Insights from experts shaping secure development

Es scheint verblüffend, dass die meisten Entwickler, die an Code arbeiten, der kritische Infrastrukturen, Automobile, Medizintechnik und alles dazwischen antreibt, dies tun, ohne vorher ihre Sicherheitsfähigkeiten zu überprüfen. Warum müssen andererseits Entwickler mit Sicherheitskenntnissen, die wiederholt bewiesen haben, dass sie wissen, wie man Dinge sicher baut, wegen der vielen Sicherheitsschleusen in der Warteschlange mit allen anderen in der sich ständig verlangsamenden Entwicklungspipeline anstellen?

The costs for the behebung of code schwachstellen and technical debt are high and significant further the productivity of the software development teams. You experience, how the implementation an agile learning platform for secure code Developer efficient in secure coding techniques can schools, to fix security ücken faster and early in SDLC and prevent that they lead to a significant cost avoid. In diesem Blog wird beschrieben, wie Sie über die finanziellen Auswirkungen und den ROI einer agilen Lernplattform nachdenken können.

Wir haben den Abschluss unserer Serie-C-Finanzierungsrunde angekündigt und 50 Millionen US-Dollar für die nächste Phase unserer Mission gesammelt: mehr Pionierunternehmen dabei zu helfen, das Potenzial ihrer Entwicklungskohorte bei der Bekämpfung häufiger Sicherheitslücken zu nutzen.

The recently released National Cybersecurity Strategy signals the need for a seismic cultural shift for most companies, with the most glaring recommendation coming in the form of security accountability falling primarily on software vendors. This is a positive step, though it is sure to cause teething problems, especially as many organizations struggle to accurately assess their security maturity across the board, particularly among the development cohort.

Erfahren Sie, wie eine agile Lernplattform für sicheren Code in die Workflows und Tools von Entwicklern eingebettet werden kann, und beginnen Sie, eine Kultur des sicheren Code-Lernens aufzubauen.

Anfang dieses Jahres veröffentlichte der PCI Security Standards Council Version 4.0 seines Payment Card Industry Data Security Standards (PCI DSS). Zwar müssen Unternehmen erst im März 2025 die Anforderungen von 4.0 vollständig erfüllen, doch dieses Update ist das bisher umfassendste Update, das die meisten Unternehmen dazu zwingt, komplexe Sicherheitsprozesse und Elemente ihres Tech-Stacks zu überprüfen (und wahrscheinlich zu aktualisieren). Dies gilt zusätzlich zur Implementierung von rollenbasierten Schulungen zum Sicherheitsbewusstsein und regelmäßigen Schulungen zur sicheren Programmierung für Entwickler.

Erfahren Sie, wie eine agile Lernplattform für sicheren Code Entwickler weiterbildet, Risiken reduziert und technische Schulden im Laufe der Zeit verringert, indem sie im SDLC von links beginnt.

Indem wir helfen, die Verantwortlichkeiten unserer Apps und Software innerhalb einer engen Hierarchie zu definieren und diese Richtlinien mit den geringsten Rechten durchzusetzen, können wir sicherstellen, dass unsere Apps und Software auch trotz der Bedrohungslandschaft, der sie ausgesetzt sind, überleben und gedeihen.

Die nationale Cybersicherheitsstrategie von CISA ist die beste Chance, die wir haben, um die Softwarestandards allgemein zu erhöhen und endlich eine neue Ära sicherheitskompetenter Entwickler einzuleiten.

Am 20. März 2023 veröffentlichte Spring Security Advisories einen Blogbeitrag, in dem auf eine intern entdeckte Sicherheitslücke, CVE-2023-20860, verwiesen wurde. Es wurden keine detaillierten Informationen veröffentlicht, außer dass es sich um ein Problem mit der Zugriffskontrolle im Zusammenhang mit der Verwendung von `MVCMatchers` handelte. Die Spring-Entwickler haben das Problem behoben, und ein Versionsupdate wird empfohlen. Da Sicherheit unser Hauptaugenmerk bei Secure Code Warrior ist, haben wir uns entschlossen, uns eingehender mit dieser MVCRequestMatchers-Schwachstelle zu befassen und herauszufinden, wo das Kernproblem liegt.

