Mehr Sicherheitslücken, mehr Probleme: Der Preis des Vertrauens in Drittanbieter-Apps

Es ist kein Geheimnis, dass unsere Hauptmission darin besteht, Software und deren Entwicklung sicher zu machen – von Beginn der Produktion an mit Fokus auf Sicherheit konzipiert. Unsere Vision setzt einen neuen Maßstab für die Softwareentwicklung, bei dem Entwickler mit den Fähigkeiten und dem Wissen ausgestattet werden, anfälligen Code während des Schreibprozesses zu erkennen und zu beheben, bevor er überhaupt zum Problem wird.

Man könnte nun meinen, wir würden uns über neue Datenpannen, Cyberangriffe und ausgenutzten Code, die Unternehmen weltweit betreffen, freuen – schließlich unterstreichen solche Vorfälle den Bedarf für unseren Service in zahlreichen Branchen. Doch die Wahrheit ist: Es ist frustrierend. Es ist offensichtlich, dass wir als Branche immer wieder dieselben Fehler machen, weil die meisten Sicherheitsschulungen einfach nicht robust genug sind, um Risiken zu minimieren und diese Sicherheitsverletzungen zu stoppen.

Das jüngste Opfer einer Datenpanne ist Ticketmaster. Wenn Sie zu den Tausenden betroffenen Kunden gehörten, haben Sie eine E-Mail erhalten, die Sie über den Vorfall informierte und dazu aufforderte, Ihr Passwort zu ändern. Niemand rechnet damit, dass seine persönlichen Daten verletzt werden, nur weil er Tickets für ein Konzert oder eine Sportveranstaltung kauft, und doch ist es passiert.

Das ist eine schreckliche Situation für alle Beteiligten; sie schadet dem Ruf von Ticketmaster und ist eine absolut miserable Kundenerfahrung. Es gibt jedoch ein Problem: Es war nicht allein ihre Schuld.

Das Unternehmen nutzte die Dienste einer Drittanbieter-Anwendung für den Kundensupport von Inbenta Technologies. Ticketmaster UK entdeckte, dass das Produkt bösartigen Code enthielt, was dazu führte, dass fünf Prozent ihrer globalen Kundendaten kompromittiert wurden.

Und wie genau gelang es Hackern, dieses System auszunutzen? Sie manipulierten eine einzige Zeile JavaScript-Code, die von Inbenta Technologies für die Anforderungen von Ticketmaster angepasst wurde. Laut Inbenta wurde der Code auf einer Seite verwendet, für die er nicht vorgesehen war. Hätten sie davon gewusst, hätten sie dies als Sicherheitslücke identifiziert.

Die Schwachstelle selbst ist im Wesentlichen ein Sicherheitsproblem einer Datei-Upload-/Speicherbibliothek, bei dem ein einziger Verstoß jede Website betreffen kann, auf der derselbe Code geladen wird. Der Code kann modifiziert werden, um persönliche Daten zu sammeln und an die Angreifer umzuleiten – um nur den Anfang zu nennen. Dies ist ein einfacher Exploit mit weitreichendem Schadenspotenzial, und wir arbeiten daran, uns mit einer Reihe von In-Platform-Trainingsübungen für Entwickler dagegen zu verteidigen.

Natürlich ist es praktisch unmöglich, ein Unternehmen zu führen, ohne sich auf einige Drittanbieter-Anwendungen zu verlassen. Sie haben jedoch keine Kontrolle darüber, wie diese ihre Software entwickeln, und im Grunde null Einblick in die Sicherheit ihres Codes. Es wird zu einer Vertrauenssache. Wenn Ihr Drittanbieter bei seinen sicheren Codierungspraktiken nachlässig ist, öffnen Sie möglicherweise Tür und Tor für eine Sicherheitsverletzung in Ihrem Unternehmen.

Was ist also die Lösung? Einfach gesagt: Wir alle müssen besser werden. Wir müssen aufhören, Sicherheit als lästiges Hindernis für unternehmerische Innovation zu betrachten.

Es ist einfacher als Sie denken, Ihr Entwicklerteam mit den richtigen Werkzeugen und dem nötigen Wissen auszustatten, um Sicherheit zu verinnerlichen und schlechten Code sofort zu stoppen. Wir freuen uns, dass so viele der weltweit größten und bekanntesten Unternehmen aus den Bereichen Finanzen, Telekommunikation, Einzelhandel und Technologie diesen neuen Ansatz verfolgen. Doch Sicherheitsschulungen sollten nicht nur Fortune-100-Unternehmen vorbehalten sein. Jedes Unternehmen, das Entwickler beschäftigt, muss Schulungen implementieren, um Teams beim sicheren Programmieren zu unterstützen.

Das kürzlich veröffentlichte Whitepaper, das ich gemeinsam mit unserem CTO Matias Madou verfasst habe, zeigt die Vorteile des Aufbaus einer Sicherheitskultur in Ihrem Unternehmen auf. Wir erläutern detailliert, warum dies der Schlüssel ist, um Innovationen freizusetzen, agil zu bleiben und die finanziellen Auswirkungen von unsicherem Code zu reduzieren.

Sie finden darin Tipps zu folgenden Themen:

* Wie man Sicherheitsschulungen für Entwickler relevant und ansprechend gestaltet

* Wie man Entwicklern beibringt, ihre eigenen Probleme zu erkennen und zu beheben

* Wie man Entwickler dabei unterstützt, ihren eigenen Code sicher zu erstellen.

Ich lade Sie ein, diese Ressource herunterzuladen und sie zu nutzen, um Sicherheit in Ihrem Unternehmen voranzutreiben, die Fähigkeiten Ihres Teams auszubauen und eine Vorreiterrolle bei der Etablierung höherer Standards für Code einzunehmen.

Wir müssen aufhören, Sicherheit als lästiges Hindernis für unternehmerische Innovation zu betrachten.