Einblicke in sichere Codes

The KI-gestützte Entwicklung hat eine völlig neue Klasse von Softwarerisiken eingeführt. Prompt Injection, RAG-Manipulation und massive Agentenberechtigungen sind keine theoretischen Bedenken mehr — sie sind in modernen Anwendungen alltägliche Realität.

Developer must be these new bedrohungsmuster in umgebungen, die die reale komplexität widerspiegeln, in der Praxis ausgesetzt sein. Aus diesem Grund haben wir die KI/LLM-Boss-Missionen von Cybermon 2025 von einem begrenzten Event-Erlebnis in eine einsatzbereite Quest-Themensammlung in Secure Code Warrior umgewandelt. Du findest Cybermon 2025: Beat the Boss-Sammlung im Abschnitt Spezifische Konzepte unter Sicherheitskonzepte, wenn du eine neue Quest erstellst.

Cybermon 2025: Besiege den Boss es ermöglicht Unternehmen, diese hochschwierigen KI-Sicherheitsanforderungen jederzeit in ihre sicheren Codierungsprogramme zu integrieren.

Was ist Beat the Boss?

Beat the Boss vereint vier fortgeschrittene KI/LLM-Herausforderungen, mit denen die Fähigkeiten zur sicheren KI-Entwicklung in der realen Welt getestet werden sollten.

Zu jedem Thema gehören ein kurzes Einführungsvideo und eine Anleitung, eine geführte Aufwärmphase und die ursprüngliche Boss-Mission mit hohem Schwierigkeitsgrad von Cybermon 2025. This immersive scenarios are focus on practical KI schwachstellenclasses, the Developer must be verständnis, if their ki-able applications forward.

Die vier Boss-Missionen zielen jeweils auf ein bestimmtes KI-Risikogebiet ab und simulieren reale Bedrohungsmuster in KI-gestützten Systemen:

• Bypassaur — Direkte Sofortinjektion
• Keykraken — Indirekte Sofortinjektion
• Promptgeist — Vektor- und Einbettungsschwächen
• Proxysurfing — Übertriebene Handlungsfähigkeit

‍Lauf es auf deine Kunst

We recommend, each a boss into the rampenlight to give an each schwachstelle to give the focus, they verdiente. Viele Organisationen entscheiden sich für die Durchführung von:

• Ein Boss pro Woche als fokussierter KI-Sicherheitssprint
• Oder eine pro Monat als Initiative „Vulnerabilität des Monats“

A structured guide for introduction and download branding resources are available in the Knowledge Base for Administrators, the internal events configure:
Cybermon 2025: Veranstalte dein eigenes Beat the Boss-Event

Operationalisierung der KI-Sicherheitsbereitschaft

The KI accelerated development changes the software risk landscape. New schwachstellenklassen erfordern mehr als nur Bewusstsein — sie erfordern angewandte Erfahrung.

Beat the Boss ermöglicht es Unternehmen, sich entwickelnde KI-Bedrohungsmuster in praktische Entwicklerfähigkeiten umzusetzen.

Developer can each challenge individual and then check the led complete solutions, to strengthen the thinking of the angreifer and the abwehr strategies. Videos mit vollständigen Lösungsansätzen stehen zur Verfügung, sodass sie nach der Herausforderung weiterbilden können:

Viele Teams erweitern die Erfahrung durch interne Sitzungen zum Wissensaustausch, wodurch ereignisorientiertes Lernen von wettbewerbsorientiertem auf kollaboratives Lernen umgestellt wird. Sicherheit und Entwicklung sind Mannschaftssportarten. Unternehmen sind am besten geschützt, wenn Entwickler, Sicherheitsverantwortliche und Ingenieurteams zusammenarbeiten, um die wachsende KI-Angriffsfläche zu verstehen und abzuwehren. Assignated Advocations, shared solution checks and teamübergreifende discussion include, that are within the challenge individual requirements collective skills.

Indem Sie Beat the Boss in Ihre Initiativen zur sicheren Programmierung integrieren, fördern Sie die Einführung sicherer KI und bauen gleichzeitig in Ihren Entwicklungsteams einen messbaren Reifegrad der KI-Sicherheit auf.

Fangen Sie an

Du findest Cybermon 2025: Beat the Boss-Sammlung im Abschnitt Spezifische Konzepte unter Sicherheitskonzepte, wenn du eine neue Quest erstellst. Loggen Sie sich in Ihr Secure Code Warrior-Konto ein to configure your rollout and strengthen the safe KI development in your teams.

The Cyber Resilience Act wird zunehmend zu einer strategischen Priorität — nicht nur für in der EU ansässige Unternehmen, sondern für alle Unternehmen, die digitale Produkte auf dem europäischen Markt verkaufen. The deadlines for compliance of the regulations until 2027, but the ingenieur and security teams are already critical questions to the safety methods, to process with security lücken and development capacity.

Im Gegensatz zu vielen Vorschriften, die sich auf Dokumentation und Audits konzentrieren, lässt die CRA sicheres Softwaredesign und -entwicklung im Mittelpunkt der Compliance. Unternehmen, die frühzeitig in Sicherheitsfunktionen investieren, werden die Vorschriften schneller einhalten — und sie werden in einem Markt, in der Produktsicherheit zu einer Kaufentscheidung, von der Masse abheben.

Was verlangt das Cyber-Resilienz-Gesetz

With the Cyber Resilience Act (CRA) are introduced basic cyber security requirements for the most products with digital component, which are provided on the EU market in traffic — including software, operating systems, connected devices and embedded systems.

Noch wichtiger ist, dass es sich verschiebt wo Verantwortung liegt.

Security is not more only a running or operating problem. Inter the CRA is to one Entwurfs- und Entwicklungspflicht includes architecture, implementation, maintenance and access with security lücken.

Für Führungskräfte aus den Bereichen Technik und Sicherheit bedeutet:

• Produkte müssen nach den Prinzipien von Secure by Design gebaut werden
• Bekannte Sicherheitslücken müssen nach Möglichkeit verhindert und wirksam behandelt werden
• Unternehmen müssen nachweisen, dass sichere Entwicklungspraktiken vorhanden sind

Kurz gesagt: Compliance is untrennbar with the Art and Art, as Developer code writing and manage.

For when you the CRA

Obwohl CRA von der EU eingeführt wurde, gilt es für jede Organisation weltweit das fallende digitale Produkte auf den EU-Markt bringt, darunter:

• Softwareanbieter und SaaS-Anbieter, deren Dienste als Ferndatenverarbeitungskomponenten der abgedeckten Produkte dienen
• Hersteller digitaler oder vernetzter Produkte
• Importeure, Händler und Einzelhändler
• Organizations, the digital components of third providers

Für globale Unternehmen ist CRA-Readiness ein Enquement of a cross-border development, kein regionales Compliance-Verfahren.

Warum Organisationen jetzt beginnen

Wichtige Meilensteine:

• September 2026 — The Contractions for message of security lücken beginnen
• Dezember 2027 — Vollständige Bevorhaltung erforderlich

This time plan can be well see on the paper. In Wirklichkeit findet die Transformation in der Entwicklung nicht quartalsweise statt — sie vollzieht sich über Jahre.