Fragen und Antworten zu CyberNews mit Pieter Danhieux, CEO und Mitbegründer von Secure Code Warrior.

Eine der größten Lücken im Softwareentwicklungszyklus ist der Mangel an Zeit für Entwickler, um zu lernen, wie sie ihren Code von Anfang an sichern können. Entwickler verschwenden unzählige Stunden mit Nacharbeiten und Problembehebungen — was zu Kosten in Millionenhöhe an entgangenen Opportunitäten führt. Erfahren Sie, wie schnelles und sicheres Programmieren dazu beitragen kann, diese Lücken zu schließen und die Produktivität zu steigern.

Neu bei Secure Code Warrior: Erleben Sie neue Möglichkeiten, Kurse zu verwalten und zusätzliche Inhalte zu erkunden.

Das Aufkommen des aktuellen digitalen Lieblings — des Metaversums — bietet eine riesige neue Angriffsfläche sowohl für Sicherheitslücken auf Codeebene als auch für Social Engineering. Und wir sind einfach nicht auf den Kampf auf diesem neuen Spielfeld vorbereitet, das von Rauch und Spiegeln lebt.

Die Kosten für den Umgang mit unsicherem Code und den daraus resultierenden technischen Schulden sind eines der größten Hindernisse, mit denen die Technologie heute konfrontiert ist. Erfahren Sie, wie die Implementierung eines skalierbaren Sicherheitscode-Trainingsprogramms dazu beiträgt, technische Schulden zu reduzieren, indem schlechte Codierungsmuster behoben und Sicherheitslücken früh im Softwareentwicklungszyklus erkannt werden.

Die Vorstellung, was den Akt der sicheren Codierung ausmacht, steht zur Debatte. Jüngsten Untersuchungen in Zusammenarbeit mit Evans Data zufolge wurde dieses Gefühl schwarz auf weiß enthüllt. Die Umfrage State of Developer-Driven Security 2022 befasst sich mit den wichtigsten Erkenntnissen und Erfahrungen von 1200 aktiven Entwicklern und beleuchtet deren Einstellungen und Herausforderungen im Sicherheitsbereich.

Learn how Coding Labs is like a personal trainer for developers- utilizing interactive, hands-on modules and intuitive feedback within a convenient in-browser IDE to help developers go from learning to doing faster than ever before.

Diese Woche feiern wir offiziell acht Jahre Secure Code Warrior. Einerseits ist das die 350-fache Länge der Apollo-11-Mission und das Äquivalent von 45.000 Fußballspielen oder 5696 Spielen von Super Mario Odyssey bis zum Ende. Andererseits ist es nur ein Dreißigstel der Lebensdauer einer Riesenschildkröte (250 Jahre, falls Sie sich das fragen). In der Welt eines wachstumsstarken Startups ist es eine Reise mit vielen Wendungen, Lektionen und Errungenschaften, von denen viele unvorstellbar waren, als wir unseren Geschäftsplan zum ersten Mal verfassten.

Hier bei Secure Code Warrior arbeiten wir ständig an Innovationen, um Entwicklern und Unternehmen die richtigen Fähigkeiten zu vermitteln, um die sich ständig ändernden Sicherheitsherausforderungen von heute zu bewältigen. Wir haben die wichtigsten Funktionen und Updates für unsere Plattform sowie die in diesem Jahr veröffentlichten Ressourcen und Richtlinien zusammengestellt, um Ihrem Unternehmen zu Beginn des Softwareentwicklungszyklus zu helfen, Ihre Software durch entwicklerorientierte Sicherheit zu schützen.

Jeder will eine gute Rendite, wenn es darum geht, in seinen Techstack oder zusätzliche Schulungsprogramme zu investieren, aber wenn es um Sicherheit geht, muss man ein langes Spiel spielen, das über die Berechnung des einfachen ROI hinausgeht. Erfahren Sie, wie Investitionen in entwicklerorientierte Sicherheit nicht nur die Kosten für teure Sicherheitslücken, Produktivitätsverluste und angehäufte technische Schulden sparen, sondern auch eine proaktive und kostengünstige Strategie entwickeln, um der heutigen Bedrohungslandschaft immer einen Schritt voraus zu sein.

