Sie möchten, dass Ihre Entwickler sicherheitsbewusst programmieren? Integrieren Sie das Training direkt in ihren Arbeitsalltag.

Der Software Development Lifecycle (SDLC) klingt zunächst harmlos; es ist ein Prozess, bei dem wir Software-Leute zusammenkommen, um Magie zu erschaffen und all die digitalen Errungenschaften auszuliefern, ohne die die Gesellschaft nicht mehr leben kann.

Nur... wer schon einmal an einem Softwareprojekt mitgearbeitet hat, weiß, dass es meist ein Spießrutenlauf ist, bei dem es viele Aufgaben zu bewältigen und Drachen zu erlegen gilt. Das macht eine Weile Spaß, aber Burnout ist ein reales Risiko, und die Nachfrage nach Software zwingt uns – besonders das Entwicklungsteam – in den besten Zeiten dazu, mit Lichtgeschwindigkeit zu arbeiten.

Stellen Sie sich nun vor, ihnen wird eine weitere Pflichtaufgabe aufgebürdet: die Verantwortung für die Sicherheit der Projektelemente, an denen sie arbeiten. Im schlimmsten Fall bringt das für manche das Kartenhaus zum Einsturz. Realistischer ist jedoch, dass Sicherheit einfach nicht priorisiert wird, weil andere Aufgaben als dringender angesehen werden, um das Projekt über die Ziellinie zu bringen. Und da die meisten Entwickler nicht für sicheres Programmieren geschult sind (insbesondere wenn auch ihre Manager Sicherheit nicht priorisieren), ist es kaum verwunderlich, dass wir häufige Datenpannen, fehlerhafte App-Releases und eine hohe Fluktuation bei Sicherheitsexperten sehen, die unter der Lawine aus fehlerhaftem Code kurz vor dem Zusammenbruch stehen.

Entwickler brauchen einen AppSec-Fürsprecher.

Angesichts dieses Szenarios ist verständlich, warum Sicherheit während des Codierens oft als „zu schwierig“ eingestuft und dem Sicherheitsteam überlassen wird. Zu viele konkurrierende Deadlines, zu wenig Training und kein wirklicher Grund, sich bei all dem Stress auch noch um Sicherheit zu kümmern. Doch die Nachfrage nach Code ist einfach zu groß, als dass dieser Status quo bestehen bleiben könnte. Genau hier können sich herausragende Entwickler von ihren Kollegen abheben, neue Fähigkeiten erlernen und vor allem sichereren Code schreiben.

Es ist jedoch wichtig zu bedenken, dass nicht allein die Entwickler für die Softwaresicherheit verantwortlich sind – das bleibt weiterhin die Domäne des AppSec-Teams (das, wenn es mit sicherheitsbewussten Entwicklern zusammenarbeitet, mehr Freiraum hat, anstatt ständig dieselben Fehler zu beheben).Ein funktionierender DevSecOps-Prozess erfordert, dass jedes Teammitglied die Unterstützung und die Werkzeuge erhält, die es benötigt, um die Verantwortung für Sicherheit zu teilen, und die richtige Art von Training ist dabei von größter Bedeutung. Die Balance zwischen den passenden Tools und Schulungen erfordert den Einblick von AppSec-Profis, die bereit sind, eng mit Entwicklern zusammenzuarbeiten, um sie zu inspirieren und positive Veränderungen voranzutreiben.

Störende Schulungen sind eher nervig als effektiv, und alles, was Entwickler abschreckt, wird nicht funktionieren. Eine in die IDE oder das Issue-Tracking-System integrierte Lösung, die sich auf mundgerechtes Wissen konzentriert, ist eine Alternative, die ihnen die richtigen Informationen genau dann liefert, wenn sie benötigt werden.

So funktioniert es in der Praxis:

Just-in-Time statt „nur für den Fall“.

Kontextbezogenes, praktisches Lernen ist bei weitem die effektivste Art der Schulung, bei der Wissen in kleinen Häppchen genau dann vermittelt wird, wenn es am sinnvollsten ist. Dies wird manchmal als „Just-in-Time“ (JiT)-Training bezeichnet und ist für Entwickler, die sicheres Programmieren lernen, äußerst wirkungsvoll.