Secure by Design ist kein Richtlinien-Update. Es erfordert:

• Qualification of thousands of Developer in different languages and teams
• Einbettung der Erwartungen an Secure by Design in die täglichen Arbeitsabläufe
• Uebergang des reaktiven Behebens von Sicherheitslücken zur Prävention
• Erschaffung messbarer Beweise dafür, dass sichere Entwicklungspraktiken konsequent angewendet werden

This changes are in settings, onboarding, architectural decisions, SDLC processes and the engineering culture. Unternehmen, die bis Ende 2026 warten, werden versuchen, ihre Kapazitäten unter regulatorischem Druck nachzurüsten — ein weitaus teurerer und disruptiver Weg.

The implementation provides also an erhebliches finanzielles risiko. Gemäß Artikel 64 kann die CRA Strafen in Höhe von bis zu 15 Mio. € bei Verstößen gegen grundlegende Cybersicherheitsanforderungen. EUR or 2,5% of the worldwide year sum are related.

Bis Ende 2026 zu warten ist einfach zu spät.

CRA ist letztlich eine Herausforderung für die Fähigkeiten von Entwicklern

Viele Vorschriften konzentrieren sich auf Richtlinien und Dokumentation. Die CRA geht noch einen Schritt weiter, indem sie die Einhaltung der Vorschriften mit den eigentlichen Praktiken verknüpft, die bei der Softwareentwicklung und -erstellung angewendet werden. Es weckt Erwartungen in Bezug auf sichere Entwicklung als Betriebsdisziplin und nicht nur als behördliche Anforderung.

Für technische Führungskräfte bedeutet das, dass die Einhaltung der Vorschriften davon abhängt, ob die Entwicklungsteams konsequent sichere Verfahren anwenden, darunter:

• Allgemeine Schwachstellenklassen verstehen
• Anwendung sicherer Design- und Architekturprinzipien
• Vermeidung eines unsicheren Implementationsmusters
• Responsibilous deal with third anbieter and open-source components

Sicherheitstools spielen eine wichtige Rolle bei der Erkennung von Problemen. Tools decken jedoch Schwachstellen auf, nachdem der Code geschrieben wurde. Secure by Design setzt voraus, dass Entwickler Sicherheitslücken von vornherein verhindern — und zwar einheitlich in allen Teams, Sprachen und Produkten.

Tools only can this not reach. Die Ergebnisse, die von Grund auf sicher sind, hängen ab von menschliche Fähigkeit.

Wie Secure Code Warrior unterstützt die CRA-Bereitschaft

Secure Code Warrior bietet CRA-orientierte Lernpfade die kombinieren:

• EIN CRA Standard Quest assigned to the technical security requirements from Anhang I, Part I
• EIN Secure by Design Conceptual Collection
• Praktisches, sprachspezifisches Vulnerabilitätslernen

Schauen Sie sich unseren One-Sheet-Guide to all CRA-orientierten Lerninhalten in SCW an. SCW certified not the compliance of regulations. Wir unterstützen die Bereitschaft der Ratingagenturen durch strukturiertes Lernen und messbare Verbesserung der Fähigkeiten im Einklang mit den Grundsätzen der Verordnung zur sicheren Entwicklung.

Fang jetzt an mit dem Aufbau der CRA-Bereitschaft

The CRA spiegelt wider, in welche Richtung sich die Branche bewegt: Security by construction technology as standard maintenance. Unternehmen, die jetzt in die Fähigkeiten ihrer Entwickler investieren, sind besser in der Lage, die Einhaltung der Vorschriften zu gewährleisten — und auf lange Sicht robuste, risikoärmere Software zu entwickeln.

Weitere Informationen darüber, wie Secure Code Warrior Sie bei der Einhaltung der Vorschriften unterstützen können, finden Sie in unserer Wissensdatenbank: How Secure Code Warrior you can support with the compliance of regulations

Wir beginnen unser tiefes Eintauchen in die 10 Wegbereiter des Erfolgs mit dem grundlegenden Schritt von Enabler 1: Definierte und messbare Erfolgskriterien. Wenn ein sicheres Codierungsprogramm eine Reise ist, ist der erste und wichtigste Schritt darin, genau zu wissen, wohin Sie gehen. Das ist die Essenz des ersten Enablers.

Verknüpfung von Erfolgskriterien mit Geschäftsergebnissen

Der Aufbau eines erfolgreichen Programms für sichere Codierung erfordert klare Ziele, die mit den Unternehmensdienstleistungen verknüpft sind. Enabler 1 beantwortete die Kernfragen: „Was, ganz konkret und messbar, ist das Problem oder der Schwachpunkt, den wir mit unserem Programm zur sicheren Codierung zu lösen versuchen? “

Vielleicht sucht Ihre Organisation nach einem Treffen Compliance-Anforderungen, oder Sicherheitslücken und Cyberangriffe vermeiden. Oder vielleicht suchst du links beginnen als Organisation, Reduzierung der Kosten und des Zeitaufwands für den Feierabend von uns Entwicklern von Anfang an und dort an Schulen, sicher bis zum Programmieren.

Unabhängig von ihren Beweggründen hängt der aktuelle Stand Ihres Unternehmens oder sogar von der von Ihnen bestimmten Sicherheitstrainingsplattform davon ab, dass klar definierte Ziele mit den Geschäftszielen verknüpft sind, um Akzeptanz zu gewinnen und dauerhaften Erfolg zu gewährleisten.

Consider key stakeholders of your program when determining Success Criteria. Knowing your executive sponsors and their business objectives will help drive wider adoption across departments.

‍mach Erfolg greifbar und messbar

Diese Ziele müssen natürlich spezifisch für Ihr Unternehmen sein. Sie sehen sich jedoch diese typischen Geschäftsziele an und Sie überlegen, wie sie zu weiteren Ideen inspirieren könnten:

Risk Reduction: Mitigate developer risk and reduce vulnerabilities introduced by coding flaws. This includes risk identification and reducing the application attack surface.

Programs often target metrics like Vulnerability Density or Vulnerability Injection Rate reduction and avoidance.

Operational Velocity: Maximize product delivery velocity, reducing developer frustration and attrition, and decreasing the amount of time spent on rework. Secure code training acts as a significant incentive for developers by helping them avoid time-consuming rework of buggy code identified later in the software development lifecycle.

Programs often target a reduction in developers' Mean Time to Remediate (MTTR) vulnerabilities.

Regulatory Compliance: Achieve external compliance, such as adhering to standards like PCI-DSS (which mandates training for all developers working on payment systems).

Talent and Trust: Raise engagement and awareness of Security & Vulnerabilities within the developer organization, while maintaining and building customer trust. For some businesses, security-enabled developers help establish market differentiation.

Programs often establish minimum skill requirements for developers or even create specialized Security Champion programs.

‍Erfolgsdokumentation in einem gemeinsamen Erfolgsplan

‍Wenn Sie Ihre Erfolgsmerkmale definiert haben, ist der nächste Schritt innerhalb, dieser in einem Gemeinsamer Erfolgsplan. Dieser Plan ist an einen funktionierenden Crossplan gewöhnt, und alle wichtigen Akteure sind an Ihrem Programm beteiligt, einschließlich externer Unterstützung als Ihre Schulplattform CSM.