Als Reaktion auf schwerwiegende Sicherheitslücken wie die SolarWinds-Kampagne, bei der mithilfe eines Software-Aktualisierungsprozesses über 18.000 Benutzer der beliebten Orion-Managementsoftware infiziert wurden, darunter viele führende Unternehmen und Regierungsbehörden, wird zunehmend auf effektivere, von Entwicklern geleitete Sicherheitsmaßnahmen gedrängt. Unternehmen aller Größen beginnen, ihre „Software-Lieferkette“ in Frage zu stellen, und verlangen von den Entwicklern, die ihre Software entwickeln, verifizierte Sicherheitskenntnisse und Sicherheitsbewusstsein.

Jeder weiß, wie wichtig ein robuster Techstack ist. Wenn es darum geht, Sicherheitslücken im Code zu finden und zu beheben, ist es das Ziel der Integrationen von Secure Code Warrior, die durchschnittliche Zeit bis zur Behebung zu verkürzen und vertrauenswürdige, robuste Lösungen zu verwenden. Die Integration von Micro-Learning-Momenten in die Arbeitsabläufe der Entwickler ist der Schlüssel zu besserem Lernen und schnellerer Behebung.

Fast jedes Entwicklerteam führt heutzutage irgendeine Form von Compliance-Schulung durch, sei es im Rahmen eines ersten Zertifizierungsprozesses, mit dem sichergestellt wird, dass ein Unternehmen die branchenspezifischen Rahmenbedingungen oder behördlichen Vorschriften einhält, oder im Rahmen einer jährlichen Anforderung oder Überprüfung. Dies ist ein wichtiger Schritt, denn wenn ein Unternehmen grundlegende Compliance-Anforderungen nicht erfüllen kann, können seine Mitarbeiter ihre Aufgaben nicht realistisch erfüllen.

Entwickler werden keinen positiven Einfluss auf die Reduzierung von Sicherheitslücken haben, wenn sie nicht ein grundlegendes Verständnis dafür haben, wie die Sicherheitslücken funktionieren, warum sie gefährlich sind, welche Muster sie verursachen und welche Design- oder Codierungsmuster sie in einem Kontext beheben, der in ihrer Welt Sinn macht. Ein gerüsteter Ansatz ermöglicht es mehreren Wissensebenen, sich ein vollständiges Bild davon zu machen, was es heißt, sicher zu programmieren, eine Codebasis zu verteidigen und sich als sicherheitsbewusster Entwickler zu profilieren.

Die Bedeutung von Sicherheitskompetenzen von Entwicklern wird in den Gartner Cool Vendors in Software Engineering 2022 hervorgehoben. Lesen Sie mehr und erhalten Sie den vollständigen Bericht.

Die Entwickler, die die Software, Anwendungen und Programme entwickeln, die das digitale Geschäft vorantreiben, sind zum Lebenselixier vieler Unternehmen geworden. Die meisten modernen Unternehmen wären nicht in der Lage, ohne wettbewerbsfähige Anwendungen und Programme oder ohne 24-Stunden-Zugriff auf ihre Websites und andere Infrastrukturen (profitabel) zu funktionieren.

Vor Kurzem gab ein Team von Sicherheitsforschern bekannt, dass es einen fünfzehn Jahre alten Fehler in Pythons Tardatei-Extraktionsfunktion entdeckt hat. Die Sicherheitslücke wurde erstmals 2007 aufgedeckt und als CVE-2007-4559 registriert. Der offiziellen Python-Dokumentation wurde ein Hinweis hinzugefügt, aber der Fehler selbst blieb ungepatcht.

Neu bei Secure Code Warrior: Nehmen Sie an praktischen Entwicklerschulungen mit Coding Labs teil, integrieren Sie Ihr Sicherheitscode-Schulungsprogramm in ein LMS und vieles mehr.

Erfahre mehr über die Risiken, die mit fest codierten Zugangsdaten und Social Engineering verbunden sind, während wir über den jüngsten Sicherheitsvorfall von Uber sprechen und erklären, warum es für Unternehmen so wichtig ist, nach links abzuweichen und sicherzustellen, dass ihre Entwickler über bewährte Methoden zur sicheren Codierung auf dem Laufenden sind.

