Shift-Left-Ansatz (und Compliance erreichen) durch wiederholbare Fähigkeiten für sicheres Programmieren

Heutzutage setzt fast jedes Entwicklerteam irgendeine Form von Compliance-Schulung ein – sei es als Teil eines anfänglichen Zertifizierungsprozesses, um sicherzustellen, dass ein Unternehmen die Rahmenbedingungen der Branche oder gesetzliche Vorschriften einhält, oder als Teil einer jährlichen Anforderung oder Überprüfung. Dies ist ein wichtiger Schritt, denn wenn eine Organisation grundlegende Compliance-Anforderungen nicht erfüllen kann, können ihre Mitarbeiter ihre Aufgaben realistischerweise nicht ausführen.

Compliance-Regeln existieren aus einem bestimmten Grund, denn jeder, der in dem Bereich arbeitet, den diese Regeln abdecken, muss zumindest ein grundlegendes Verständnis aller relevanten Prozesse und Verfahren sowie aller geltenden Gesetze haben.

Obwohl Compliance-Schulungen wichtig sind, garantiert das Erfüllen der vorgeschriebenen Mindestanforderungen keine echte Anwendungssicherheit. Dies gilt insbesondere für Entwickler, die versuchen, sichere Programmierkenntnisse in ihren täglichen Arbeitsablauf zu integrieren. Fast jeder Entwickler absolviert irgendeine Form von Compliance-Schulung, und dennoch gaben bei Umfragen 67 % zu, dass sie häufig Schwachstellen in ihrem Code hinterließen.

Warum?

Zum zweiten Mal in Folge führte Secure Code Warrior im Dezember 2021 in Zusammenarbeit mit Evans Data Corp die Umfrage „The state of developer-driven security survey, 2022“ durch. Wir haben 1.200 Entwickler weltweit befragt, um ihre Fähigkeiten, Wahrnehmungen und Verhaltensweisen in Bezug auf sichere Programmierpraktiken sowie deren Auswirkungen und wahrgenommene Relevanz im Softwareentwicklungslebenszyklus (SDLC) zu verstehen.

Warum Compliance-Schulungen nicht zu einer verbesserten Softwaresicherheit führen, ist ein Thema, über das wir schon lange sprechen. Die aktuelle Umfrage beleuchtet dieses Problem lediglich.

Einerseits werden Entwickler aufgefordert, neue Rollen zu übernehmen, indem sie Cybersicherheit in den gesamten Softwareentwicklungsprozess integrieren, auch schon beim ersten Schreiben des Codes für Anwendungen und Programme. Doch sicheren Code zu schreiben oder auch nur alles über die Cybersicherheitsprobleme und Schwachstellen zu lernen, die ihn betreffen könnten, ist keine leichte Aufgabe. In der Umfrage gaben 63 % der Entwickler an, dass das Schreiben von sicherem Code eine schwierige Aufgabe sei.

Die Schwierigkeit, sicheren Code zu schreiben, sollte nicht überraschen. Es gibt einen Grund, warum so viele gut bezahlte Stellen im Bereich Cybersicherheit unbesetzt bleiben – zuletzt waren es weltweit über 3,5 Millionen offene Stellen. Wäre es eine einfache Arbeit, würde jeder in diesen Bereich einsteigen. Zu lernen, wie man Bedrohungen bekämpft und Schwachstellen im Code beseitigt, ist schwierig, und die Bedrohungslandschaft ändert sich ständig. Statische Compliance-Schulungen oder einmalige Kurse können da nicht mithalten oder die Art von Ausbildung bieten, die Entwickler benötigen. Sie erfüllen zwar eine Compliance-Anforderung, können aber keine echte Sicherheit für die Anwendungen Ihrer Organisation gewährleisten, Entwickler nicht dazu befähigen, sicheren Code zu schreiben, oder ihnen die Fähigkeiten vermitteln, Schwachstellen im Code zu finden und zu beheben.

Compliance- und Sicherheitsschulungen sind wichtig, aber unterschiedlich

Organisationen müssen anfangen zu erkennen und anzuerkennen, was Compliance-Schulungen leisten können und was nicht. Geben Sie Compliance-Schulungen nicht auf, insbesondere wenn sie gesetzlich vorgeschrieben sind. Zumal (selbst mit aktuellen Schulungsmethoden) 92 % der Umfrageteilnehmer angaben, dass sie zumindest eine gewisse Schulung zu Compliance-Themen oder Sicherheits-Frameworks benötigen, wobei 50 % die Notwendigkeit für umfassende Compliance-Schulungen betonten.