Der Erfolgsplan beinhaltet:

1. Valuet-Treiber: Da sind die übertriebenen Unternehmensziele im Zusammenhang mit der Verbesserung der Codesicherheit und der Antwort auf das Warum für Ihr Programm.
2. Aktueller Status: Das begründet das „Wo sind wir jetzt? “ (z. B. aktuelle Fähigkeiten zum sicheren Programmieren oder bestehende Schulungsprogramme).
3. Zukünftiger (gewünschter) Staat: Als nächstes dokumentierst du „Wo wollen wir sein? “ und legen Sie fest, wie die Lücke in den Fähigkeiten zum sicheren Programmieren geschlossen werden kann.
4. KPIs/Massnahmen: Das sind die Kennzahlen, der Erfolg und die Show, die mit der Einführung des Programms die Kluft zwischen dem aktuellen und dem zukünftigen Zustand verringert.

Wir empfehlen, mit zu beginnen 1 oder 2 spezifische Metriken und bei Bedarf später erweitern. Diese KPIs/Maßnahmen müssen dem S.M.A.R.T.-Prinzip (spezifisch, messbar, zugänglich, relevant, zeitgebunden) entsprechen. Sie sollten leicht nachverfolgen und dürfen nicht beliebig interpretiert werden. Um den Plan in die Tat umzusetzen, ist eine Rechenschaftspflicht auf allen Seiten erforderlich, wobei der Wert und der ROI in regelmäßigen, vereinbarten Bedingungen mit der Führung überprüft werden.

Ihr Programm ist eine sichere Programmierung durch eine kostengünstige Website, um wichtige Geschäftsergebnisse zu überprüfen — ein notwendiger erster Schritt, um das Programm reif zu machen.

Als nächstes Tauchen gehen wir rein Enabler 2: Sponsoring durch Führung um die Schlüsselrolle zu lesen, den Leitfaden zur erfolgreichen Einführung eines sicheren Codierungsprogramms.

Haben Sie weitere Fragen? Kunden können sich an das Account-Team wenden oder support@securecodewarrior.com. Potenzielle Kunden können mit einem Mitglied unseres Vertriebsteams sprechen, indem sie uns kontaktieren hier.

An individual who decides to plunge headfirst into a startup venture is called many things, from the aspirational moniker “entrepreneur” to the decidedly less glamorous “freaking crazy.” After eleven years at the helm of Secure Code Warrior, I’m happily somewhere in the middle. 

The past five years have been a lesson in resilience for many, with curveballs thrown, economic and otherwise, in ways that some of the smartest people on the planet failed to predict. “Survival of the fittest” may come to mind here, but I prefer this quote:

"It is not the strongest of the species that survives, nor the most intelligent that survives. It is the one that is most adaptable to change."

(This is often misattributed to Charles Darwin, but it was actually said by Professor Leon C. Megginson, who was summarizing Darwin's work, Origin of Species. Hopefully, that will win you a great pub quiz prize sometime in the future.)

Now, what better example of change and adaptability is there, in our world, than artificial intelligence? More than three years since the LLM bomb dropped, and we’re still scrambling to understand what this iteration is, what it can do, and how it can best serve us in virtually every role that exists today. Regardless, it is here to stay, and as cybersecurity practitioners in particular, we need to stay one step ahead to safeguard it, even in the absence of official guardrails and regulations.

2025 was a big year for AI, for cybersecurity, and for SCW. I’m approaching 2026 with quiet confidence, and the optimism that only hard work paying off can bring. 

We hit some major milestones, including our foray into safeguarding AI-powered software development. We:

• Released Trust Agent: AI into beta testing: With new research from the CCIA confirming that generative AI is the fastest-adopted technology in history, it’s no great shock to see the huge uptake of AI coding agents and assistants among developers, including hasty enterprise-level rollouts that are moving faster than their security programs.
  
  Our latest technology, Trust Agent: AI, provides the missing ingredient of visibility and governance over AI-generated code. It affords enterprise security leaders the deep observability and control they need to confidently manage AI adoption in their software development lifecycle (SDLC) without sacrificing security.
• Surpassed our latest major revenue milestone: Exceeding our revenue goal is a testament to the tenacity and innovation of the entire Secure Code Warrior team. When we started this journey, our mission was to move beyond the "checkbox" approach to security and actually empower developers to write secure code from the very first line.
  
  Seeing that vision resonate with so many global enterprises proves that the industry is finally shifting its focus toward developer-centered security, and I couldn’t be prouder of how our Warriors have leaned in to make software safer for everyone.
• Expert integrations with strategic partners: Our partnerships with great companies like Aikido, OpenText and Black Duck, represent a significant step forward in our mission to create a seamless, developer-centric security ecosystem. By bridging the gap between identifying vulnerabilities and providing the specific skills needed to fix them, we are effectively closing the loop on developer-oriented software risk.
  
  I am incredibly proud of this partnership, which signifies a strategic shift away from fragmented tooling toward a unified experience where security is a natural extension of the development workflow.

As we dive into another big year, I’d like to thank our growing swell of supporters, especially those in the wider cyber community, who continue to take charge in the fight against recurring vulnerabilities, low security awareness, and poor-quality code output. By adopting a new, safer standard, we can start to see real improvements in the security of our software, services, and technology. 

We’re surging ahead with full investment in a future where AI writes the majority of the code, under the watchful eye of skilled humans. Our SCW Learning is evolving quickly to meet the requirements of this new world, and our SCW Trust Agent: AI will be made available in the next three months to support the safe operation of LLMs, MCPs, and more in the SDLC. We’re also poised to announce an exciting new partnership with a major market player very soon.

Stay tuned!

Eine Version dieses Artikels erschien in SC Magazine. Es wurde hier modifiziert und syndiziert.


Wenn Sie schon einmal von Dieben in Ihr Zuhause eingebrochen sind, werden Sie das anfängliche Gefühl verstehen, dass etwas nicht stimmt, gefolgt von der Erkenntnis, dass sie tatsächlich gestohlen und verletzt wurden. This goes in the rule to persistent complaints, only to still by a change of security measures that would take with Fort Knox.

Setze dich jetzt vor, in deinem Haus wird eingedrungen, weil die Diebe einen Schlüssel gemacht haben. Sie schleichen herum, kommen und gehen, wie sie beliebt sind, achten aber darauf, bleiben unentdeckt. Dann, eines Tages, merkst du allzu spät, dass der Schmuck, den du in der Tiefkühltruhe versteckt hast, weg ist, dein Tresor geleert und deine persönlichen Dinge wurden geplündert. This is the equivalente reality, with the a company is involved, if it offer a Zero-Day-Cyber attacks. Im Jahr 2020 ergab eine Studie des Ponemon Institute, dass 80% of successful privacy verletzungen waren das Ergebnis von Zero-Day-Exploits, und die meisten Unternehmen sind leider schlecht gerüstet, um diese Statistiken deutlich zu verbessern.

Zero-Day-Angriffe geben Entwicklern per Definition keine Zeit, um bestehende Sicherheitslücken zu finden und zu beheben, die ausgenutzt werden könnten, da der Bedrohungsakteur zuerst eingedrungen ist. The damage is applied and then is a wahnsinnig angel, both the software as also and the reputation damage of the company. Angreifer sind immer im Vorteil, und es ist entscheidend, diesen Vorteil so weit wie möglich zu schließen.