Softwareentwicklung ist keine Insel mehr, und wenn wir alle Aspekte des softwaregestützten Risikos berücksichtigen — von der Cloud über eingebettete Systeme in Geräten und Fahrzeugen bis hin zu unserer kritischen Infrastruktur, ganz zu schweigen von den APIs, die alles verbinden —, ist die Angriffsfläche grenzenlos und außer Kontrolle geraten.

Der Open Source Software Security Mobilization Plan ist ein positiver Schritt für entwicklerorientierte Sicherheit. Wir müssen jedoch alle Bilanz ziehen und ehrlich beurteilen, ob wir in unserer Organisation ausgereift genug sind — und ob unsere Entwicklungsteams über das richtige Maß an Sicherheitsbewusstsein und Fähigkeiten verfügen —, um die neuesten und besten Abwehrstrategien umzusetzen.

Die Bemühungen, sich nach links zu bewegen, erfordern eine kollektive, kontinuierliche Verbesserung der Sicherheitskenntnisse und -fähigkeiten innerhalb der Entwicklungsteams.

Die API-Sicherheit ist schwierig, aber mit ausreichender Schulung, Planung und einer Konzentration auf Best Practices können selbst die heimtückischsten Sicherheitslücken gemindert werden.

Simplifier and performance process with course position, early-access conversion and SAP-ABAP-training content.

Practical and effect safe coding training for ABAP Developer.

Die Sicherheitslücke Psychic Signature liegt in der Kryptowährung für ECDSA-Signaturen, die Systeme vor kritischen Aufgaben wie der Authentifizierung schützt. Hacker können mit dieser Sicherheitsanfälligkeit jede Signaturprüfung umgehen. In diesem Beitrag erklären wir, was das ist und wie man es mildern kann.

Vor Kurzem hat NGINX eine Zero-Day-Sicherheitslücke aufgedeckt. Ungefähr zur gleichen Zeit hat Microsoft eine weitere kritische Sicherheitslücke bekannt gegeben — die Windows RPC RCE-Sicherheitslücke. In diesem Beitrag erfährst du, wer von diesen beiden Problemen bedroht ist und wie wir das Risiko mindern können.

Zero-Day-Angriffe geben Entwicklern per Definition keine Zeit, um bestehende Sicherheitslücken zu finden und zu beheben, die ausgenutzt werden könnten, da der Bedrohungsakteur zuerst eingedrungen ist. The damage is applied and then is a wahnsinnig angel, both the software as also and the reputation damage of the company. Angreifer sind immer im Vorteil, und es ist entscheidend, diesen Vorteil so weit wie möglich zu schließen.

Im zweiten Jahr haben wir in Zusammenarbeit mit Evans Data Corp. eine umfassende Umfrage unter der globalen Entwickler-Community durchgeführt, die sich mit den Fähigkeiten, Wahrnehmungen und Verhaltensweisen im Zusammenhang mit sicheren Programmierpraktiken sowie deren wahrgenommenen Auswirkungen und Relevanz im Softwareentwicklungszyklus (SDLC) befasst. Die Ergebnisse waren in vielerlei Hinsicht ziemlich überraschend.

Vor Kurzem haben Spring-Bibliotheken, eine der beliebtesten Bibliotheken in der Java-Community, zwei Sicherheitslücken im Zusammenhang mit Remote Code Execution (RCE) aufgedeckt. Wir haben die bekannten Details für „Spring4Shell“ und „Spring Cloud Function“ aufgeschlüsselt, um Ihnen zu helfen, zu verstehen, ob Sie gefährdet sind und was Sie tun müssen, wenn Sie gefährdet sind.

Wenn es darum geht, Cyberkriminelle zu bekämpfen, müssen wir so nah wie möglich an ihrer Seite bleiben und ihnen mit einer präventiven Denkweise zuvorkommen. Ich denke, hier könnten sie im kommenden Jahr Wellen schlagen:

Viele Unternehmen, die in ihrem Cybersicherheitsansatz Ziele überschreiten, haben ein offizielles Security-Champion-Programm eingeführt, das wichtige Sicherheitsaufgaben — von der Zusammenarbeit zwischen Teams und allgemeinem Cheerleading bis hin zur Überwachung von Best Practices — Personen überträgt, die Eignung und Leidenschaft für eine solche Rolle zeigen.

