Sicherheitsbewusste Entwickler: AppSec braucht euch!

Auch wenn es für Außenstehende kontraintuitiv erscheinen mag: Viele Fachkräfte, die über Jahre hinweg in der Anwendungssicherheit tätig waren, hatten kaum oder gar keine Programmiererfahrung. Diese AppSec-Experten sorgen dafür, dass sich keine Schwachstellen in Anwendungen einschleichen, die heute das Lebenselixier vieler Branchen und Unternehmen sind – und doch können nur wenige von ihnen den Code direkt bewerten oder selbst korrigieren.

Anstatt aus der Softwareentwicklung zu kommen, nähern sich viele Sicherheitsexperten ihrer Rolle über das Wissen zu Angriffsvektoren, Bedrohungen, Exploits und Geschäftsrisiken; ihr Blick auf den Code ist begrenzt. Während nicht jeder AppSec-Guru über dasselbe Skillset verfügt, arbeiten viele im Alltag mit Code-Reviewern und Scan-Tools, um sicherzustellen, dass Programme und Systeme gemäß Unternehmensstandards oder relevanten Branchen- und Regierungsrichtlinien abgesichert sind. Sie erstellen Berichte über ihre Ergebnisse und informieren über Angriffsvektoren, die den Code gefährden könnten. Es liegt dann an den Entwicklern, die notwendigen Korrekturen vorzunehmen, egal wie sehr dies die aktuelle Arbeit stört.

Diese Situation entstand, weil lange Zeit die vorherrschende Logik galt, dass der Schutz von Netzwerken und Anwendungen so umfangreich sei, dass man nicht von jedem in der Cybersicherheit erwarten könne, alle Rollen auszufüllen. Tiefgreifende Programmierkenntnisse wurden den Entwicklern überlassen, und die Fähigkeit, Code weiter hinten in der Entwicklungspipeline zu schreiben oder zu bearbeiten, wurde kaum geschätzt.

Dieses Denken ändert sich schnell und bietet Entwicklern eine einzigartige Gelegenheit für einen lukrativen Karrieresprung in den Bereich AppSec. Nicht jeder Entwickler möchte auf die sogenannte dunkle Seite wechseln, und viele haben keine besonders positive Meinung von AppSec-Teams. Doch für diejenigen, die es tun, war es noch nie so attraktiv wie heute, nach diesem begehrten Ziel zu greifen.

DevSecOps treibt nahezu jede Branche an

Einer der größten Faktoren für die Aufwertung sicherheitsbewusster Programmierer und Entwickler in jedem Unternehmen ist der nahezu universelle Trend zu agileren Entwicklungspraktiken wie DevSecOps. Wenn Entwicklung, Sicherheit und Betrieb kombiniert werden, wird Cybersicherheit zu einer gemeinsamen Verantwortung, die von Anfang bis Ende in die Softwareentwicklung integriert ist. In diesem Umfeld wird die Fähigkeit zu programmieren zunehmend als wertvolles Kapital angesehen – besonders für Ingenieure, die von Natur aus auch Sicherheit verstehen.

Ein AppSec-Profi, der nicht nur Cybersicherheit auf hohem Niveau versteht, sondern auch den Code, der alles am Laufen hält, ist für jedes Unternehmen wertvoller als jemand, dessen Wissen sich auf die Theorie beschränkt. Schwachstellen im Code schnell zu entdecken, zu bewerten und dann zu beheben, ist der Kern dessen, warum DevSecOps so beliebt ist.

Entwickler in der AppSec bringen einen weiteren großen Vorteil mit. Da sie aus der Entwicklung kommen, fällt es ihnen leicht, mit Entwicklern über Sicherheit und Schwachstellen zu sprechen. Zudem können sie leichter als Coaches für die Entwicklungsteams fungieren und ihnen helfen, bessere Programmierer zu werden. Mit der Zeit könnten sie sogar das Stigma der „dunklen Seite“ von AppSec entfernen und dazu beitragen, die Teams innerhalb der Softwareentwicklung unternehmensweit zu vereinen.

Der Fachkräftemangel in der Cybersicherheit verschärft sich

Shakespeare meinte, es sei ein übler Wind, der niemandem etwas Gutes bringe. Damit wollte er sagen, dass selbst die dunkelste Situation wahrscheinlich jemandem nützt. Der Fachkräftemangel in der Cybersicherheit ist ein hervorragendes Beispiel dafür.

Der Personalmangel ist fast überall deutlich spürbar. In einer kürzlich durchgeführten Umfrage des Center for Strategic and International Studies gaben 82 % der IT-Entscheider an, dass ihre Unternehmen unter einem Mangel an Cybersicherheits-Skills leiden, und 71 % sagten, dass dieser Mangel zu direktem und messbarem Schaden geführt habe. Um diese Krise besser einzuordnen: Allein in den USA gab es 2020 mehr als 520.000 unbesetzte Stellen in der Cybersicherheit, bei insgesamt nur etwa 940.000 Beschäftigten.

Der Personalmangel ist schlecht für Unternehmen, die ihre Infrastruktur, ihr Geschäft und ihre Daten vor einer immer gefährlicheren Bedrohungslage schützen müssen. Aber er bietet eine gute Chance für Entwickler, die in den Bereich AppSec und Sicherheit einsteigen wollen. Die Chancen stehen gut, dass AppSec-Positionen fast überall verfügbar sind. Und da Cybersicherheitsstellen heutzutage im Durchschnitt 21 % länger unbesetzt bleiben, steigen die Gehälter auf breiter Front.

Der Sprung in den Bereich AppSec

Es gab vielleicht noch nie einen besseren Zeitpunkt für Entwickler, den lukrativen Sprung auf die sonnige Seite der Sicherheit zu wagen. Sicherheitsbewusste Entwickler werden nicht mehr nur als Notlösung betrachtet, sondern nehmen eine vollwertige und angesehene Rolle als Verteidiger der Cybersicherheit ein. Dies gilt insbesondere für Unternehmen, die DevSecOps und andere agile Methoden eingeführt haben. Der Fachkräftemangel bedeutet, dass Stellen in fast jedem Unternehmen oder jeder Behörde verfügbar sind. Wer die richtigen Fähigkeiten hat, kann sich seinen Arbeitsplatz aussuchen.

Der Wechsel zu AppSec ist vielleicht nicht für jeden etwas, und die meisten Entwickler werden sich weiterhin auf das Erstellen großartiger Funktionen konzentrieren. Doch für diejenigen, die einen Wechsel in Erwägung ziehen, kann eine Investition in Sicherheitsschulungen viele Türen öffnen. Die besten AppSec-Leute kommen aus der Entwicklung, weil sie die Technik tiefgreifend verstehen und Empathie für ihre Kollegen haben. DevSecOps bedeutet ohnehin, dass jeder für Sicherheit verantwortlich ist – warum also nicht den aktuellen Fachkräftemangel nutzen, um die Karriere in Richtung Anwendungssicherheit voranzutreiben? Es gab noch nie einen besseren Zeitpunkt für einen positiven Schritt für sich selbst und die eigene Karriere.