Das Weihnachtsgeschenk, das niemand wollte — Log4Shell — sprengt derzeit das Internet. About a milliarde devices should be affected from this katastrophal java-Sicherheitslücke. Es zeichnet sich ab, der schlimmste 0-Tage-Angriff aller Zeiten, und wir fangen gerade an. Trotz einige Reportes mit der Angabe, dass Exploits einige Tage vor der Veröffentlichung begonnen haben, eine Präsentation auf der Black Hat Conference im Jahr 2016 würde vermuten, dass dies seit einiger Zeit ein bekanntes Problem ist. Autsch. Schlimmer noch, es ist furchtbar einfach auszunutzen, und jeder Drehbuch-Kiddie und Bedrohungsakteur auf dem Planeten jagt mit dieser Sicherheitslücke hinterher.

Was ist also der beste Weg, um sich vor einer rutschigen, finsteren Bedrohung zu schützen, ganz zu schweigen von Sicherheitslücken, die im Softwareentwicklungsprozess übersehen wurden? Lasse uns einen Blick darauf werfen.

Zero-Day-Angriffe gegen große Ziele sind selten (und teuer)

Im Dark Web gibt es einen riesigen Markt für Exploits, und Zero-Days kosten in der Regel ein nettes Sümmchen, um ein Beispiel zu nennen in diesem Artikel zum Zeitpunkt der Erstellung dieses Artikels für 2,5 Mio. $ gelistet. Es handelt sich dabei um einen Exploit von Apple iOS, und es ist keine Überraschung, dass die Preisvorstellung des Sicherheitsforschers durch die Decke geht. Schließlich könnte das Tor tatsächlich sein, um Millionen von Geräten zu kompromittieren, Milliarden sensibler Datensätze zu sammeln und das so lange wie möglich zu tun, bevor sie entdeckt und gepatcht werden.

Aber wer hat überhaupt so viel Geld? In der Regel lassen organisierte Cyberkriminalsyndikate das Geld fallen, wenn es als würdig erachtet wird, insbesondere bei allseits beliebten Ransomware-Angriffen. Global Governments and defense authorities gehören jedoch zu den Kunden von Exploits, die sie für Bedrohungsinformationen nutzen können, und in positiven Fällen könnten die Unternehmen ihre potenziellen Zero-Day-Exploits selbst sein, um Katastrophen abzuwehren.

2021 wurden Rekorde gebrochen for live discovery of Zero-Day-Exploits, and it are large organizations, government authorities and infrastructure, which is the largest risk, are tested on schwachstellen. Es gibt keine Möglichkeit, Zero-Day-Angriffe vollständig vor der Möglichkeit zu schützen, aber Sie können das Spiel einigermaßen „spielen“, indem Sie ein großzügiges und gut strukturiertes Bug-Bounty-Programm anbieten. After to wait, to any you offer the key to your software castle on a Dark Web market place, get you allow legitime security fans on your page and provide them relevant belohnungen for ethical enthüllings and possible correctures.

Und wenn es zufällig zu einer Zero-Day-Bedrohung kommt, können Sie davon ausgehen, dass Sie mehr als eine Amazon-Geschenkkarte ausstellen müssen (und es wird sich lohnen, dies tun).

Your tools könntet eine Belastung für Ihr Sicherheitspersonal darstellen

Ständliche Sicherheitstools sind seit langem ein Problem, das der durchschnittliche CISO verwaltet irgendwo zwischen 55 und 75 Werkzeugen in ihrem Sicherheitsarsenal. Abseits davon, dass es das verwirrendste (metaphorischste) Schweizer Taschenmesser der Welt ist, sind 53% der Unternehmen nicht einmal davon überzeugt, dass sie effektiv arbeiten laut einer Studie vom Ponemon Institute. Eine weitere Studie enthüllte, dass nur 17% der CISOs der Meinung waren, dass ihr Sicherheits-Stack „vollständig effektiv“ ist.

In einem Bereich, der für seinen Burnout, den Mangel an Sicherheitsfachkräften zur Deckung der Nachfrage und den Bedarf an Agilität bekannt ist, ist es eine Belastung, Sicherheitsexperten zu zwingen, wobei die Informationsflut in Form von Daten, Berichten und den Tools zur Überwachung riesiger Tools zu arbeiten hat. Das ist genau die Art von Szenario, die dazu führen kann, dass sie eine kritische Warnung übersehen, was durchaus der Fall war, als es darum ging, Log4j richtig auf seine Schwächen zu untersuchen.

Präventive Sicherheit sollte eine entwicklerorientierte Bedrohungsmodellierung beinhalten

Safety Lücken on code level are often used by Developers, and they need precise instructions and regularly learning path to provide safe programming knowledge. Safety Developer of the next level have but receive the possible to learn and exercise in their software development process.
‍
Es sollte nicht überraschen, dass die Leute, die ihre Software am besten kennen, die Entwickler sind, die dort gegründet und sie entwickelt haben. Sie verfügen über fundiertes Wissen darüber, wie Benutzer mit der Software umgehen, wo die Funktionen verwendet werden und wenn sie ausreichend sicherheitsbewusst sind, über potenzielle Szenarien, in denen die Software kaputt gehen oder ausgenutzt werden könnte.

When we back to the Log4Shell-Exploit, we see an scenario, in the an katastrophal security gap of experts and complex toolsets was not found. Sie sind jedoch möglicherweise überhaupt nicht aufgetreten, wenn die Bibliothek so konfiguriert war, dass sie Benutzereingaben zusammenfassen. The decision other scheint aus praktischen Gründen ein obskures Feature gewesen zu sein, machte es aber schmerzhaft einfach auszunutzen (denke an SQL Injection-Level, sicherlich kein geniales Zeug). Wenn die Bedrohungsmodellierung von einer Gruppe begeisterter, sicherheitsbewusster Entwickler durchgeführt würde, wäre dieses Szenario mit hoher Wahrscheinlichkeit theoretisiert und in der Praxis umgesetzt worden.

Ein gutes Sicherheitsprogramm hat eine emotionale Komponente, bei der menschliche Eingreifen und Nuancen im Mittelpunkt der Lösung von Problemen stehen, die von Menschen verursacht wurden. Bedrohungsmodellierung erfordert Empathie und Erfahrung, um effektiv zu sein, wie auch die sichere Codierung und Konfiguration von Software und Anwendungen auf der Architekturebene. Developer should not to take to the night, but a clear way, they make into clear way, that they can load the security team for this important task, is ideal (and it is a great possible to create a relationship between two teams).

Nulltage führen zu N-Tagen

The following part of the process with a Zero-Day contains, patches as a quickly as possible bring, in the höllischen hope that each user of the anfällige software they so quickly as possible as possible, and at each case, before a provider first. With Log4Shell Es könnte Heartbleed in den Schatten stellen in seiner Ausdauer und Leistungsfähigkeit angesichts der Tatsache, dass es in Millionen von Geräten eingebettet ist und komplexe Abhängigkeiten innerhalb eines Software-Builds erzeugt werden.

Realistisch gesehen gibt es keine Möglichkeit, diese Art von heimlichem Angriff vollständig zu stoppen. Wenn wir uns jedoch dazu verpflichten, alle Möglichkeiten zu nutzen, um qualitativ hochwertige, sichere Software zu entwickeln, und die Entwicklung mit derselben Denkweise, wie sie bei kritischen Infrastrukturen tun würden, können wir alle eine echte Chance haben.

