Sicherheit ist kein Schimpfwort: Wie ein positiver Ansatz Ihr Sicherheitsprogramm transformiert

Ursprünglich veröffentlicht im DevSecCon Blog.

Da ich beide Seiten kenne, weiß ich nur zu gut, welche Spannungen zwischen dem Entwicklungsteam und den AppSec-Spezialisten entstehen können, wenn es um die Einhaltung von Security-Best-Practices geht.

Es ist schwierig; letztendlich ist die Hauptaufgabe eines Entwicklers die Bereitstellung von Softwarefunktionen. Diese müssen ansprechend und funktional sein und die Leistungsfähigkeit der Anwendung unterstreichen. Da heute meist agile Entwicklungsmethoden zum Einsatz kommen, müssen diese Funktionen unter strengen Zeitvorgaben fertiggestellt werden – und Sicherheit steht bei so vielen anderen Prioritäten selten ganz oben auf der Liste.

Sicherheit wird als Domäne des AppSec-Teams betrachtet, das die undankbare Aufgabe hat, Code zu scannen (oder schlimmer noch: ihn manuell Zeile für Zeile zu überprüfen) und dem Entwicklungsteam zu melden, dass ihr Code unsicher oder sogar völlig unbrauchbar ist. Sie gelten als Spielverderber, die gute Arbeit kritisieren, Innovationen bremsen und Entwicklern das Leben schwer machen. Dabei sind viele Sicherheitsprobleme recht einfach zu beheben – oft könnte eine einzige Codezeile eine verwundbare Hintertür in Minuten schließen.

Doch hier liegt das Problem: Da „Sicherheit“ so eng mit negativen Erfahrungen verknüpft ist, setzen sich Entwickler nicht so intensiv damit auseinander, wie sie es sollten. Diese Ein-Zeilen-Korrekturen bleiben aus, und die AppSec-Experten stoßen immer wieder auf dieselben Probleme. Es muss frustrierend sein, auch zwanzig Jahre nach der Entdeckung (und der entsprechenden Lösung) immer noch auf SQL-Injection-Schwachstellen hinweisen zu müssen.

Was wir bisher getan haben, ist bei weitem nicht so effektiv wie erhofft. Wir müssen die Brücke zwischen Entwicklern und AppSec-Spezialisten schlagen und eine positive Sicherheitskultur anstreben, in der Entwickler die Werkzeuge und Schulungen erhalten, um in diesem Bereich wirklich etwas zu bewirken.

Wer weiß? Vielleicht werden sie sogar genauso begeistert davon wie ich!

Positive Security ist der schnellste und einfachste Weg, die Anwendungssicherheit zu verbessern

und nein, das ist kein esoterisches Gerede über vage Ergebnisse. Es ist ein absolut wesentlicher Bestandteil für den Erfolg bei der sicheren Softwareentwicklung.

Entwickler halten den Schlüssel zur Verbesserung der Sicherheit von Beginn der Produktion an in der Hand, indem sie von Anfang an sicheren Code schreiben. Durch den Aufbau einer positiven Sicherheitskultur und die Begeisterung der Entwickler für Anwendungssicherheit können häufige Schwachstellen beseitigt werden, noch bevor sie jemals in einem Scan oder einer manuellen Code-Überprüfung durch das AppSec-Team landen.

Es ist dreißigmal teurer, Schwachstellen in bereits committetem Code zu beheben. Daher ist die Suche nach Schulungen, die die Stärken der Entwickler nutzen, ihr Interesse wecken und tatsächlich funktionieren, ein großer Schritt zur künftigen Kostensenkung bei der Identifizierung und Behebung dieser wiederkehrenden Schwachstellen.

Positive, entwicklerorientierte Initiativen fördern die richtige Sicherheitskultur.

Wenn alle beim Thema Security-Best-Practices an einem Strang ziehen, ist eine positive Sicherheitskultur ein erfreuliches und unverzichtbares Nebenprodukt.

Positive, skalierbare und entwicklerorientierte Initiativen fördern die richtige Sicherheitskultur. Die kreativen Problemlösungsfähigkeiten von Entwicklern zu nutzen, ist entscheidend, um sie zu gewinnen und sicherzustellen, dass neue Teammitglieder schnell mit den Sicherheitserwartungen vertraut sind. Kontaktieren Sie uns für einen Überblick über die Entwicklung der Beziehung zwischen Entwicklern und Sicherheit sowie Ideen zur Einführung eines erfolgreichen Security-Awareness-Programms in Ihrem Unternehmen.