Die Compliance-Frameworks, an denen sie am meisten interessiert waren, umfassten branchenspezifische Standards, obwohl auch mehrere allgemeine Cybersicherheits-Frameworks auf der Liste standen. Dazu gehörten das CIS Security Framework, PCI DSS, die OWASP Top 10, MISRA C, ISO/IEC, der Health Insurance Portability and Accountability Act (HIPAA) und andere.

Also ja, schulen Sie in diesen Frameworks, aber verstehen Sie, dass das Abhaken einer Compliance-Schulung nicht gleichbedeutend mit der Schaffung einer Grundlage für die kontinuierliche Erstellung von sicherem Code ist.

Betrachten Sie Compliance-Schulungen stattdessen als Teil einer fortlaufenden Gelegenheit, die sicheren Programmierkenntnisse Ihrer Entwickler zu erweitern, die außerhalb des Compliance-Zyklus wiederholt werden können, damit sie jeden Tag sichere Software erstellen und veröffentlichen können. Verlagern Sie die Priorität von der Erfüllung der Compliance hin zur Befähigung der Entwicklungsteams, durch kontinuierliches Lernen sicher zu programmieren. Wenn Sie Zeit und Ressourcen in die Befähigung der Entwickler investieren, werden diese jährlichen Compliance-Übungen oder -Prüfungen für Ihre Mitarbeiter zum Kinderspiel, während Sie gleichzeitig von einer insgesamt verbesserten Produktivität profitieren.

Wie können Sie den Wandel zur entwicklergesteuerten Sicherheit vollziehen?

Entwickler gaben überwiegend an, dass Schulungen wertvoll seien, kritisierten jedoch die Art der Schulungen, die sie im Laufe der Jahre zum Thema sicheres Programmieren erhalten haben. Entwickler wünschten sich mehr Schwerpunkt auf praktischen Schulungen mit realen Beispielen, die für ihre Arbeit relevant sind (30 %). Mehr Interaktivität wurde von 26 % der Befragten ebenfalls als entscheidend angesehen, insbesondere wenn sie im Rahmen dieser Übungen tatsächlich das Schreiben von sicherem Code üben könnten.

Der Wunsch nach mehr angeleiteten Schulungen, die sich auf die spezifischen Schwachstellen konzentrieren, denen sie in ihrer Branche oder ihrem Sektor am wahrscheinlichsten begegnen, wurde von 23 % der befragten Entwickler als wichtig erachtet, während 22 % mehr Beispiele für reale Schwachstellen in ihren Schulungskursen sehen wollten.

Es ist klar, dass das bloße Anbieten statischer, nicht interaktiver Schulungen (was typischerweise die Erfahrung bei Compliance-Schulungen ist) wenig Wert im Hinblick auf wiederholbare Entwickler-Sicherheitsfähigkeiten hat. Stattdessen sollten sich Organisationen auf Dinge wie Just-in-Time-Schulungen konzentrieren, bei denen Entwickler während ihrer Arbeit über Sicherheit unterrichtet werden. Sie könnten sogar die Implementierung eines gestuften Lernprogramms in Betracht ziehen.

Bei einem gestuften Ansatz werden größere Themen typischerweise in diskrete Lernerfahrungen oder Konzepte unterteilt. Während die Entwickler Fortschritte machen, werden fortgeschrittenere Konzepte auf die bereits beherrschten aufgebaut, genau wie ein physisches Gerüst konstruiert wird, während ein Gebäude in die Höhe wächst. Dies ist eine bewährte Methode, um ein schwieriges und sich ständig weiterentwickelndes Thema wie Cybersicherheit zu lehren, indem man es zunächst in kleinere, weniger komplexe Teile zerlegt und dann auf diesem Fundament mehr Komplexität aufbaut.

Wie auch immer Sie Ihr Programm für Entwickler-Sicherheitsfähigkeiten angehen, es wird entscheidend sein, es von Compliance-Übungen getrennt zu halten. Sowohl Compliance- als auch Sicherheitsschulungen sind wichtig, und beide erfordern unterschiedliche Ansätze, um erfolgreich zu sein.

Weiterführende Informationen

Whitepaper: Die Herausforderungen (und Chancen) zur Verbesserung der Softwaresicherheit.

Whitepaper: Der präventive Entwickler-Ansatz für Softwaresicherheit.

Bericht: Der Status quo der entwicklergesteuerten Sicherheit.