Unsere Geburtstagsmeilensteine sind eine wunderbare Erinnerung daran, über die Früchte unserer Arbeit nachzudenken, das Team zu feiern und das kommende Jahr mit Zuversicht anzugehen. Und jetzt, sieben Jahre seit der Gründung, frage ich mich: Haben wir es geschafft? Ist das schon ein echtes Unternehmen? Natürlich sind wir erwachsen geworden, aber ich hoffe wirklich, dass wir nie das Gefühl von Neugier, Leidenschaft und Geekiness verlieren, das wir von Anfang an hatten.

Als Branche sollten wir niemals erwarten, dass Entwickler zu Sicherheitsexperten werden, aber Unternehmen können neue Standards für die Unterstützung von Entwicklern einführen, um qualitativ hochwertigere Software zu entwickeln.

Im Dezember 2021 wurde eine kritische Sicherheitslücke Log4Shell in der Java-Bibliothek Log4j aufgedeckt. In diesem Artikel unterteilen wir die Log4Shell-Sicherheitslücke in die einfachste Form, damit Sie die Grundlagen verstehen, und stellen Ihnen eine Mission vor — einen Spielplatz, auf dem Sie versuchen können, eine simulierte Website mithilfe des Wissens über diese Sicherheitsanfälligkeit auszunutzen.

Wir erhalten weder realistische Ratschläge noch die schnellsten Lösungen, um den ununterbrochenen Angriff der modernen Cybersicherheit zu bekämpfen. Natürlich ist jede Sicherheitsverletzung auf ihre Art anders, und es gibt zahlreiche Angriffsvektoren, die in anfälliger Software ausgenutzt werden können. Umsetzbare allgemeine Empfehlungen werden begrenzt sein, aber der Best-Practice-Ansatz sieht von Stunde zu Stunde fehlerhafter aus.

Die Betonung auf einen präventiven — im Gegensatz zu einem reaktiven — Ansatz wird außerhalb des Sicherheitsteams möglicherweise nicht allgemein verstanden, insbesondere wenn kein großer, schwerwiegender Sicherheitsvorfall stattgefunden hat.

Implement unit test coding guidelines uniformly and consistently

Die API-Sicherheit dem Zufall zu überlassen, ist eine todsichere Methode, um später Probleme zu verursachen, die schlimmstenfalls verheerende Folgen haben und bestenfalls frustrierende Nacharbeiten und schlechte Leistung haben.

Migrieren Sie Joda-Time auf bequeme Weise zu java.time

Es ist offensichtlich, dass Cybersicherheit wichtig ist, aber was bedeutet das eigentlich im Zusammenhang mit Lieferketten?

Entwickler sind in einer großartigen Position, um einen lukrativen Sprung in AppSec zu wagen.

Effektiv etwas über sicheres Programmieren zu lernen und dieses Wissen zu behalten, kann den Anschein erwecken, als wäre es von Natur aus schwierig, aber mit den richtigen Tools und der richtigen Kultur muss das nicht sein. Es ist jedoch nicht immer einfach, Interessenvertreter und Vorgesetzte davon zu überzeugen, in die richtige Art von Schulung zu investieren. Hier sind einige praktische Tipps, die Ihnen helfen, ihre Loyalität zu gewinnen.

Professionelle Entwickler möchten DevSecOps nutzen und sicheren Code schreiben, aber ihre Organisationen müssen diese Suchänderung unterstützen, wenn sie wollen, dass dieser Aufwand wächst.

Anfang Oktober veröffentlichte Apache Version 2.4.49, um eine Sicherheitslücke in Path Traversal und Remote Code Execution zu beheben, und dann 2.4.50, um die Tatsache zu beheben, dass der Fix unvollständig war. Wir haben eine Mission entwickelt, um die Risiken in einer realen Umgebung zu demonstrieren. Probiere es jetzt aus.

Micha Martinez ist Cybersicherheitsanalyst und Kameramann bei Nelnet. Als er mit der Erstellung eines Schulungsprogramms für Entwickler rund um sicheres Programmieren beauftragt wurde, beschritt er kreative Wege, um sein Team einzubeziehen. Wir waren so beeindruckt, wie er sein Schulungsprogramm für sicheren Code durchführt, dass wir uns mit ihm zusammengesetzt haben, um mehr zu erfahren.

