Neuausrichtung Ihres Unternehmens auf Secure Coding – Hindernisse, Bedenken und aktive Lösungen

In unserer hochvernetzten Welt hat fast jede Organisation eine gemeinsame Achillesferse. Eine einzige Schwachstelle, nur eine ausnutzbare Lücke im Code, kann den Diebstahl von Kundendaten, Reputationsschäden und erhebliche finanzielle Verluste auslösen. Die organisatorische Ausrichtung auf sichere Programmierung war noch nie so wichtig wie heute – doch das ist leichter gesagt als getan. Daher hat Secure Code Warrior im Jahr 2020 Evans Data Corp. damit beauftragt, eine Primärstudie* zu den Einstellungen von Entwicklern und Managern gegenüber sicherer Programmierung, entsprechenden Praktiken und Sicherheitsabläufen durchzuführen.

In diesem Umfeld, in dem Cybersicherheit von größter Bedeutung ist, werden die traditionellen KPIs für den Projekterfolg neu definiert – aber nicht schnell genug.

Als wir Entwickler und Manager nach den kritischsten Prioritäten im Softwareentwicklungsprozess fragten:

• 76 % nannten die Anwendungsleistung
• 62 % wählten Funktionen und Funktionalität
• Und etwas mehr als 50 % entschieden sich für sicheren Code
  

Wie wir sehen können, ist Sicherheit heute keine kritische Priorität.

Doch mit Blick auf die Zukunft ändert sich das Bild dramatisch. Auf die Frage nach den wichtigsten zukünftigen Prioritäten zur Messung des Projekterfolgs sind sich 79 % der Entwickler einig, dass sichere Programmierung immer wichtiger wird. Tatsächlich sehen Entwickler Sicherheit als den KPI an, dessen Bedeutung am stärksten zunehmen wird.

Doch obwohl das Bewusstsein für sichere Programmierung wächst, gibt es Bedenken hinsichtlich der Umsetzung. Sowohl für Entwickler als auch für Manager ist der Umgang mit Schwachstellen und die Verantwortung für den Code ein Grund, nachts nicht schlafen zu können. Unsere Studie* hat gezeigt, dass beide Gruppen die gleichen grundlegenden Sorgen teilen, was auf einen Bedarf an besserer Schulung in sicheren Programmierpraktiken hinweist.

Bedenken und Hindernisse bei sicheren Programmierpraktiken

Die größte Sorge der Entwickler ist das „Einbinden von Code, der frühere Schwachstellen repliziert“. Da Entwickler an der Qualität ihres Codes gemessen werden, ist dies kaum überraschend. Kein Entwickler möchte die Quelle für unsicheren Code sein – oder für Code, der Nachbesserungen erfordert und das Team ausbremst.

Die zweitgrößte Sorge der Entwickler ist der Umgang mit Fehlern, die von Kollegen verursacht wurden. Die Einhaltung von Fristen und die Verantwortung für den Code stehen ebenfalls weit oben auf der Liste – ebenso wie die Tatsache, dass das Erlernen von sicherem Code eine Herausforderung darstellt, was die Unzufriedenheit der Entwickler mit aktuellen Schulungsansätzen widerspiegelt.

Manager hingegen nehmen eher eine Top-Down-Perspektive ein. Ihre größte Sorge ist die Verantwortung für schlechten Code oder Code, der frühere Schwachstellen repliziert. Schließlich liegt die Verantwortung beim Manager, wenn das Team minderwertigen Code produziert.

Die Tatsache, dass der Lernprozess eine Herausforderung darstellt, steht an dritter Stelle – dies ist nicht das einzige Hindernis für sichere Programmierpraktiken.

45 % identifizierten mangelnde Kommunikation zwischen Stakeholdern und Management als erhebliches Hindernis. 42 % beklagen das Fehlen von Kenntnissen in sicherer Programmierung bei Neueinstellungen. Gleichzeitig nannten 40 % unzureichende Zeit und Ressourcen für Schulungen.

Aktuelle Schulungsansätze für sicheren Code liefern keine Ergebnisse – und Manager erkennen, dass ein neuer Ansatz erforderlich ist.

Wer ist für sichere Programmierpraktiken verantwortlich?

