OWASP AppSec Day 2019: Förderung sicherer Entwickler

Anfang des Monats hatte ich die Gelegenheit, am OWASP AppSec Day 2019 im wunderschönen Melbourne teilzunehmen. Diese entwicklerorientierten Veranstaltungen gehören zu meinen Favoriten im Kalender; sie erinnern mich auf demütige Weise an die Gemeinschaft, die unermüdlich daran arbeitet, Softwareentwickler und Spezialisten auszubilden und zu befähigen, Sicherheit in ihrer Arbeit großzuschreiben.

Das Gastaufgebot war sensationell – ganz zu schweigen von der erfrischenden Vielfalt – und es ist ein tolles Gefühl, dass ich mich auch nach all den Jahren in der Branche noch inspirieren lassen kann. Persönlichkeiten wie Tanya Janca, Toni James und Teri Radichel hielten unglaubliche Vorträge, während Wireghouls spontane Herausforderungen zum sicheren Programmieren das gesamte Auditorium auf die Probe stellten. Es war großartig, ein so tiefgreifendes Sicherheitsbewusstsein bei den Teilnehmern zu erleben.

In diesem Jahr war Secure Code Warrior Platin-Sponsor der Veranstaltung. Ich musste lächeln, als ich mich daran erinnerte, dass es vor gerade einmal vier Jahren das Team hinter dem OWASP AppSec Day war, das unserem Startup mit einem kostenlosen Stand und Werbung unter die Arme griff. Es war ein Moment des Stolzes zu sehen, wie weit wir als Unternehmen gekommen sind, und ein Grund zur Dankbarkeit, dass es eine so großzügige Gemeinschaft unglaublicher Menschen gibt.

Toni James: Sicherheit aus der Perspektive eines Entwicklers

Wenn es eine Sache gibt, die wir auf dieser Welt mehr fördern müssen, dann ist es Empathie. Und wenn es darum geht, Software durchgängig sicherer zu machen, ist es unerlässlich, die Notlage der Entwickler zu verstehen.

Ich habe Tonis Vortrag sehr genossen und bin sicher, dass er für jeden Entwickler sofort nachvollziehbar war. Es gehört viel mehr dazu als nur „schreibe sicheren Code“. Auch wenn ich fest davon überzeugt bin, dass in Sicherheit geschulte Entwickler unsere beste Chance im Kampf gegen Schwachstellen sind, ist es zwingend erforderlich, ihre täglichen Herausforderungen zu berücksichtigen.

Die Arbeit eines Softwareentwicklers kann Millionen von Nutzern präsentiert werden, kritische Infrastrukturen unterstützen und die treibende Kraft hinter Diensten sein, die wir als selbstverständlich betrachten. Das Erstellen von Funktionen, die Umsetzung geschäftlicher Innovationen und das Einhalten knapper Lieferfristen erzeugen viel Druck – und das, bevor ein AppSec-Team auftaucht und ihre harte Arbeit kritisch unter die Lupe nimmt. Toni sprach darüber, wie das Leben in diesem Umfeld aussieht und wie eine gute Portion Empathie auf allen Seiten zu weitaus besseren Prozessen und Sicherheitsergebnissen führen kann. Ich freue mich sehr über die gesunden Fortschritte, die gemacht werden, um die Kluft zwischen Entwicklern und AppSec-Teams zu überbrücken; letztendlich ist dies ein entscheidendes Element für eine positive, florierende Sicherheitskultur, und Toni ist ein Paradebeispiel dafür, wie dieser Prozess hervorragend funktioniert.

Tanya Janca und Teri Radichel: Sicherheits-Superheldinnen

Nicht, dass es ein Wettbewerb wäre, aber die Beiträge von Tanya Janca und Teri Radichel zur Konferenz gehörten zu meinen Favoriten. Zehn Minuten nach Beginn ihres Tutorials zu DIY-Cloud-Sicherheitsbewertungen zeigten sich ihre enorme Erfahrung, ihre Qualifikationen und ihr Fachwissen, aber auch ihre echte Herzlichkeit und der Wunsch, Wissen zu teilen und die Entwickler-Community zu unterstützen. Gemeinsam präsentierten sie realistische und umsetzbare Maßnahmen zur Sicherung von Azure-Implementierungen, einschließlich praktischer Ratschläge zur Festlegung von Sicherheitsrichtlinien und Maßnahmen zur Rechtebeschränkung.

Eine kurze Google-Suche verrät Ihnen alles, was Sie über ihr Engagement für die Unterstützung von Entwicklern an der Basis wissen müssen, mit einer Fülle an kostenlosen Ressourcen, Mentoring-Möglichkeiten und Interviews, die die unterhaltsame und spannende Seite der Softwaresicherheit hervorheben. Sie sind inspirierende, unverzichtbare Vorkämpferinnen unserer Gemeinschaft; wenn sie auf der nächsten Sicherheitskonferenz sprechen, die Sie besuchen, wären Sie verrückt, ihre Sitzung zu verpassen.

Kunden auf der großen Bühne

Es war brillant zu sehen, wie viele unserer Kunden nicht nur anwesend waren, sondern auch die Bühne eroberten und ihr immenses Sicherheitswissen mit dem Publikum teilten.

Wir konnten Telstras Andrew Bailey bei einem wichtigen Vortrag erleben: „Adding the 'Sec' to DevOps“. Seine reiche Erfahrung als Senior Software Engineer, der sich nun voll und ganz auf Anwendungssicherheit und sicheres Programmieren konzentriert, war eine hervorragende Perspektive. Er gab durchgängige Tipps zur Integration von Sicherheit in jede Phase des SDLC (natürlich auch direkt zu Beginn durch die Schulung von mehr Entwicklern in sicherem Programmieren).

Ken Johnson ist Teil des Sicherheitsteams von GitHub, und ich habe mich sehr gefreut, ihn am Ende der Konferenz im Expertenpanel zu sehen. Zusammen mit den anderen Diskussionsteilnehmern beantwortete er nur zu gerne die drängenden Fragen aus dem Publikum, auch solche, die in den Medien nicht unbedingt die Aufmerksamkeit erhalten, die sie verdienen. Neben verschiedenen Branchenerkenntnissen regte er die Diskussion über die Bedeutung von Wohlbefinden und Work-Life-Balance an, was in Zeiten von Entwickler-Burnout sehr wichtig ist.

Ich möchte Julian Berton und dem gesamten OWASP Melbourne-Team ein riesiges Dankeschön für eine weitere unglaubliche Konferenz aussprechen. Bis nächstes Jahr (mit mehr Stickern).