Die Vorteile des Benchmarkings von Sicherheitskompetenzen für Entwickler

Angesichts immer häufigerer und ausgefeilterer Cyberbedrohungen rückt die Bedeutung von sicherem Code in den Mittelpunkt der Cybersicherheit. Die nationale Cybersicherheitsstrategie des Weißen Hauses und die Secure-by-Design-Initiative der Cybersecurity and Infrastructure Security Agency (CISA) sowie ähnliche Initiativen und Gesetze in anderen Ländern übertragen die Verantwortung für Sicherheit direkt auf die Softwarehersteller. „Shifting Left“ – oder präziser: „Starting Left“ –, um Sicherheit bereits früh im Softwareentwicklungszyklus (SDLC) zu gewährleisten, galt früher als „nice to have“, ist heute jedoch für Unternehmen unerlässlich, um ihre Daten und Systeme zu schützen und regulatorische Konsequenzen nach einer Sicherheitsverletzung zu vermeiden.

Der Schlüssel zu sicheren Codierungspraktiken liegt in der Entwicklerschulung. Softwareentwickler erhalten in der Regel kaum oder gar keine Ausbildung in Cybersicherheit. Ihre Aufgabe besteht – besonders in der heutigen, beschleunigten DevOps-Umgebung – darin, neue Anwendungen, Upgrades und Dienste so schnell wie möglich bereitzustellen, zunehmend unterstützt durch schnell arbeitende generative KI-Modelle, und Sicherheitsteams die Lösung von Cybersicherheitsproblemen zu einem späteren Zeitpunkt im SDLC zu überlassen. Dies ist ein ineffizienter Weg, um die Vielzahl an Fehlern zu beheben, die bei der massiven Code-Erstellung entstehen, was häufig dazu führt, dass Software-Schwachstellen in das Ökosystem gelangen.

Entwickler müssen von Anfang an darin geschult werden, sicheren Code zu schreiben, und in der Lage sein, unsicheren Code zu erkennen, der durch KI generiert wurde oder in Open-Source- und anderen Drittanbieter-Softwarekomponenten enthalten ist. Für viele Entwicklungsteams und Unternehmen ist dies Neuland. Woher wissen sie, ob Entwickler die benötigte Schulung erhalten? Und wird dieses Wissen auch regelmäßig angewendet?

Einige Unternehmen, die auf Entwicklerbildung setzen, haben festgestellt, dass es vorteilhaft ist, eine Basis an erforderlichen Fähigkeiten zu definieren und den Fortschritt anhand klarer Benchmarks zu messen. Um dies zu unterstützen, hat Secure Code Warrior einen Benchmark eingeführt, der den Fortschritt von Entwicklern bei Sicherheitsschulungen präzise misst. Der SCW Trust Score ermöglicht es Unternehmen, die praktische Anwendung der Schulungsinhalte zu messen und die Zusammenarbeit zwischen Sicherheits-, Entwickler- und Engineering-Teams zu fördern.

Es ist ein Nachweis dafür, dass sichere Codierungsschulungen Wirkung zeigen, während gleichzeitig Bereiche mit Verbesserungsbedarf identifiziert werden.

Das Argument für sicheres Design

Softwarehersteller haben allen Grund, Sicherheit von Beginn an in den SDLC-Prozess zu integrieren. Die steigende Nachfrage nach Anwendungen und Diensten sowie die Geschwindigkeit, die KI in den Entwicklungsprozess bringt, hat sich für Entwickler als nützlich erwiesen, da sie generative KI schnell adaptiert haben. Dies führt jedoch zwangsläufig dazu, dass fehlerhafte Software in die Pipeline gelangt. Je mehr Code generiert wird, desto mehr Fehler entstehen – und aktuelle Untersuchungen haben ergeben, dass fast drei Viertel aller Anwendungen (unabhängig von ihrer Entstehungsweise) mindestens eine Sicherheitslücke aufweisen, wobei fast 20 % davon als kritisch eingestuft werden.

Das nachträgliche Beheben von Schwachstellen im SDLC wird zunehmend unerschwinglich zeitaufwendig und kostspielig. Das National Institute of Standards and Technology (NIST) hat festgestellt, dass die Fehlerbehebung während der Testphase 15-mal länger dauert als die Absicherung zu Beginn des SDLC, und während der Bereitstellungs- oder Wartungsphase sogar 30- bis 100-mal länger.