Von Natur aus bedeutet die Praxis der sicheren Programmierung, Sicherheit viel früher im SDLC zu berücksichtigen. Es bedeutet, Sicherheit von Anfang an aktiv in die Software zu integrieren, anstatt dies auf später zu verschieben. Mit anderen Worten: „Shift Left“. Dieses „Shift Left“ ist der Kern der sicheren Programmierung. Und das bedeutet letztlich, dass jeder in einer Organisation für sicheren Code verantwortlich sein sollte. Doch derzeit stimmen dem nur 15 % der Entwickler zu.

Während jedoch die meisten Entwickler Sicherheit immer noch als das Problem anderer Leute betrachten, gibt es eine kleine, aber wachsende Gruppe, die sichere Programmierung nicht nur aktiv annimmt, sondern sie in ihrem Unternehmen auch vorantreibt. 29 % der befragten Entwickler stimmen zu, dass es solche Ansprechpartner an ihrem Arbeitsplatz gibt. Das Problem ist, dass diese Champions für sicheren Code noch zu selten sind.

Mehr Security Champions gewinnen

Entwicklungsleiter wissen, dass sie neue Security Champions identifizieren, aufbauen und die Fähigkeiten ihrer Entwickler im Bereich Secure Coding allgemein stärken müssen.

Viele Führungskräfte legen bei der Einstellung neuer Entwickler großen Wert auf Secure-Coding-Kenntnisse und schätzen entsprechende Erfahrungen bei ihren bestehenden Teammitgliedern.

83 % der befragten Führungskräfte geben an, dass sie ihre Entwickler dazu anhalten, sichere Programmierpraktiken zu erlernen oder anzuwenden. Etwa drei Viertel der Befragten bieten Anreize für die Teilnahme an Secure-Coding-Schulungen. Diese reichen von formeller Anerkennung über mehr Verantwortung bis hin zu besserer Bezahlung.

Es ist offensichtlich, dass Entwicklungsleiter eine entscheidende Rolle bei der Einführung sicherer Programmierpraktiken im Unternehmen spielen – und maßgeblich daran beteiligt sind, Security Champions zu entdecken.

Doch was motiviert Entwickler dazu, sich mit Secure Coding zu befassen, um mehr solcher Champions zu gewinnen? Unsere Untersuchung zeigt, dass sie darin einen Weg sehen, ihre Produktivität und Effizienz zu steigern.

Warum fordern Entwickler dann nicht mehr Schulungen zu sicherem Programmieren ein? Was steht einer Anpassung an den wachsenden Bedarf im Unternehmen im Weg?

Lösungsansätze für eine Neuausrichtung

Entwickler möchten nicht passiv Vorträgen zuhören, sondern selbst aktiv werden und Dinge ausprobieren. Sie wünschen sich einen Fokus auf praktische Anwendungen – ein Punkt, der bei aktuellen Schulungsprogrammen oft zu kurz kommt. Auf die Frage, wie betriebliche Schulungen verbessert werden könnten, gaben 30 % der Befragten an, dass sie sich mehr Praxisbezug wünschen, insbesondere durch authentische Arbeitsszenarien.

Aktuelle Schulungsmethoden werden dem nicht gerecht. Es bedarf eines neuen Ansatzes – und als Vorreiter des Wandels verfolgt Secure Code Warrior einen menschenzentrierten Ansatz, um Unternehmen bei der Neuausrichtung auf Secure Coding zu unterstützen. Unsere Cybersecurity-Kurse bieten geführte Lernpfade mit praxisnahen, spielerischen Coding-Challenges, die reale Herausforderungen für Entwickler simulieren.

Diese Schulungen sind sprach- und frameworkspezifisch, im Gegensatz zu allgemeinen Trainings, die oft wenig nachhaltig sind.

Wenn es um die kulturelle Neuausrichtung geht, können Turniere genutzt werden, um die Sicherheitskompetenzen der Entwickler zu messen, eine Basis für die weitere Qualifizierung zu schaffen und potenzielle Security Champions in Ihrem Team zu identifizieren.

Wenn Sie mehr über Secure-Coding-Schulungen erfahren möchten, die die Bedürfnisse von Führungskräften, Entwicklern und dem Unternehmen auf eine sichere Zukunft ausrichten, buchen Sie jetzt eine Demo.

*Vom Reagieren zum Agieren: Das sich wandelnde Gesicht der Anwendungssicherheit. Secure Code Warrior und Evans Data Corp. 2020