KI-gestützte Entwicklung (oder, die trendigere Version, „Vibe Coding“) hat einen enormen, transformativen Effekt auf die Codeerstellung. Etablierte Entwickler setzen diese Tools in Scharen ein, und diejenigen unter uns, die schon immer ihre eigene Software entwickeln wollten, aber nicht über die entsprechende Erfahrung verfügten, nutzen sie auch, um Ressourcen zu entwickeln, die zuvor kosten- und zeitaufwändig gewesen wären. Diese Technologie verspricht zwar, eine neue Ära der Innovation einzuleiten, bringt aber auch eine Reihe neuer Sicherheitslücken und Risikoprofile mit sich, die Sicherheitsverantwortliche nur schwer abwehren können.

EIN jüngste Entdeckung von InvariantLabs deckte eine kritische Sicherheitslücke im Model Context Protocol (MCP) auf, einem API-ähnlichen Framework, das es leistungsstarken KI-Tools ermöglicht, autonom mit anderer Software und Datenbanken zu interagieren. Dies ermöglicht sogenannte „Tool Poisoning Attacks“, eine neue Schwachstellenkategorie, die sich im Unternehmen als besonders schädlich erweisen könnte. Große KI-Tools wie Windsurf und Cursor sind nicht davor gefeit, und bei vielen Millionen von Benutzern sind das Bewusstsein und die Fähigkeiten zur Bewältigung dieses aufkommenden Sicherheitsproblems von größter Bedeutung.

So wie es aussieht, ist die Leistung dieser Tools nicht durchweg sicher genug, um sie als unternehmenstauglich zu kennzeichnen, wie in einem aktuelle Forschungsarbeit von den Sicherheitsforschern von AWS und Intuit, Vineeth Sai Narajala und Idan Habler:“Da KI-Systeme immer autonomer werden und über Dinge wie MCP direkt mit externen Tools und Echtzeitdaten interagieren, wird es absolut notwendig, sicherzustellen, dass diese Interaktionen sicher sind..“

Agentische KI-Systeme und das Risikoprofil des Model Context Protocol

Das Model Context Protocol ist eine praktische Software gebaut von Anthropic das ermöglicht eine bessere, nahtlosere Integration zwischen Large Language Model (LLM) KI-Agenten und anderen Tools. Dies ist ein leistungsstarker Anwendungsfall, der eine Welt voller Möglichkeiten zwischen proprietären Anwendungen und geschäftskritischen SaaS-Tools wie GitHub eröffnet, die mit modernsten KI-Lösungen interagieren. Schreiben Sie einfach einen MCP-Server und machen Sie sich an die Aufgabe, die Richtlinien dafür festzulegen, wie und zu welchem Zweck er funktionieren soll.

Die Auswirkungen der MCP-Technologie auf die Sicherheit sind in der Tat überwiegend positiv. Das Versprechen einer einfacheren Integration zwischen LLMs und dem von Sicherheitsexperten verwendeten Tech-Stack ist zu verlockend, um es zu ignorieren. Es stellt die Möglichkeit einer präzisen Automatisierung von Sicherheitsaufgaben auf einem Niveau dar, das zuvor nicht möglich war, zumindest nicht ohne das Schreiben und Bereitstellen von benutzerdefiniertem Code, normalerweise für jede Aufgabe. Die verbesserte Interoperabilität von LLMs, die MCP bietet, ist eine spannende Perspektive für die Unternehmenssicherheit, da weitreichende Transparenz und Konnektivität zwischen Daten, Tools und Personal von grundlegender Bedeutung für eine effektive Sicherheitsabwehr und -planung sind.

Der Einsatz von MCP kann jedoch andere mögliche Bedrohungsvektoren mit sich bringen und die Angriffsfläche des Unternehmens erheblich erweitern, sofern nicht sorgfältig gemanagt wird. Wie vermerkt von Invariante Labore, Tool Poisoning Attacks stellen eine neue Schwachstellenkategorie dar, die zur Exfiltration sensibler Daten und zu unbefugten Aktionen durch KI-Modelle führen kann. Von da an werden die Auswirkungen auf die Sicherheit sehr schnell sehr dunkel.

InvariantLabs weist darauf hin, dass ein Tool Poisoning Attack möglich ist, wenn böswillige Anweisungen in MCP-Toolbeschreibungen eingebettet sind, die für Benutzer nicht sichtbar, aber von KI-Modellen vollständig lesbar (und ausführbar) sind. Dadurch wird das Tool dazu verleitet, unbefugte schädliche Aktionen auszuführen, ohne dass der Benutzer davon Kenntnis hat. Das Problem liegt in der Annahme des MCP, dass allen Toolbeschreibungen vertraut werden kann. Das ist Musik in den Ohren eines Bedrohungsakteurs.

Sie stellen die folgenden möglichen Folgen eines kompromittierten Tools fest:

• KI-Modelle anweisen, auf vertrauliche Dateien zuzugreifen (wie SSH-Schlüssel, Konfigurationsdateien, Datenbanken usw.);
• Die KI anweisen, diese Daten zu extrahieren und zu übertragen, und zwar in einer Umgebung, in der diese böswilligen Aktionen von Natur aus vor dem ahnungslosen Benutzer verborgen sind;
• Stellen Sie eine Trennung zwischen dem, was der Benutzer sieht, und den Aktionen des KI-Modells her, indem Sie sich hinter täuschend einfachen Benutzeroberflächendarstellungen von Werkzeugumenten und -ausgaben verstecken.

Dies ist eine besorgniserregende, neue Schwachstellenkategorie, und eine, die wir mit ziemlicher Sicherheit häufiger sehen werden, da die unvermeidliche Zunahme der MCP-Nutzung anhält. Angesichts der Weiterentwicklung der Sicherheitsprogramme für Unternehmen wird das Unternehmen sorgfältige Maßnahmen ergreifen, um diese Bedrohung zu erkennen und abzuwehren. Daher ist es von entscheidender Bedeutung, die Entwickler angemessen darauf vorzubereiten, Teil der Lösung zu sein.

Warum nur sicherheitserfahrene Entwickler agentische KI-Tools nutzen sollten

Die KI-Codierungstools von Agentic gelten als die nächste Entwicklung der KI-gestützten Codierung und tragen zu ihrer Fähigkeit bei, mehr Effizienz, Produktivität und Flexibilität bei der Softwareentwicklung zu bieten. Ihre verbesserte Fähigkeit, Kontext und Absicht zu verstehen, macht sie besonders nützlich, aber sie sind nicht immun gegen Bedrohungen wie schnelle Injektion, Halluzination oder Verhaltensmanipulation durch Angreifer.

Entwickler sind die Verteidigungslinie zwischen guten und schlechten Code-Commits, und es wird in der Zukunft der sicheren Softwareentwicklung von grundlegender Bedeutung sein, sowohl die Fähigkeiten im Bereich Sicherheit als auch kritisches Denken auf dem neuesten Stand zu halten.

KI-Ergebnisse sollten niemals mit blindem Vertrauen implementiert werden, und es sind sicherheitserfahrene Entwickler, die kontextuelles, kritisches Denken anwenden, die die Produktivitätsgewinne dieser Technologie sicher nutzen können. Dennoch muss es sich um eine Art Paar-Programmierumgebung handeln, in der der menschliche Experte in der Lage ist, die vom Tool geleistete Arbeit zu beurteilen, zu bedrohen und letztendlich zu genehmigen.

