Die neuen NIST-Richtlinien: Warum maßgeschneiderte Schulungen für sichere Software unerlässlich sind

Am 11. Juni 2019 veröffentlichte das National Institute of Standards & Technology (NIST) ein aktualisiertes Whitepaper, das verschiedene Aktionspläne zur Reduzierung von Software-Schwachstellen und Cyber-Risiken detailliert beschreibt. Unter dem Titel Mitigating the Risk of Software Vulnerabilities by Adopting a Secure Software Development Framework (SSDF) bietet das NIST Unternehmen fundierte Richtlinien, um die unangenehmen – und nicht zuletzt kostspieligen – Folgen einer Datenpanne zu vermeiden.

Es ist wichtig anzumerken, dass das SSDF bewusst allgemein gehalten ist. Es geht nicht davon aus, dass jedes Unternehmen exakt dieselben Ziele für die Softwaresicherheit verfolgt, noch schreibt es einen bestimmten Mechanismus zur Erreichung dieser Ziele vor. Das Hauptziel ist die Implementierung von Best Practices für die Sicherheit. Wie die Autorin Donna Dodson feststellt: „Während der Wunsch besteht, dass jeder Softwarehersteller alle anwendbaren Praktiken befolgt, wird erwartet, dass der Grad der Umsetzung jeder Praktik je nach den Sicherheitsannahmen des Herstellers variiert. Die Praktiken bieten den Anwendern Flexibilität, sind aber auch klar genug, um nicht zu viel Spielraum für Interpretationen zu lassen.“

Besonders interessant waren für mich natürlich die spezifischen Ergänzungen zur Sicherheitsschulung für Entwickler. Wir wissen schon lange, dass Entwickler eine angemessene Schulung benötigen, wenn sie ein Unternehmen von Beginn des Softwareentwicklungsprozesses an schützen sollen... aber was ist eigentlich angemessen? Es gibt viele unterschiedliche Meinungen dazu. Ich denke jedoch, dass wir uns endlich in eine Richtung bewegen, die bedeutende positive Ergebnisse hervorbringen wird.

Es gibt Sicherheitsschulungen... und es gibt effektive Sicherheitsschulungen.

Ich habe ausführlich darüber gesprochen, dass Sicherheitsschulungen für Software effektiver implementiert, ansprechender gestaltet und auf die Bedürfnisse der Entwickler zugeschnitten werden müssen. Selbst heute ist es in vielen Unternehmen bestenfalls eine „Pflichtübung“. Vielleicht gibt es ein paar Stunden Videotraining oder sogar wertvolle Zeit, die abseits der eigentlichen Arbeit für klassenzimmerbasiertes Lernen aufgewendet wird. Die Tatsache, dass es fast täglich großflächige Datenpannen gibt, die von Angreifern verursacht werden, welche bekannte (und meist leicht zu behebende) Schwachstellen ausnutzen, beweist, dass Sicherheitsschulungen bei weitem nicht so effektiv sind, wie sie sein müssten. Und was vielleicht am wichtigsten ist: Es gibt kaum Mechanismen, um zu überprüfen, ob die Schulung überhaupt etwas gebracht hat: Werden Schwachstellen schneller behoben? Nehmen Schwachstellen im Code ab? Haben die Leute die Schulung tatsächlich absolviert oder nur auf „Weiter“ geklickt, um sie abzuschließen?

Entwickler sind vielbeschäftigte Menschen, die hart arbeiten, um strenge Fristen einzuhalten. Sicherheit ist oft ein Ärgernis, und selten sind sie während ihrer Ausbildung mit dem Wissen ausgestattet worden, um Cyber-Risiken erfolgreich zu mindern. Das Wort „Sicherheit“ fällt meist dann, wenn ein Mitglied des AppSec-Teams auf Fehler in ihrer Arbeit hinweist, was zu einer eher unterkühlten und dysfunktionalen Beziehung führt. Ein „Dein Baby ist hässlich, reparier es mal“-Szenario.