Injection-Angriffe, der berüchtigte König der Sicherheitslücken (nach Kategorien), haben den ersten Platz verloren, weil die Zugriffskontrolle als schlimmste der schlimmsten Bedrohungen gilt, und Entwickler müssen dies zur Kenntnis nehmen.

Entwickler gehören neben Sicherheitskonfigurationen und Zugriffskontrolle zu denjenigen, die mit Code am nächsten kommen. Ihre Sicherheitskompetenzen müssen gefördert werden, und um die vom NIST festgelegten hohen Standards zu erreichen, könnte eine praxisorientierte Kursstruktur genau der richtige Weg sein, um das Problem anzugehen, insbesondere bei großen Entwicklungskohorten.

Ähnlich wie bei webbasierter Software, APIs und Mobilgeräten kann anfälliger Code in eingebetteten Systemen ausgenutzt werden, wenn er von einem Angreifer in freier Wildbahn entdeckt wird.

Als Experte für Anwendungssicherheit ist es Ihre Aufgabe, die Cybersicherheit der Anwendungen Ihres Unternehmens zu gewährleisten. Sie sind jedoch nicht dafür verantwortlich, den Code zu schreiben, auf dem die Anwendung ausgeführt wird. Ingenieure innerhalb des Entwicklungsteams sind es. Wie stellen Sie also sicher, dass sie diese Systeme unter Berücksichtigung der Sicherheit entwickeln?

In diesem Artikel wird ein Überblick über die Sicherung der eingebetteten Systeme gegeben. Wir beginnen mit der grundlegenden Definition und gehen dann zu den Herausforderungen im Bereich eingebetteter Sicherheit über, einigen typischen Lösungen und den fehlenden Rätseln.

In diesem Beitrag werden wir den MISRA C 2012-Standard mit C2 vergleichen und Sie durch den Umstieg auf den neuen Standard führen. Wir werden erklären, warum die Einhaltung von MISRA für den Aufbau sicherer eingebetteter Systeme erforderlich ist.

In diesem Beitrag erhalten Sie einen Überblick über die Entwicklung eingebetteter Geräte und eingebetteter Systeme.

Wir haben uns mit Larry Maccherone von Contrast Security getroffen, um zu besprechen, wie kontextuelles Lernen erfolgreich funktioniert, um Entwickler in sicherer Codierung auszubilden. Lesen Sie weiter, um zu erfahren, wie Unternehmen Entwicklern wichtige Sicherheitsschulungen anbieten, ohne ihre täglichen Aufgaben und Arbeitsabläufe zu stören.

Wir haben uns vor Kurzem sehr gefreut, dass der erste Beitrag unseres Vorsitzenden und CEO, Pieter Danhieux, im Forbes Technology Council veröffentlicht wurde. In dem Beitrag wurde detailliert beschrieben, wie die Weiterbildung von Entwicklern zur Erstellung von sichererem Code der Schlüssel zur Verhinderung von Cyberangriffen und Datenschutzverletzungen ist.

API-Sicherheit ist ein Thema, das den meisten Sicherheitsexperten nicht fern ist, und wir müssen uns mit dem Wissen ausstatten, um dagegen vorzugehen.

Die jüngste Cybersicherheitsverordnung der Biden-Administration hat die Sicherheitsbranche sicherlich zum Reden gebracht, insbesondere diejenigen, die Entwickler dafür gewinnen wollen, wie wichtig es ist, bewährte Methoden für sichere Codierung in ihrer täglichen Arbeit anzuwenden.

Wir haben uns kürzlich mit Dimitri Vanderhaeghe, Software Engineer bei Selligent Marketing Cloud, getroffen, einer hochintegrierten, KI-gestützten Omnichannel-Marketingautomatisierungsplattform, die es ambitionierten B2C-Marketern ermöglicht, jeden Moment der Interaktion mit den vernetzten Verbrauchern von heute zu maximieren. Für ein schnelllebiges B2C-Technologieunternehmen ist es von entscheidender Bedeutung, zu skalieren und den wachsenden Anforderungen seines Marktes gerecht zu werden. Ein Teil der Fähigkeit, diesen Anforderungen gerecht zu werden, ist die Betonung der Cybersicherheit und vor allem ein von Entwicklern geleitetes Programm für Sicherheitskompetenzen.