Erfahre mehr darüber, wie Entwickler ihre Fähigkeiten mit KI verbessern und ihre Produktivität steigern können hier.

Praktische Techniken zur Schadensbegrenzung und weitere Informationen in unserem neuesten Forschungspapier

KI-Codierungstools und MCP-Technologie werden ein wichtiger Faktor für die Zukunft der Cybersicherheit sein, aber es ist wichtig, dass wir nicht eintauchen, bevor wir das Wasser abgesucht haben.

Narajala und Habler's Papier beschreibt umfassende Strategien zur Risikominderung für die Implementierung von MCP auf Unternehmensebene und das kontinuierliche Management der damit verbundenen Risiken. Letztlich dreht es sich um tiefgreifende Abwehr- und Zero-Trust-Prinzipien, die ausdrücklich auf das einzigartige Risikoprofil abzielen, das dieses neue Ökosystem für ein Unternehmensumfeld mit sich bringt. Speziell für Entwickler ist es wichtig, Wissenslücken in den folgenden Bereichen zu schließen:

• Authentifizierung und Zugriffskontrolle: Agentische KI-Tools lösen Probleme und treffen autonome Entscheidungen, um die für sie festgelegten Ziele zu erreichen, ähnlich wie ein Mensch technische Aufgaben angehen würde. Wie wir jedoch festgestellt haben, kann die fachkundige menschliche Überwachung dieser Prozesse nicht ignoriert werden, und Entwickler, die diese Tools in ihren Arbeitsabläufen verwenden, müssen genau verstehen, welchen Zugriff sie haben, welche Daten sie abrufen oder möglicherweise verfügbar machen und wo sie geteilt werden könnten.
• Allgemeine Bedrohungserkennung und Abwehr: Wie bei den meisten KI-Prozessen muss der Benutzer die Aufgabe selbst beherrschen, um potenzielle Fehler und Ungenauigkeiten in der Ausgabe des Tools zu erkennen. Entwickler müssen kontinuierlich geschult und ihre Fähigkeiten überprüft werden, um die Sicherheitsprozesse effektiv überprüfen zu können und überprüfen Sie KI-generierten Code mit Sicherheitsgenauigkeit und Autorität.
• Abstimmung mit Sicherheitspolitik und KI-Governance: Entwickler sollten auf zugelassene Tools aufmerksam gemacht werden und ihnen die Möglichkeit gegeben werden, sich weiterzubilden und Zugang zu ihnen zu erhalten. Sowohl der Entwickler als auch das Tool sollten einem Sicherheits-Benchmarking unterzogen werden, bevor Commits als vertrauenswürdig eingestuft werden.

Wir haben kürzlich eine veröffentlicht Forschungspapier über das Aufkommen von Vibe-Coding und KI-gestützter Codierung und die Maßnahmen, die Unternehmen ergreifen müssen, um die nächste Generation von KI-gestützten Softwareingenieuren weiterzubilden. Probieren Sie es aus und setzen Sie sich noch heute mit uns in Verbindung, um Ihre Entwicklungskohorte zu stärken.

A version of this article originally appeared in DZone. It has been updated and syndicated here.

The Payment Card Industry Data Security Standard (PCI DSS) version 4.0 will change almost everything about security for any business or organization that accepts electronic payments, which is a vast majority of them. And make no mistake, this update will be transformative for most businesses, requiring them to upgrade many of their security processes and potentially roll out new protections regarding encryption, authentication, access control, key management, and other areas that they may have been slow to embrace before now.

Due to the complexity of the new requirements, organizations have been given until March 2025 to become fully compliant. But that deadline will arrive sooner than most people realize. In fact, many forward-thinking companies are taking steps right now to enable their developers to navigate the pending compliance landscape. 

Going beyond check-the-box training

An organization’s developers write the code that much of their infrastructure relies on, so it makes sense that they are a good place to start when it comes to implementing the new PCI DSS 4.0 requirements. However, most developers will need strategic support to upskill as part of an updated security awareness program. This is to ensure that they have the experience needed to implement and maintain the higher levels of security required by the new standard. 

In fact, requirement 12.6.2 of PCI DSS 4.0 directs organizations to implement a formal security program, and to keep it updated with the latest threat information and defensive techniques. With the older standard, basic security programs or even “check-the-box”-style annual compliance training met the objective. This new standard mandates so much more, even requiring that security training programs address specific threats and vulnerabilities within a company’s environment. For example, if stolen identities are a big problem for an organization, then the training needs to address that.

It's clear that minimal training will no longer be adequate from either a practical standpoint or for complying with the new standard. Instead, organizations need to provide developers with comprehensive, agile learning pathways that teach them how to apply security best practices to their real, everyday work. By going beyond minimum compliance efforts and providing developers with the resources they need to truly understand security, organizations can empower their developers to make better security decisions overall while also complying with PCI DSS 4.0.

The good news is that many of the new requirements in PCI DSS 4.0 are targeted toward areas that most developers are already familiar with like authentication, encryption, access control, key management, and others. When developers are given right-fit, relevant and familiar resources to grow their skills, organizations can more easily prepare them for the new standards and increased responsibilities that PCI DSS 4.0 will require.

Using PCI DSS 4.0 as a runway to better security overall

While addressing developer needs with good security education will be key to successfully complying with the new PCI DSS 4.0 standard, the effort of moving an organization towards better cybersecurity does not need to end there. Yes, the requirements are rigorous, but since most organizations will need to work to comply with them, there is no reason not to use that effort as a springboard for launching better security awareness and training overall. This will not only help an organization meet compliance requirements, but also start to foster a culture of positive security that prioritizes best practices and ensures that everyone in the organization is working towards the same, security-first goal. 

There is a learning curve, sure, but developers will likely be on board with such an effort. In an Evans Data survey of over 1,200 professional developers actively working around the world, the overwhelming majority said they were supportive of the concept of creating secure code and establishing a better security culture at their organizations. It’s clear that most developers welcome a strategic, supported shift to secure coding and a reprioritizing of security as part of the development process. 

The security upgrades mandated by PCI DSS 4.0 provide a perfect excuse for companies to invest in improved security best practices and training, and to embrace a better overall security culture within their organization.

Developers can more easily achieve higher levels of security maturity if their companies invest in a program that lets them integrate their skills in secure coding with relevant tools and training. This can, in turn, help to create a culture of security where developers are further empowered to make better decisions that improve their organization’s overall security posture well beyond even the rigorous new PCI DSS 4.0 standards.
‍

Nach nur wenigen Minuten, in denen Sie in technischen Nachrichten stöbern, wird schnell klar, wie gefährlich die Bedrohungslandschaft wird. Jeder Tag scheint einen Bericht über einen schwerwiegenden Verstoß, eine neue Sicherheitslücke oder die ernste Gefahr einer aktiven Ausnutzung durch Cyberangreifer und Kriminelle mit sich zu bringen. Und fast alle Branchenkennzahlen und Berichte zeigen eine zunehmend gefährlich Anzahl der Cyberbedrohungen, wobei die meisten Experten diesen Trend prognostizieren wird weitergehen für die kommenden Jahre.

