Was bereitet Entwicklungsteams beim Thema sichere Programmierung schlaflose Nächte?

Unsicherer Code kostet Unternehmen Millionen – was steht also der Einführung sicherer Programmierpraktiken im Weg?

In einer Welt, die bei fast allem auf Software angewiesen ist, ist die Sicherheit des Codes von entscheidender Bedeutung. Der Ruf einer Marke und ihre finanzielle Stabilität hängen davon ab. Dennoch gibt es viele Bedenken hinsichtlich sicherer Programmierung – und viele Hindernisse für deren vollständige und effektive Umsetzung. Mehr denn je ist eine neue Arbeitsweise erforderlich. Daher hat Secure Code Warrior im Jahr 2020 Evans Data Corp. damit beauftragt, eine Primärstudie* zur Einstellung von Entwicklern und deren Managern gegenüber sicherer Programmierung, sicheren Codierungspraktiken und Sicherheitsabläufen durchzuführen (Whitepaper hier herunterladen).

‍Derzeit fällt es Unternehmen schwer, sichere Codierungspraktiken zu implementieren. Sowohl Entwickler als auch Manager empfinden den Umgang mit Schwachstellen und die Verantwortung für den Code als besonders besorgniserregend.

Es besteht eindeutig Bedarf an besserer Schulung und einem Programm, das sichere Codierungspraktiken unterstützt. Dieser Bedarf wird deutlich, wenn wir Entwickler und ihre Manager nach ihren Bedenken bezüglich sicherer Programmierung fragen. Unsere Studie* hat gezeigt, dass beide Gruppen die gleichen grundlegenden Bedenken teilen. Aufgrund ihrer unterschiedlichen Rollen bewerten sie jedoch anders, welche dieser Bedenken am dringlichsten sind.

Die größte Sorge der Entwickler ist das „Einbinden von Code, der frühere Schwachstellen repliziert“. Da Entwickler an der Qualität ihres Codes gemessen werden, ist dies kaum überraschend. Kein Entwickler möchte die Quelle für unsicheren Code sein – oder für Code, der Nachbesserungen erfordert und das Team ausbremst.

Die zweitwichtigste Sorge für Entwickler ist der Umgang mit Fehlern, die von Kollegen eingeführt wurden. Die Einhaltung von Fristen und die Verantwortung für den Code stehen ebenfalls weit oben auf der Liste – ebenso wie die Tatsache, dass das Erlernen von sicherem Code eine Herausforderung darstellt, was wiederum den Bedarf an einem neuen Ansatz für die Schulung in sicherem Code unterstreicht.

Manager hingegen verfolgen eher einen Top-Down-Ansatz.

Als Teammanager und Führungskräfte ist ihre größte Sorge die Verantwortung für den Code. Wenn ein Team schlechten Code produziert, liegt die Verantwortung beim Manager.

Code, der frühere Schwachstellen repliziert, steht an zweiter Stelle. Die Tatsache, dass der Lernprozess herausfordernd ist, steht an dritter Stelle. Da aktuelle Schulungsansätze für sicheren Code nicht die gewünschten Ergebnisse liefern, erkennen Manager, dass ein neuer Ansatz erforderlich ist. ‍

Hindernisse bei der Einführung sicherer Programmierpraktiken

Als wir Manager nach den Hindernissen für die Einführung sicherer Programmierpraktiken in ihren Unternehmen fragten, stachen zwei Dinge deutlich hervor: Kommunikation und Schulung.

45 % identifizierten mangelnde Kommunikation zwischen Stakeholdern und Management als erhebliches Hindernis. 42 % beklagen den Mangel an Fähigkeiten im Bereich sicherer Programmierung bei Neueinstellungen. Gleichzeitig nannten 40 % unzureichende Zeit und Ressourcen für Schulungen.

Es gibt prozess- und personalbezogene Hindernisse für die erfolgreiche Einführung sicherer Codierungspraktiken in Unternehmen.

Aber man kann trotz solch hartnäckiger Probleme Fortschritte erzielen. Der Mangel an Fähigkeiten im Bereich sicherer Programmierung bei Neueinstellungen sowie unzureichende Schulungen und Ressourcen sind leichter zu beheben.

Entwickler stehen an vorderster Front, wenn es darum geht, Schwachstellen zu stoppen. Aber erhalten sie die Unterstützung, die Werkzeuge und die Schulung, um ihren Teil zur Sicherheit beizutragen?

Basierend auf ihren Bedenken lautet die kurze Antwort: „Nein“.

Die Wahrheit ist: Die richtige Schulung sollte sich nicht wie ein Vortrag anfühlen.

Als Vorreiter für den Wandel in der sicheren Programmierung verfolgt Secure Code Warrior einen menschenzentrierten Ansatz, der Entwickler aktiv einbindet, um ihre Fähigkeiten in der sicheren Programmierung zu erlernen und auszubauen. Unsere bewährte Lernplattform bietet Entwicklungs- und Sicherheitsteams kontextbezogenes und hochrelevantes Lernen innerhalb ihres bevorzugten Workflows. Sie befähigt sie, Schwachstellen nicht nur zu finden, sondern deren Entstehung von vornherein zu verhindern.

Diese Art von praxisorientiertem Training ist eine Chance zur Weiterbildung – ein Karriereschritt, der für Entwickler, die Sicherheitslücken konsequent schließen und gemeinsam mit ihrem Team einen höheren Code-Standard erreichen wollen, nur Vorteile bietet.

Wenn Sie mehr erfahren möchten – und sehen wollen, wie Sie Ihre Teams dabei unterstützen, Sicherheitsaspekte von Anfang an zu berücksichtigen und sicheren Code schneller bereitzustellen, ohne Kompromisse bei der Sicherheit einzugehen, buchen Sie jetzt eine Demo.

‍*Vom Reagieren zum Prävention: Das sich wandelnde Gesicht der Anwendungssicherheit. Secure Code Warrior und Evans Data Corp. 2020