Wie ist das für eine ernüchternde Statistik? 60% der KMUs gehen innerhalb von sechs Monaten nach einem erfolgreichen Cyberangriff pleite. Große Unternehmen verlieren Millionen (oder Milliarden!) während der Ruf einer Marke ausblutet. Da Unternehmen zunehmend sichere Codierungspraktiken anwenden, findet eine „Verschiebung nach links“ statt. Mit dem Aufkommen von DevSecOps rückt der sichere Code von Beginn des SDLC an in den Mittelpunkt.

Discover more about the most loved features of Sensei.

Laut einer IBM-Studie ist es dreißigmal teurer, Sicherheitslücken nach der Veröffentlichung zu beheben, als sie zunächst zu finden und zu beheben. Vor diesem Hintergrund ist es nicht verwunderlich, dass zukunftsorientierte CIOs sichere Codierungspraktiken implementieren. Das bedeutet, dass Entwickler geschult und ausgerüstet werden müssen, um Code zu schreiben, der von Anfang an sicherer ist — und sie so zur „ersten Verteidigungslinie“ ihres Unternehmens zu machen.

Was sind die potenziellen Auswirkungen einer qualitativ hochwertigen Sicherheitscode-Schulung für Ihr Unternehmen — und könnte es eine lohnende Investition sein?

In unserer hypervernetzten Welt hat fast jedes Unternehmen eine gemeinsame Achillesferse. Eine einzige Sicherheitslücke, nur eine ausnutzbare Schwachstelle in ihrem Code, kann zum Diebstahl von Kundendaten, zu Reputationsschäden und erheblichen finanziellen Verlusten führen. Noch nie war eine organisatorische Ausrichtung auf sichere Codierung so wichtig wie heute — aber sie zu erreichen, ist leichter gesagt als getan.

Die jüngste Exekutivverordnung der US-Bundesregierung befasst sich mit vielen Aspekten der funktionalen Cybersicherheit, beschreibt aber zum ersten Mal ausdrücklich die Auswirkungen von Entwicklern und die Notwendigkeit, dass sie über verifizierte Sicherheitskenntnisse und -bewusstsein verfügen müssen.

Zurzeit sind nur 15 Prozent der Entwickler der Meinung, dass jeder für sichere Codepraktiken verantwortlich sein sollte. In einer Welt zunehmender Sicherheitsbedrohungen reicht das einfach nicht aus. Es muss etwas getan werden. Ein Schlüssel zur Schaffung einer gesunden AppSec-Kultur ist das Verständnis der wichtigsten Einflüsse (und Influencer!) im Spiel.

Wir müssen einen von Menschen geleiteten Ansatz für bewährte Cybersicherheitsmethoden stärken, und das wird zu besseren Ergebnissen führen, als wenn wir uns stark auf Automatisierung, Tools und Reaktionen auf Probleme verlassen, die bereits eingebettet und entdeckt wurden.

Unsicherer Code kostet Unternehmen Millionen — was ist also die Einführung sicherer Codierungspraktiken im Weg? In einer Welt, die fast alles auf Software angewiesen ist, ist es von wesentlicher Bedeutung, sicherzustellen, dass der Code sicher ist. The call of the market and the financial rentability has from. Aber es gibt viele Bedenken in Bezug auf sichere Codierung — und viele Hindernisse stehen ihrer vollständigen und effektiven Einführung im Weg. More as you before is an new work process required.

In den letzten Jahren wurden viele Dinge auf dem Altar der schnellen Markteinführung geopfert — Dinge wie Netzwerksicherheit, Terabyte an sensiblen Kundendaten und unbezahlbarer Markenruf.

Wenn es jemals etwas gab, das Weihnachten in der Cybersicherheitsbranche ruinieren könnte, dann ist es eine verheerende Datenschutzverletzung, die auf dem besten Weg ist, das größte Cyberspionageereignis zu werden, von dem die US-Regierung je betroffen ist.

Wenn es um sicheres Code-Training für Entwickler geht, lassen die Bildungsergebnisse zu wünschen übrig. Viele Unternehmen geben viel aus, nur um in der Praxis nur minimale Renditen zu erzielen. Und kein Wunder.