Gegen diese neuen Bedrohungen ist eine erschöpfte und unterbesetzte Frontlinie von IT-Sicherheitsmitarbeitern aufgestellt. Obwohl sie hohe Gehälter erhalten und für jedes Unternehmen oder jede Organisation fast unverzichtbar sind, gibt es nie genug Sicherheitspersonal, das für alle da ist. In einem aktuelle Umfrage In einer vom Center for Strategic and International Studies durchgeführten Studie gaben 82 Prozent der IT-Entscheidungsträger an, dass ihre Unternehmen unter einem Mangel an Cybersicherheitskompetenzen litten, und 71 Prozent gaben an, dass der Mangel zu direkten und messbaren Schäden für ihre Unternehmen geführt hat. Allein in den Vereinigten Staaten stellte der Bericht fest, dass es in einem Bereich, in dem nur etwa 940.000 Mitarbeiter beschäftigt sind, mehr als 520.000 unbesetzte Stellen im Bereich Cybersicherheit gab.

Weltweit gibt es derzeit ca. 3,5 Millionen Arbeitsplätze im Bereich Cybersicherheit die nicht besetzt sind, was bedeutet, dass selbst Unternehmen, die bereit sind, riesige Geldbeträge für die Einstellung und Bindung hochrangiger Fachkräfte zu zahlen, Schwierigkeiten haben, geeignete Kandidaten zu finden. Im Durchschnitt dauert es etwa 21% länger füllen Sie eine Cybersicherheit aus Stelle als jede andere Stelle, wenn sie überhaupt besetzt werden kann.

Die Aktivierung durch Entwickler wurde zu lange ignoriert

Wir haben in notiert viele frühere Blogs dass Entwickler hinzugezogen werden können, um einige dieser kritischen Lücken in der Cybersicherheitsabwehr zu schließen. Es ist nur so, dass Entwickler traditionell nie im Bereich Cybersicherheit geschult wurden. Ihre Arbeitsleistung hing fast ausschließlich von der Geschwindigkeit und der Zeit bis zur Bereitstellung ab. Sicherheit war die Aufgabe der AppSec-Teams auf der anderen Seite.

Leider geht es nicht nur darum, den Gang zu wechseln und Entwickler zu bitten, plötzlich damit zu beginnen, ihre Anwendungen und Programme sicherer zu machen. Auch wenn sie bereit sind, diese Änderungen vorzunehmen, und Umfragen haben ergeben, dass viele von ihnen das tun, müssen sie dennoch geschult werden, um dies zu erreichen. Sie brauchen auch Ermutigung und Unterstützung durch das obere Management, aber sinnvolles Lernen ist der erste und oft der größte Stolperstein.

Es gibt einen Grund dafür, dass Millionen hochbezahlter, hochsicherer IT-Sicherheitspositionen weltweit nach wie vor unbesetzt sind. Wenn es einfache Arbeit wäre, würde jeder in dieses Feld springen. Es ist schwierig zu lernen, wie man Bedrohungen bekämpft und Sicherheitslücken im Code beseitigt, und die Bedrohungslandschaft ändert sich ständig. Der Versuch, selbst technisch versierten Entwicklern Cybersicherheit beizubringen, kann nicht effizient mit statischen Schulungen durchgeführt werden, die schnell abgeschlossen werden und nicht einprägsam sind und nur minimale positive Auswirkungen haben werden, insbesondere wenn diese Anforderungen zu ihren ohnehin überlasteten Terminplänen hinzugefügt werden.

Baue ein Gerüst, um höher gelegene Gebiete zu erreichen

Cybersicherheitsfähigkeiten mit traditionellen Methoden zu vermitteln, ist wie der Versuch, einen Wolkenkratzer zu bauen, ohne jemals den Fuß vom Boden zu nehmen. Das ist nicht möglich, weil die Studierenden nicht über die notwendigen Grundlagen verfügen, um die vielen übergeordneten Konzepte eines komplexen Fachgebiets wie Cybersicherheit zu beherrschen. Um dies zu kompensieren, wurde das Konzept von Lernen auf einem Gerüst kann angestellt werden.

Wenn bei der Weiterbildung ein Gerüst oder ein „mehrschichtiger“ Ansatz verwendet wird, werden größere Themen in der Regel in einzelne Lernerfahrungen oder Konzepte unterteilt. Auf diese Weise wird sichergestellt, dass die Studierenden in der Lage sind, jedes Konzept mithilfe geeigneter Übungen und Anweisungen zu beherrschen, und bietet die gesamte Unterstützung, die für jede Komponente erforderlich ist. Neuere, fortgeschrittenere Konzepte werden zusätzlich zu den bereits erlernten Konzepten geschichtet, genau wie ein physisches Gerüst gebaut wird, wenn ein Gebäude höher wird. Auf diese Weise sind die Schüler in der Lage, ein höheres Maß an Verständnis und Fertigkeiten zu erreichen, als sie es ohne Unterstützung schaffen könnten.

Und genau wie bei physischen Gerüsten wird diese Stütze schrittweise entfernt, wenn sie nicht mehr benötigt wird, sodass die Schüler mehr Verantwortung tragen, wenn sie immer kompetenter werden.

Gerüstlernen wird in erster Linie verwendet, um die negativen Emotionen und Selbstwahrnehmungen zu reduzieren, die Schüler erleben können, wenn sie frustriert, eingeschüchtert oder entmutigt werden, wenn sie eine schwierige Aufgabe ohne Hilfe lösen. Es kann aber auch von großem Wert sein, wenn es darum geht, ein extrem schwieriges Konzept wie moderne Cybersicherheit in Angriff zu nehmen. Weit davon entfernt, Entwickler wie Kinder zu behandeln, ist es ungemein hilfreich, wenn ihre Erfahrung mit dem Sicherheitsteam den gleichen Effekt haben kann, nämlich frustrierend und entmutigend, vor allem, wenn ihre harte Arbeit mit Bugfixes und einer erneuten Portion Kritik zurückgedrängt wird.

Wenn Entwicklern Tools an die Hand gegeben werden, mit denen sie die Grundlagen der sicheren Codierung verstehen können (normalerweise beginnend mit OWASP Top 10), können sie selbst sehen, wie Sicherheitslücken entstehen, warum sie gefährlich sind und wie sie behoben werden können, bevor sie in die Produktion gelangen. Von dort aus können sie ihr Wissen erweitern, indem sie komplexere Sicherheitslücken angehen und praktische Erfahrung in der Anwendung guter Fixes sammeln. Die Ebenen wachsen Stück für Stück, und wenn es dann um fortgeschrittene Sicherheitsprobleme wie unsichere Softwarearchitektur oder die Erstellung von Bedrohungsmodellen geht, scheinen diese Sprünge nicht so einschüchternd zu sein und können präzise angegangen werden.

Als Branche sollten wir niemals erwarten, dass Entwickler zu Sicherheitsexperten werden, aber Unternehmen können neue Standards für die Unterstützung von Entwicklern einführen, um qualitativ hochwertigere Software zu entwickeln. Als zusätzlicher Bonus für Unternehmen mit technischen Fähigkeiten, die sich weiterbilden, wird sich jeder Schritt auf diesem Weg oder jede Ebene des Gerüsts im Laufe des Lernens direkt in einer besseren Cybersicherheit niederschlagen. Sie müssen nicht bis zum Ende eines Kurses warten, um Ergebnisse zu sehen.

