Warum Scaffolded Learning sicherheitsstarke Entwickler hervorbringt

Nach nur wenigen Minuten beim Durchsehen von Tech-News wird schnell deutlich, wie gefährlich die Bedrohungslage wird. Jeden Tag scheint ein Bericht über eine große Sicherheitslücke, eine neue Schwachstelle oder eine ernste Bedrohung durch aktive Angriffe von Cyberkriminellen hinzuzukommen. Fast jede Branchenkennzahl und jeder Bericht zeigt eine zunehmend gefährliche Anzahl an Cyberbedrohungen, wobei die meisten Experten vorhersagen, dass sich dieser Trend noch jahrelang fortsetzen wird.

Diesem neuen Bedrohungsszenario steht eine erschöpfte und unterbesetzte Front an IT-Sicherheitsexperten gegenüber. Obwohl sie hohe Gehälter beziehen und für jedes Unternehmen nahezu unverzichtbar sind, gibt es nie genug Sicherheitspersonal. In einer kürzlich durchgeführten Umfrage des Center for Strategic and International Studies gaben 82 % der IT-Entscheidungsträger an, dass ihre Unternehmen unter einem Mangel an Cybersicherheitskompetenzen leiden, und 71 % sagten, dass dieser Mangel zu direkten und messbaren Schäden geführt habe. Allein in den Vereinigten Staaten, so der Bericht, gab es mehr als 520.000 unbesetzte Stellen im Bereich Cybersicherheit, in dem nur etwa 940.000 Personen beschäftigt sind.

Weltweit gibt es derzeit etwa 3,5 Millionen unbesetzte Stellen im Bereich Cybersicherheit, was bedeutet, dass selbst Unternehmen, die bereit sind, enorme Summen für die Einstellung und Bindung von Spitzenkräften zu zahlen, Schwierigkeiten haben, geeignete Kandidaten zu finden. Im Durchschnitt dauert es etwa 21 % länger, eine Stelle im Bereich Cybersicherheit zu besetzen als jede andere Position, sofern sie überhaupt besetzt werden kann.

Die Befähigung von Entwicklern wurde zu lange vernachlässigt

Wir haben in vielen früheren Blogbeiträgen darauf hingewiesen, dass Entwickler dazu beitragen können, einige dieser kritischen Lücken in der Cybersicherheitsabwehr zu schließen. Traditionell wurden Entwickler jedoch nie in Cybersicherheit geschult. Ihre Arbeitsleistung basierte fast ausschließlich auf Geschwindigkeit und Bereitstellungszeiten. Sicherheit war die Aufgabe der AppSec-Teams weiter hinten in der Kette.

Leider ist es nicht damit getan, einfach den Schalter umzulegen und von Entwicklern zu verlangen, plötzlich Sicherheit in ihre Anwendungen und Programme zu integrieren. Selbst wenn sie dazu bereit sind – und Umfragen zeigen, dass viele es sind –, benötigen sie eine entsprechende Schulung. Sie brauchen zudem Ermutigung und Unterstützung durch das Management, doch die Bereitstellung sinnvoller Lerninhalte ist die erste und oft größte Hürde.

Es gibt einen Grund, warum Millionen von gut bezahlten, hochsicheren IT-Sicherheitsstellen weltweit unbesetzt bleiben. Wäre es eine einfache Arbeit, würde jeder in diesen Bereich drängen. Zu lernen, wie man Bedrohungen bekämpft und Schwachstellen im Code beseitigt, ist schwierig, und die Bedrohungslage ändert sich ständig. Der Versuch, Cybersicherheit zu lehren, selbst technisch versierten Entwicklern, kann nicht effizient durch statische Schulungen erfolgen, die schnell veralten, nicht im Gedächtnis bleiben und nur einen minimalen positiven Effekt haben – besonders wenn diese Anforderungen zu ihren ohnehin schon überlasteten Zeitplänen hinzukommen.

