Vom reaktiven zum proaktiven Ansatz: Sicherer programmieren durch den Menschen im Mittelpunkt

Die gleichen 10 Software-Schwachstellen haben in den letzten 20+ Jahren mehr Sicherheitsverletzungen verursacht als alle anderen. Dennoch entscheiden sich viele Unternehmen weiterhin für eine Fehlerbehebung nach dem Vorfall und schlagen sich mit den menschlichen und geschäftlichen Konsequenzen herum. Doch eine neue Forschungsstudie weist nun den Weg in eine neue, menschzentrierte Richtung. 

‍Im Folgenden werden Erkenntnisse aus einer Studie von Secure Code Warrior und Evans Data Corp mit dem Titel „Shifting from reaction to prevention: The changing face of application security“ (2021) erörtert, die die Einstellung von Entwicklern zu sicherem Programmieren, sicheren Codierungspraktiken und Sicherheitsabläufen untersucht. Laden Sie das Whitepaper hier herunter.

‍‍In der bald erscheinenden Studie wurden Entwickler und Entwicklungsleiter zu den Aktivitäten befragt, die sie mit sicherem Programmieren assoziieren. Die drei häufigsten Antworten waren:

• Einsatz von Scan-Tools für bereitgestellte Anwendungen.
• Manuelle Überprüfung des Codes auf Schwachstellen.
• Die aktive und kontinuierliche Praxis, Software so zu schreiben, dass sie vor Schwachstellen geschützt ist. 
  ‍

Was sagt uns das? Zwei der drei häufigsten Antworten konzentrieren sich nach wie vor auf reaktive Ansätze: die erste ist abhängig von Tools (Scannern), die zweite vom Entwickler (d. h. dem Menschen), der manuelle Prüfungen durchführt – in beiden Fällen nachdem der Code geschrieben wurde. Schwachstellen, die mit diesen Methoden entdeckt werden, müssen zur Überarbeitung an das Entwicklungsteam zurückgegeben werden, was sich negativ auf Projektzeitpläne und -kosten auswirkt. 

Gleichzeitig beruhen zwei der drei genannten Aktivitäten auf dem menschlichen Faktor – ein Hinweis auf die wachsende Wahrnehmung von Sicherheit als menschliches Thema. Doch von allen genannten Aktivitäten ist die Nummer 3 am aussagekräftigsten, da sie den menschlichen Faktor beim Schreiben von Software, die von vornherein vor Schwachstellen geschützt ist, in den Mittelpunkt stellt. Dies unterstreicht den Wandel hin zu einem frühzeitigen Ansatz („Shift Left“) – eine proaktive und präventive Methode, die Sicherheit von Beginn des Softwareentwicklungszyklus an in die Software integriert. 

Reaktiv kann TEUER sein

Laut einer IBM-Studie* ist es dreißigmal teurer, Schwachstellen in veröffentlichtem Code zu beheben, als sie zu Beginn zu finden und zu beseitigen. Das ist ein starker Anreiz für einen neuen, proaktiven und menschlicheren Ansatz zur Softwaresicherheit, der Entwickler befähigt, von Anfang an sicherer zu programmieren. 

Das ist das, was man eine menschzentrierte Verteidigung nennen könnte. Damit Entwickler sich jedoch für Sicherheit interessieren, muss sie Teil ihres täglichen Denkens und Programmierens werden. Dies ist ein Aufruf zu neuen Schulungsansätzen, die für die tägliche Arbeit von Entwicklern hochrelevant sind und sie zum Lernen motivieren – beides lässt sich von aktuellen Schulungsmodellen nicht behaupten.

Um eine proaktive Sicherheitskultur zu schaffen, sind neue Schulungen erforderlich, die:

• sicheres Programmieren zu einer positiven und motivierenden Erfahrung machen, während Entwickler ihre Fähigkeiten in der Softwaresicherheit erweitern 
• Entwickler dazu ermutigen, ihre täglichen Programmieraufgaben mit einem Sicherheitsbewusstsein zu betrachten 
• sicheres Programmieren zu einem festen Bestandteil ihres täglichen Arbeitsablaufs machen
  

Wenn diese Ansätze zusammenkommen, werden Schwachstellen von vornherein verhindert, sodass Teams qualitativ hochwertigen Code schneller und mit Zuversicht bereitstellen können. Die gute Nachricht ist, dass es bereits eine Lernplattform gibt, die den „Shift Left“-Ansatz im Softwareentwicklungsprozess verfolgt – eine Plattform, die Entwickler bereits mit den Fähigkeiten und Tools ausstattet, um von Anfang an qualitativ hochwertigen Code zu erstellen.
‍‍

‍

‍

‍

*IBM Software Group; Minimizing Code Defects to Improve Software Quality and Lower Development Costs
https://docplayer.net/11413245-Minizing-code-defects-to-improve-software-quality-and-lower-development-costs.html