Es ist schwierig, etwas über Cybersicherheit zu lernen, und ohne die richtige Hilfe und Anleitung ist es fast unmöglich, sie zu beherrschen. Die Einführung eines Sicherheitsprogramms mit Lerngerüsten kann dabei helfen, das Beste daraus herauszuholen, wobei die Vorteile fast sofort offensichtlich werden. Verbesserungen beginnen fast sofort und werden im Laufe der Zeit immer besser.

Fangen Sie mit uns an, sicherheitsbewusste Entwickler aufzubauen. Schauen Sie sich an:

Lehrveranstaltungen
Missionen
Schulung für Entwickler

... und mehr!

Wir haben uns kürzlich sehr gefreut, den ersten zu sehen Beitrag des Forbes-Technologierats von unserem Vorsitzenden und CEO, Pieter Danhieux, live gehen. In dem Beitrag wurde detailliert beschrieben, wie die Weiterbildung von Entwicklern zur Erstellung von sichererem Code der Schlüssel zur Verhinderung von Cyberangriffen und Datenschutzverletzungen ist. Darüber hinaus wurde aufgezeigt, wie dieselben sicherheitsbewussten Entwickler dazu beitragen können, besseren, sichereren Code schneller bereitzustellen, als vielen IT-Abteilungen bewusst ist. Die Notwendigkeit dieses Ansatzes ist sicherlich überzeugend. Eine kürzlich durchgeführte Studie ergab, dass ein Cyberangriff findet jetzt alle 39 Sekunden statt, und wir alle haben die Störung gesehen, die durch nur einen erfolgreichen Ransomware-Angriff auf den Koloniale Pipeline, was im Großen und Ganzen nicht so zerstörerisch war wie die SolarWinds-Hack.

‍

Viele häufige Sicherheitslücken bestehen weiterhin, weil sich niemand die Mühe gemacht hat, Entwicklern zu zeigen, wie schlechte Codierungsmuster durch eine bessere Methode ersetzt werden können, mit der dieselben Funktionen auf sicherere und sicherere Weise ausgeführt werden können. Und die Auswirkungen der Reparatur von Software zu einem späten Zeitpunkt ihrer Entwicklung sind extrem kostspielig, sowohl was die aufgewendeten Stunden als auch die Verzögerungen bei der Bereitstellung angeht. Das Reparieren des Codes nach der Bereitstellung, insbesondere nachdem ein Angreifer eine zuvor unentdeckte Sicherheitslücke ausgenutzt hat, kann manchmal Millionen von Dollar kosten. Und dabei ist noch nicht einmal die Schädigung des Rufs eines Unternehmens nach einem schwerwiegenden Verstoß berücksichtigt.

Sicherheitsgeschulte Entwickler werden auf natürliche Weise zu besseren Programmierern. Sicherlich sollten CISOs ihre Sicherheitstools nicht so schnell aufgeben, aber wenn CISOs einen inklusiven, präventiven Sicherheitsansatz von oben verfolgen, können sie die größte Ressource ihres Unternehmens, den Faktor Mensch, nutzen, insbesondere wenn es um sichere Codierung von Anfang des Softwareentwicklungszyklus an geht.

Zu diesem Zweck sind hier die drei wichtigsten Strategien aufgeführt, die Sie berücksichtigen sollten.

1. Seien Sie proaktiv, nicht reaktiv

Unternehmen geraten oft in die Falle, reaktiv zu sein, indem sie beispielsweise auf die Aktivitäten der Konkurrenz reagieren, anstatt eine einzigartige Vision zu entwickeln und zu verfolgen. Viele verwenden diesen Ansatz auch, wenn es um Sicherheitslücken im Code geht, und nehmen Cybersicherheit nur dann ernst, wenn sie aufgrund eines erfolgreichen Verstoßes dazu gezwungen werden. Leider ist der Schaden bis dahin angerichtet. Bußgelder, Wiederherstellungskosten, Kundenfluktuation und die Wiederherstellung der Marke wirken sich allesamt negativ auf das Geschäftsergebnis aus. Eine andere Form der Reaktion statt des Handelns besteht darin, sich auf automatisches oder manuelles Codescannen zu verlassen, um Schwachstellen in vorhandenem Code zu finden, anstatt sich überhaupt darauf zu konzentrieren, sicheren Code zu erstellen. Leider ist das Scannen von Code keine perfekte Lösung. Das heißt, je mehr Sicherheitslücken der Code enthält, desto größer ist die Wahrscheinlichkeit, dass einige durchrutschen.

Nur wenn Sie einen proaktiven Ansatz verfolgen und mit Entwicklern zusammenarbeiten, um sie von Anfang an bei der Erstellung von sicherem Code zu unterstützen, können Sie einen Softwareentwicklungszyklus einrichten, der die Wahrscheinlichkeit, dass Codierungsschwachstellen für Benutzer veröffentlicht werden, erheblich reduziert.

2. Höherqualifizieren, nicht übertreiben

Sobald Sie sich entschieden haben, Entwicklern das Wissen zur Verfügung zu stellen, das sie zum Erstellen von sicherem Code benötigen, wählen Sie Ihren Ansatz mit Bedacht aus. Interne Schulungsworkshops, die das Programmieren zum Erliegen bringen, frustrieren Entwickler und Manager gleichermaßen. Offsite-Kurse, die am Abend oder am Wochenende besucht werden müssen, sind noch weniger beliebt. Der beste Ansatz besteht darin, die Programmierkenntnisse schrittweise auszubauen. Bereitstellung relevanter Informationen Schritt für Schritt während des Codierungsprozesses — im Wesentlichen Weiterqualifizierung, ohne die Entwickler wesentlich abzulenken oder den Entwicklungsprozess zu verlangsamen.

3. Anreize schaffen, nicht davon ausgehen

Entwickler sollten Sicherheitsverbesserungen nicht als Strafe oder totale Plackerei betrachten. Manager müssen Entwickler inspirieren, indem sie ihnen die wichtige Rolle vermitteln, die sicherer Code für den Erfolg des Unternehmens spielt. Es ist auch wichtig zu vermitteln, dass sichere Programmierer für das Unternehmen wertvoller sind und in Zukunft von erweiterten Karrieremöglichkeiten profitieren werden.

Die Biden-Administration ist willkommen Exekutivverordnung hat den Schwerpunkt verstärkt auf Cybersicherheit und die Notwendigkeit gelegt, „Kriterien zur Bewertung der Sicherheitspraktiken der Entwickler und Lieferanten selbst aufzunehmen und innovative Tools oder Methoden zum Nachweis der Einhaltung von Sicherheitspraktiken zu identifizieren“. Tools sind zwar unverzichtbar, reichen aber nicht aus. Kein Tool wird jemals die Fähigkeit einer Person vollständig ausschließen, die eingeführten Systeme und Tools irgendwie zu ignorieren, falsch zu verstehen, zu missbrauchen oder auf andere Weise zu umgehen. Um die Sicherheit ihrer Unternehmen zu maximieren, müssen CISOs den Faktor Mensch nutzen und Entwickler dazu ermutigen, bereitwillige Befürworter und Praktiker im Bereich Sicherheit zu werden.