eine echte, von Entwicklern getragene Sicherheitskultur zu fördern. Dies erfordert möglicherweise eine Abkehr von den üblichen Methoden der Verwaltung und des Aufbaus von Entwicklerteams.

Ein Kulturwandel ist nicht einfach, aber Secure Code Warrior hilft Ihnen dabei, Ihre Sicherheits-Champions zu identifizieren und Entwickler sowie Unternehmen mit den richtigen Fähigkeiten auszustatten, um die sich ständig wandelnden Sicherheitsherausforderungen von heute zu bewältigen.

Die Einführung eines ansprechenden und skalierbaren Programms für sicheren Code ist eine lohnende Investition, da sie einen langfristigen präventiven Ansatz für die Sicherheit bietet, anstatt der reaktiven Vorgehensweise der Vergangenheit. Dies trägt letztlich dazu bei, die kostspieligen Risiken einer Sicherheitsverletzung zu mindern, Entwickler darin zu schulen, Schwachstellen schnell zu finden und zu beheben, und eine agilere Art der Produktentwicklung sowie eine schnellere Markteinführung zu ermöglichen.