Was sagt uns das? Es ist ein jahrzehntealtes Warnsignal, dass wir nicht genug tun, um Entwickler für das Thema Sicherheit zu gewinnen; sie sind weder motiviert, Verantwortung zu übernehmen, noch suchen sie nach den Werkzeugen, die sie benötigen, um Software zu erstellen, die funktional ist und gleichzeitig Sicherheits-Best-Practices berücksichtigt.

Entwickler sind klug, kreativ und lieben es, Probleme zu lösen. Es ist sehr unwahrscheinlich, dass sie das Ansehen endloser Videos über Sicherheitslücken begeistert oder dabei hilft, ihr Interesse aufrechtzuerhalten. In meiner Zeit als SANS-Dozent habe ich sehr schnell gelernt, dass die beste Schulung praxisorientiert ist. Sie zwingt die Teilnehmer dazu, zu analysieren und sich intellektuell herausfordern zu lassen, indem reale Beispiele verwendet werden, die ihr Gehirn testen und auf vorhandenem Wissen aufbauen. Gamification und freundschaftlicher Wettbewerb sind ebenfalls mächtige Werkzeuge, um alle für neue Konzepte zu begeistern und gleichzeitig nützlich und praxisnah zu bleiben.

Die Richtlinien des NIST spezifizieren: „Bieten Sie rollenspezifische Schulungen für alle Mitarbeiter in Funktionen an, deren Verantwortlichkeiten zur sicheren Entwicklung beitragen. Überprüfen Sie rollenspezifische Schulungen regelmäßig und aktualisieren Sie diese bei Bedarf.“ Und später: „Definieren Sie Rollen und Verantwortlichkeiten für Cybersicherheitspersonal, Security Champions, das Senior Management, Softwareentwickler, Product Owner und andere am SDLC beteiligte Personen.“

Diese Aussage ist zwar nicht spezifisch in Bezug auf die Art der Schulung, trägt aber dennoch dazu bei, Unternehmen in Richtung „Shift Left“ zu bewegen und Sicherheits-Best-Practices in den Vordergrund zu rücken. Sie verlagert die Verantwortung für das Finden effektiverer und spezifischerer Schulungslösungen zurück auf das Unternehmen, was hoffentlich dazu führen wird, dass Entwickler mit den richtigen Werkzeugen und dem nötigen Wissen ausgestattet werden, um erfolgreich zu sein.

Kultur: das fehlende Glied.

Selbst wenn ein Unternehmen Zeit und Ressourcen in die Schulung von Entwicklern und anderen wichtigen Mitarbeitern investiert und deren Rolle bei der Vermeidung von Schwachstellen und der Reduzierung von Sicherheitsrisiken betont, kann der Aufwand oft umsonst sein, wenn die Sicherheitskultur eines Unternehmens grundlegend gestört ist.

Wenn Einzelpersonen effektiv geschult werden, Ziele gesetzt und Erwartungen klar definiert sind, fällt es ihnen viel leichter, ihren Platz in der Sicherheitslandschaft zu verstehen und dort Verantwortung zu übernehmen, wo es angebracht ist. Besonders bei Entwicklern erhalten sie so die Werkzeuge und das Wissen, um von Anfang an sicheren Code zu schreiben. Dies lässt sich jedoch am besten in einem positiven Sicherheitsumfeld orchestrieren, in dem es weniger Doppelarbeit, Schuldzuweisungen und isolierte Projektarbeit gibt.

Sicherheit muss für das gesamte Unternehmen oberste Priorität haben, mit einem unterstützenden und gemeinschaftlichen Engagement für die Bereitstellung großartiger, sicherer Software. Das bedeutet, dass Budgets ausreichen müssen, um unterhaltsame, ansprechende Schulungen durchzuführen, die reale Code-Schwachstellen nutzen, und dass das gesamte Unternehmen hinter dem Vorhaben stehen muss, um die Dynamik aufrechtzuerhalten. In dieser sich ständig weiterentwickelnden digitalen Landschaft muss Schulung genauso kontinuierlich sein wie die Bereitstellung. Wenn Ihnen in der Vergangenheit gesagt wurde, dass „einmalige“ oder „einmal einrichten und vergessen“-Compliance-Schulungen ausreichend oder effektiv seien, ist das ein Trugschluss.

