Secure by Design: Best Practices und präventive Sicherheitsergebnisse

Es ist zwei Jahre her, dass die US-amerikanische Behörde für Cybersicherheit und Infrastruktursicherheit (Cybersecurity & Infrastructure Security Agency, CISA) ihre umfassenden Secure by Design-Richtlinien veröffentlicht hat – ein Wendepunkt für Softwarehersteller. Zum ersten Mal gab es sichtbare Unterstützung auf höchster Ebene für die Erhöhung der Standards für Softwarequalität und -sicherheit, mit der Forderung nach Herstellerverantwortung (im Gegensatz zur Endbenutzerverantwortung) dafür, dass der ausgelieferte Code frei von Schwachstellen ist.

Ein Konsens über die praktische Umsetzung dieser Prinzipien auf Unternehmensebene erwies sich jedoch als schwer fassbar. Unter Sicherheitsexperten scheint es keinen Konsens darüber zu geben, was Secure by Design ausmacht, geschweige denn einen Standardweg, der befolgt wird, um dies zu erreichen. Secure Code Warrior interviewte Sicherheitsexperten in Unternehmen, die sich auf die Softwareentwicklung konzentrieren, und befasste sich eingehend mit ihren aktuellen Ansätzen zu Secure-by-Design-Prinzipien, einschließlich der Frage, wie sie in ihre aktuelle Sicherheitslage und ihren Softwareentwicklungslebenszyklus (SDLC) implementiert werden. Es wurde deutlich, dass es keinen weithin akzeptierten Standard für die Umsetzung der CISA-Leitlinien gab und auch keine aktiven Benchmarks, um einen erfolgreichen Rollout zu bewerten. Dies muss schnell korrigiert werden, wenn wir als Branche von einer erhöhten Sicherheitsverantwortung und Softwarequalität profitieren wollen. 

In diesem Forschungsbericht werden die Mitbegründer von Secure Code Warrior, Pieter Danhieux und Dr. Matias Madou, Ph.D., zusammen mit den Experten Chris Inglis, ehemaliger National Cyber Director der USA (jetzt strategischer Berater der Paladin Capital Group) und Devin Lynch, Senior Director beim Paladin Global Institute, wichtige Erkenntnisse aus über zwanzig ausführlichen Interviews mit Unternehmenssicherheitsleitern, einschließlich CISOs, einem VP für Anwendungssicherheit und Softwaresicherheitsexperten, enthüllen, darunter:

• Einblicke in allgemeine Herausforderungen von Sicherheitsprogrammen, mit denen Unternehmen konfrontiert sind;
• Die Rolle von Secure-by-Design-Initiativen, einschließlich der Frage, wie diese aktiviert und auf Teams verteilt werden;
• Die Rolle von KI in der Softwareentwicklung und der modernen Bedrohungsmodellierung;
• Interpretationen von Best Practices und die Rolle, die Präzisionsdaten und Benchmarking bei einer branchenweiten Angleichung an eine tragfähige Secure-by-Design-Strategie spielen können. 

‍