Mit Ursprüngen in den Lean-Manufacturing-Prinzipien von Toyota ist JiT-Training darauf ausgelegt, bei Bedarf und im richtigen Kontext aktiviert zu werden, wenn es am meisten zählt. Hat ein Entwickler gerade etwas geschrieben, das nach unzureichenden Berechtigungen aussieht? Was, wenn eine kleine Hintertür geöffnet wurde, die es einem Angreifer ermöglicht, Code aus der Ferne auszuführen? Es bleibt viel besser im Gedächtnis, wenn Entwickler auf das Wissen zugreifen können, genau wenn sie es brauchen, anstatt in der Confluence-Dokumentation zu wühlen oder etwas zu googeln, das in einer Schulung nur am Rande erwähnt wurde.

Just-in-Time ist das Gegenteil von „nur für den Fall“-Lernen; während Letzteres die üblichere Art der Wissensvermittlung ist, ist es schlichtweg nicht effizient. Wir müssen es Entwicklern erleichtern, sich mit Best Practices für sicheres Programmieren auseinanderzusetzen und den Nutzen für ihre berufliche Weiterentwicklung zu erkennen, während sie sich weiterhin auf ihre aktuellen Kernziele konzentrieren können.

Hören Sie auf, Entwickler zur Schulung zu jagen.

Wir wissen bereits, dass der Arbeitsalltag ohnehin schon übervoll ist. Welchen Anreiz haben Entwickler also, sich in einen Schulungsraum zu schleppen oder durch einen Kontextwechsel fünf Schritte zu durchlaufen, um auf statische, theoriebasierte Trainings zuzugreifen?

Der allgemeine Konsens ist, dass das, was die meisten Unternehmen derzeit tun, nicht besonders effektiv ist, wenn man die Anzahl der Schwachstellen betrachtet, die zu Datenpannen führen. Der Data Breach Investigations Report 2020 von Verizon stellte fest, dass 43 % der Datenpannen auf Web-Schwachstellen zurückzuführen sind. Entwickler erhalten keine effektive Ausbildung – weder in der Hochschulbildung noch als Teil von Weiterbildungsmaßnahmen am Arbeitsplatz. Wäre dies der Fall, würden häufige Schwachstellen wie SQL-Injection und klassisches Path Traversal nicht für massive Datendiebstähle ausgenutzt werden und der Fachkräftemangel in der Cybersicherheit wäre nicht außer Kontrolle.

Wenn wir also wissen, dass dies das aktuelle Umfeld ist, in dem Entwickler geschult werden und mit Sicherheit in Berührung kommen, warum sind wir dann über die schlechten Ergebnisse überrascht? Es könnte einen positiven Effekt sowohl für den Entwickler als auch für das Unternehmen haben, für eine reibungslosere, integriertere und weniger störende Schulungserfahrung zu sorgen, die dort zugänglich ist, wo sie tatsächlich arbeiten – wie in Jira, GitHub und der IDE. Die Branche muss einfach vorankommen und Sicherheitsbewusstsein deutlich einfacher machen, in einem Umfeld, in dem es kein Luxus mehr ist.

Bereit, den Entwicklungsworkflow abzusichern?

Sicherheitsbewusste Entwickler werden für ihre Fähigkeiten geschätzt, ebenso wie für den Schutz, den sie Unternehmen bereits während der Programmierung bieten können. Sicherheit ist längst keine Option mehr, insbesondere angesichts von DSGVO-Bußgeldern, PCI-DSS-Compliance-Vorgaben, NIST-Richtlinien und dem Risiko millionenschwerer Sammelklagen, wie man sie von Equifax kennt.

Ein integrierter Ansatz könnte der Schlüssel sein, um Entwickler durch weniger störende Lernmethoden zu gewinnen, Wege für vertiefende Kurse zu ebnen, Security Champions auszubilden und das Gefühl der gemeinsamen Verantwortung zu wecken, das wir brauchen, um die Daten weltweit sicher zu halten.

Laden Sie jetzt die Integrationstools für Jira und GitHub herunter und lassen Sie uns wissen, was Sie davon halten.