Obwohl dieses neue NIST-Framework die Notwendigkeit, eine positive Sicherheitskultur zu fördern, nicht explizit formuliert, wird die erfolgreiche Einhaltung ihrer Richtlinien eine solche mit Sicherheit erfordern. Sie merken jedoch an, dass Unternehmen „Richtlinien definieren sollten, die die Sicherheitsanforderungen festlegen, die die Software des Unternehmens erfüllen muss, einschließlich sicherer Codierungspraktiken, die Entwickler befolgen müssen“.

Das Obige ist entscheidend, um Sicherheitskompetenzen innerhalb von Teams zu skalieren und zu schärfen. Es kann hilfreich sein, bei der Bewertung Ihrer eigenen Richtlinien und des aktuellen AppSec-Klimas Folgendes zu berücksichtigen:

• Sind Richtlinien und Erwartungen an die Softwaresicherheit klar definiert?
• Ist jedem klar, welche Rolle er bei deren Erreichung spielt?
• Ist die Schulung häufig und wird sie bewertet?
• Sind sich Ihre Entwickler der enormen Rolle bewusst, die sie bei der Beseitigung häufiger Sicherheitslücken spielen können, bevor diese entstehen?

Nun, dieser letzte Teil hängt, wie ich bereits sagte, weitgehend vom Unternehmen und der gewählten Schulung ab. Sie muss relevant sein, sie muss häufig stattfinden, sie muss ansprechend sein. Finden Sie eine Lösung, die auf die tägliche Arbeit angewendet werden kann und ihr Wissen kontextbezogen aufbaut.

Und nun?

Sich eingehend mit diesen neuen Richtlinien zu befassen, kann zunächst überwältigend wirken. Es erfordert tatsächlich eine gemeinsame Anstrengung, um die absolut sichere Software zu entwickeln, zu verifizieren und bereitzustellen, die Unternehmen heute benötigen. Dabei geht es nicht nur um Schulungen. Es gibt Richtlinien für die Nutzung von Drittanbietersoftware (die Verwendung von Komponenten mit bekannten Schwachstellen steht schließlich immer noch in den OWASP Top 10), Empfehlungen zu Verifizierung, Penetrationstests und Code-Reviews sowie Vorgaben zur Sicherheitsdokumentation, geeigneten Toolchains und vielem mehr. Umsetzbare Erkenntnisse für das Gesamtbild bietet Dr. Gary McGraws BSIMM-Modell, auf das im NIST-Dokument durchgehend verwiesen wird.

Der schnellste Erfolg lässt sich jedoch erzielen, wenn Ihre Entwickler mit den richtigen Werkzeugen und dem nötigen Wissen ausgestattet werden, um von Anfang an sichere Software zu erstellen. Es ist für das Unternehmen kostengünstiger (und insgesamt schneller), zu verhindern, dass häufige Schwachstellen immer wieder in späteren Phasen des SDLC auftreten. Nutzen Sie ihre Stärken und schaffen Sie Anreize, sich aktiv in die Sicherheitsaspekte des Unternehmens einzubringen. Es kann sogar Spaß machen, und Ihre Entwickler werden zu den Helden, die Sie brauchen, um Angreifer abzuwehren und unsere Daten zu schützen.

Referenzen:

1. MITIGATING THE RISK OF SOFTWARE VULNERABILITIES BY ADOPTING AN SSDF (11. JUNI 2019), Seite 2.
2. MITIGATING THE RISK OF SOFTWARE VULNERABILITIES BY ADOPTING AN SSDF (11. JUNI 2019), Seite 5.
3. MITIGATING THE RISK OF SOFTWARE VULNERABILITIES BY ADOPTING AN SSDF (11. JUNI 2019), Seite 4.