All dies unterstreicht, wie wichtig es ist, Sicherheit bereits zu Beginn des Entwicklungszyklus anzuwenden. Dies hat sich nicht nur als effektivster, sondern auch als kostengünstigster Weg zur Risikominimierung erwiesen. Entwickler – die mit Sicherheitsteams zusammenarbeiten, anstatt dass diese als getrennte Einheiten agieren – sind in der besten Position, Sicherheit von Anfang an in den SDLC einzubringen. Und Entwickler, die in Best Practices für Sicherheit geschult sind, konnten Schwachstellen effektiv reduzieren. Das Problem ist, dass nur so wenige von ihnen entsprechend geschult wurden.

Die Vorteile von Benchmarks

Der grundlegende Weg für Unternehmen besteht darin, eine Basis an Sicherheitskompetenzen zu etablieren, Schulungen anzubieten und – sowohl gegenüber dem Unternehmen selbst als auch gegenüber Regulierungsbehörden – nachzuweisen, dass Entwickler die erforderlichen Fähigkeiten erworben haben. Dies hat sich für viele Organisationen in allen Wirtschaftssektoren als herausfordernd erwiesen, muss aber nicht so bleiben.

Eine der Herausforderungen, die Sicherheitsverantwortliche identifizieren, ist die Schwierigkeit, ein Schulungsprogramm unternehmensweit zu skalieren. Die Forschung von SCW zeigt jedoch, dass Unternehmen, insbesondere solche mit einer großen Anzahl an Entwicklern, einen „Secure-Design“-Ansatz erfolgreich implementieren können. Die Ergebnisse kleinerer Unternehmen zeigen tendenziell eine große Varianz bei der Anwendung von „Secure-by-Design“-Prinzipien. Dennoch können auch sie von einem Ansatz profitieren, der Trust Scores beinhaltet, und werden wahrscheinlich schneller Verbesserungen erzielen.

Der Trust Score nutzt Benchmarking-Metriken, um den Fortschritt einzelner Lernender zu messen, aggregiert deren Ergebnisse zur Bewertung der Gesamtleistung des Teams und vergleicht den Fortschritt des Unternehmens mit Branchen-Benchmarks und Best Practices. Er verfolgt nicht nur die Schulungen, sondern zeigt auch, wie gut Entwickler ihre neuen Fähigkeiten im Arbeitsalltag anwenden. Zudem hebt er Bereiche hervor, die verbessert werden müssen, was es dem Unternehmen ermöglicht, seine Schulungs- und Weiterbildungsprogramme zu optimieren.

Über die von der CISA definierten kritischen Infrastruktursektoren hinweg, für die Daten verfügbar waren, befinden sich die meisten Unternehmen bei der Umsetzung von „Secure-Design“-Prinzipien auf einem ähnlichen Niveau. Die Trust Scores für Sektoren von Finanzdienstleistungen und der Verteidigungsindustrie bis hin zu Gesundheitswesen, IT und kritischer Fertigung lagen im gleichen Bereich – etwas über 300 auf einer 1.000-Punkte-Skala. Keine Branche übertrifft die anderen, entgegen der landläufigen Meinung, dass Finanzdienstleistungen als am stärksten regulierte Branche weit vorne liegen müssten.

Kritische Infrastruktursektoren, die nicht im Trust-Score-Ranking enthalten sind – wie Chemie, Energie und Nuklearbetriebe –, erstellen in der Regel keine eigene Software, sondern verlassen sich auf andere Sektoren, insbesondere die IT. Die Bedeutung der Aufrechterhaltung sicherer Systeme innerhalb dieser Sektoren (niemand möchte, dass ein Kernkraftwerk kompromittiert wird) zeigt jedoch nur, wie wichtig es ist, die verwendete Software von vornherein abzusichern.

Fazit

Der erhöhte regulatorische Druck und die Realitäten der Cyberbedrohungslandschaft haben einen „Secure-by-Design“-Ansatz für Unternehmen, die ihre Daten, Systeme, Geschäftsabläufe und ihren Ruf schützen wollen, zwingend erforderlich gemacht. Die Erstellung sicherer Software liegt zu einem großen Teil in den Händen der Entwickler, aber sie benötigen Unterstützung in Form eines umfassenden Weiterbildungs- und Schulungsprogramms, das ihnen das nötige Wissen vermittelt und aufzeigt, wie dieses angewendet wird.

Ein Programm, das Benchmarks beinhaltet und durch Tools wie den Trust Score gestützt wird, bietet einen klaren Überblick über die entscheidenden Fortschritte eines Entwicklungsteams. Dieser wichtige neue Ansatz hilft sowohl Entwicklern als auch ihren Unternehmen dabei, ihre Fähigkeiten in der sicheren Softwareentwicklung kontinuierlich zu verbessern und gleichzeitig die neuen Secure-by-Design-Anforderungen zu erfüllen.

‍