Ein Gerüst bauen, um höhere Ziele zu erreichen

Cybersicherheitskompetenzen mit traditionellen Methoden zu vermitteln, ist wie der Versuch, einen Wolkenkratzer zu bauen, ohne jemals den Boden zu verlassen. Es ist nicht möglich, weil den Lernenden das Fundament fehlt, um die vielen komplexen Konzepte eines Fachgebiets wie der Cybersicherheit zu beherrschen. Um dies auszugleichen, kann das Konzept des Scaffolded Learning eingesetzt werden.

Bei einem gestuften oder „schichtweisen“ Ansatz zur Kompetenzentwicklung werden größere Themen in einzelne Lerneinheiten oder Konzepte unterteilt. Dies stellt sicher, dass die Lernenden jedes Konzept durch geeignete Übungen und Anleitungen meistern können, wobei für jede Komponente die notwendige Unterstützung bereitgestellt wird. Neuere, fortgeschrittenere Konzepte werden auf den bereits beherrschten Inhalten aufgebaut, genau wie ein physisches Gerüst mit zunehmender Gebäudehöhe mitwächst. Auf diese Weise erreichen die Lernenden ein höheres Verständnis und eine bessere Kompetenz, als sie ohne Unterstützung könnten.

Und genau wie bei einem physischen Gerüst wird diese Unterstützung schrittweise entfernt, wenn sie nicht mehr benötigt wird, wobei den Lernenden mehr Verantwortung übertragen wird, je kompetenter sie werden.

Scaffolded Learning wird primär eingesetzt, um negative Emotionen und Selbstwahrnehmungen zu reduzieren, die Lernende empfinden können, wenn sie bei einer schwierigen Aufgabe ohne Hilfe frustriert, eingeschüchtert oder entmutigt werden. Es ist jedoch auch äußerst wertvoll, wenn man sich an ein so komplexes Thema wie moderne Cybersicherheit heranwagt. Es ist keineswegs eine Art, Entwickler wie Kinder zu behandeln, sondern eine enorme Hilfe, da ihre Erfahrungen mit dem Sicherheitsteam oft frustrierend und entmutigend sein können, besonders wenn ihre harte Arbeit mit Fehlerkorrekturen und einer neuen Portion Kritik zurückgeschickt wird.

Wenn Entwickler Werkzeuge erhalten, um die Grundlagen sicherer Programmierung zu verstehen (meist beginnend mit den OWASP Top 10), können sie selbst sehen, wie Sicherheitslücken entstehen, warum sie gefährlich sind und wie sie behoben werden können, bevor sie in die Produktion gelangen. Von dort aus können sie ihr Wissen erweitern, indem sie komplexere Schwachstellen angehen und praktische Erfahrungen bei der Anwendung guter Korrekturen sammeln. Die Ebenen wachsen Stück für Stück, und wenn es dann um fortgeschrittene Sicherheitsthemen wie unsichere Softwarearchitektur oder Threat Modeling geht, wirken diese Sprünge nicht mehr so einschüchternd und können präzise angegangen werden.

Als Branche sollten wir niemals erwarten, dass Entwickler zu Sicherheitsexperten werden, aber Unternehmen können neue Standards für die Befähigung von Entwicklern einführen, damit diese qualitativ hochwertigere Software produzieren können. Als zusätzlicher Bonus für Unternehmen mit Ingenieuren, die sich weiterbilden, führt jeder Schritt oder jede Stufe des Gerüsts direkt zu besserer Cybersicherheit. Man muss nicht bis zum Ende eines Kurses warten, um Ergebnisse zu sehen.

Das Erlernen von Cybersicherheit ist schwierig, und die Beherrschung ist ohne die richtige Hilfe und Anleitung nahezu unmöglich. Ein Sicherheitsprogramm mit Scaffolded Learning kann dabei helfen, das Beste herauszuholen, wobei die Vorteile fast sofort sichtbar werden. Verbesserungen beginnen unmittelbar und werden im Laufe der Zeit kontinuierlich besser.

Bauen Sie mit uns sicherheitsstarke Entwickler auf; entdecken Sie:

Kurse
Missionen
Entwicklerschulungen

... und mehr!