Welchen Stellenwert hat sicherer Code bei den Prioritäten Ihres Entwicklungsteams?

Die wachsende Zahl von Cyberangriffen und deren zunehmende Komplexität haben in allen Branchen weltweit zu einem Umdenken geführt. Jeder versucht, den Sicherheitsfokus nach vorne zu verlagern („Shift Left“), um Sicherheit so früh wie möglich in alle Prozesse und Abläufe zu integrieren. Diese Situation hat sogar völlig neue Bewegungen zur Verbesserung der Cyberabwehr hervorgebracht,wie etwa DevSecOps, bei denen Sicherheit von Grund auf in die Entwicklung neuer Software und Anwendungen eingebettet wird.

Viele dieser Veränderungen betreffen direkt die Entwickler-Community. Da sie diejenigen sind, die neue Software und Anwendungen erstellen, schreiben und programmieren, erscheint die Aufforderung, sicherere Programmierpraktiken anzuwenden, als logischer Schritt. Schließlich kann man den Sicherheitsfokus nicht weiter nach vorne verlagern als an den Anfang der Anwendungsentwicklung.

Doch wie steht die Entwickler-Community zu dieser Verantwortung? Entwickler wurden traditionell fast ausschließlich danach bewertet, wie schnell sie programmieren konnten – was denken sie nun über ihre neue Rolle als Sicherheitsverantwortliche? Und haben sie das Gefühl, dass das Management ihrer Unternehmen diese Bemühungen mit hochwertigen Schulungen, besseren Anreizen und der Anerkennung unterstützt, die sie für die Übernahme dieser kritischen neuen Aufgabe verdienen?

Zum zweiten Mal in Folge haben wir gemeinsam mit Evans Data Corp. eine umfassende Umfrage in der globalen Entwickler-Community durchgeführt. Dabei ging es um Fähigkeiten, Wahrnehmungen und Verhaltensweisen in Bezug auf sichere Programmierpraktiken sowie deren wahrgenommene Bedeutung und Relevanz im Softwareentwicklungszyklus (SDLC). Die Ergebnisse waren in vielerlei Hinsicht durchaus überraschend.

Die Studie zur entwicklergesteuerten Sicherheit 2022

Die „State of Developer-Driven Security“-Umfrage von Secure Code Warrior wurde im Dezember 2021 von Evans Data Corp. durchgeführt. 1.200 aktive Softwareentwickler aus dem asiatisch-pazifischen Raum, Europa und Nordamerika wurden zu Themen wie Softwareprogrammierung, Sicherheitsbewusstsein, Schulungen, Unterstützung, Motivation und anderen Aspekten befragt. Die Umfrage wurde auf Englisch durchgeführt und bei Bedarf übersetzt, um eine präzise globale Perspektive zu erhalten. Zu den Befragten gehörten sowohl Entwickler, die neue Anwendungen erstellen, als auch Führungskräfte aus der Entwickler-Community.

Einige überraschende Erkenntnisse

Ein detailliertes Whitepaper (Die Herausforderungen (und Chancen) zur Verbesserung der Softwaresicherheit) und ein Bericht (Der Stand der entwicklergesteuerten Sicherheit, 2022), die jeden Aspekt der Umfrage beleuchten, werden am Montag, den 11. April, veröffentlicht.Das Whitepaper enthält unsere Analyse der Ergebnisse und der von der Community geäußerten Bedenken hinsichtlich sicherer Programmierpraktiken sowie Empfehlungen für Unternehmen, wie sie ihre Entwicklerteams bei der Verbesserung der Softwaresicherheit unterstützen können.

Einige dieser Herausforderungen dürften bei jedem, der mit Entwicklern zusammenarbeitet, sowie bei den Entwicklern selbst Fragen aufwerfen – uns ging es jedenfalls so.

So gaben beispielsweise nur 14 % der Befragten an, dass Anwendungssicherheit heute eine Top-Priorität sei. Stattdessen blieben traditionellere Kennzahlen wie Anwendungsleistung sowie die Priorisierung von Funktionen und Features der allgemeine Fokus.

Sicherheit hatte einen so geringen Stellenwert, dass 67 % der befragten Entwickler zugaben, routinemäßig bekannte Schwachstellen und Exploits in ihrem Code zu belassen. Dies geschah entweder aufgrund knapper Fristen, der Priorisierung von Funktionalität vor Sicherheit oder schlichtweg aufgrund fehlender Schulungen oder Kenntnisse darüber, wie Sicherheitslücken behoben werden können.

In vielen Fällen gaben Entwickler an, dass ihre Unternehmen nicht definiert hätten, was sicheren Code ausmacht, und keine angemessenen Schulungen oder Unterstützung bereitstellten, um diese Situation zu ändern.

Trotz einiger negativer Ergebnisse wurde jedoch auch deutlich, dass sich die Einstellungen ändern. Eine große Mehrheit der Entwickler (66 %) erwartet, dass Sicherheit in den nächsten 12 bis 18 Monaten einen höheren Stellenwert einnehmen wird, während 82 % der befragten Personalverantwortlichen Interesse daran bekundeten, Entwickler mit Sicherheitskenntnissen gegenüber solchen ohne diese Qualifikationen zu bevorzugen.

Während die Umfrageergebnisse deutlich machen, dass die Entwickler-Community und die Unternehmen, mit denen sie zusammenarbeiten, vor einem enormen Wandel stehen, nehmen die Pläne für die nahe und ferne Zukunft erfreulicherweise ebenfalls schnell Gestalt an.

Bleiben Sie dran für das Whitepaper und den Bericht mit den vollständigen Umfrageergebnissen sowie Expertenkommentaren zu den Herausforderungen aktueller sicherer Programmierpraktiken und den Chancen, die Unternehmen nutzen können, um die Sicherheitskompetenzen ihrer Entwickler – und letztlich die Softwaresicherheit – zu verbessern.

Besuchen Sie die Secure Code Warrior-Blogseiten für weitere Einblicke in die Cybersicherheit, die zunehmend gefährliche Bedrohungslandschaft und um zu erfahren, wie Sie innovative Technologien und Schulungen einsetzen können, um Ihr Unternehmen und Ihre Kunden besser zu schützen.

‍