Da Datenschutzverletzungen und ihre Kosten weiter steigen, ist das Volumen des in unserer Welt produzierten Codes zu groß, als dass Sicherheitsexperten es alleine bewältigen könnten. Unternehmen benötigen Entwickler mit Fähigkeiten zur sicheren Programmierung — und Entwickler wissen, dass sie diese Fähigkeiten benötigen, um ihre Karriere voranzutreiben. Aber das aktuelle Training im Bereich Secure Code lässt sie im Stich. Was wollen Entwickler also, wenn es um sicheres Code-Training geht?

Langweilig, langweilig, langweilig! Das ist eine der wichtigsten Antworten, die Sie von Entwicklern hören werden, wenn sicheres Code-Training erwähnt wird. Wir bei Secure Code Warrior glauben, dass es einen besseren Weg geben muss.

Es gibt einige Gründe, warum AppSec-Tools nicht so verwendet werden, wie wir es vielleicht erwarten würden. Es geht weniger um die Tools und ihre Funktionalität als vielmehr darum, wie sie sich in ein Sicherheitsprogramm als Ganzes integrieren lassen.

Was sind die wichtigsten Beweggründe für Entwickler, wenn es darum geht, etwas über sichere Codierung zu lernen, und wie können sie genutzt werden, um ein erfolgreiches Anwendungssicherheitsprogramm zu entwerfen und zu implementieren?

Da die Zahl der Cyberbedrohungen weiter zunimmt, gehen Unternehmen täglich Kompromisse zwischen Sicherheit, Praktikabilität und Geschwindigkeit ein und setzen sich dabei Risiken aus.

Steigern Ihre Programmierer in einer Welt, in der sich Cyberbedrohungen weiter vermehren? Ist das menschliche Element der sicheren Codierung — der alles entscheidende Entwickler — bereit, seinen Beitrag zum Schutz unserer vernetzten Welt zu leisten? Um diese Frage zu beantworten, schauen wir uns einige Erkenntnisse aus einer kürzlich von Secure Code Warrior in Zusammenarbeit mit Evans Data Corp. durchgeführten Studie über die Einstellung von Entwicklern zu sicherer Codierung, sicheren Codepraktiken und Sicherheitsoperationen an.

Dieselben 10 Software-Sicherheitslücken haben in den letzten über 20 Jahren zu mehr Sicherheitslücken geführt als alle anderen. Dennoch entscheiden sich viele Unternehmen immer noch für die Behebung von Sicherheitslücken nach Sicherheitslücken und nach einem Ereignis. Sie wursteln sich durch die menschlichen und geschäftlichen Auswirkungen des Ganzen. Doch jetzt weist eine neue Forschungsstudie auf eine neue, von Menschen geleitete Richtung hin.

Es ist der 22. Geburtstag von SQL Injection, und obwohl diese Sicherheitslücke alt genug ist, um sie zu trinken, lassen wir uns von ihr überwältigen, anstatt sie endgültig zu zerquetschen.

Discover the latest improvements to the user experience of Sensei, Secure Code Warrior's IntelliJ plugin and start writing quality code even faster.

Eine Beziehung, die auf den wackeligen Fundamenten des Misstrauens aufgebaut ist, naja, lässt sich am besten mit niedrigen Erwartungen angehen. Leider kann dies der Stand der Arbeitsbeziehung zwischen Entwicklern und dem AppSec-Team innerhalb einer Organisation sein.

Ein lustiges kleines Java-Gotchas-Quiz und ein unterstützendes Github-Repo, das einige Fallstricke zeigt und wie man sie behebt

Erfahren Sie, wie Sie Sensei- und IntelliJ Intention-Aktionen im Batch-Modus als Inspektionen innerhalb der IDE, über die Befehlszeile und in Continuous Integration ausführen.

Code mit einem bestimmten Qualitätsniveau ist per Definition auch sicher, aber jeder sichere Code ist nicht unbedingt von guter Qualität. Ist das Starten von „links von links“ die Formel, um reine sichere Codierungsstandards zu gewährleisten?

In diesem Blogbeitrag werfen wir einen Blick auf einen häufigen Java-Codierungsfehler (Verwendung eines bitweisen Operators anstelle eines bedingten Operators), den Fehler, für den unser Code anfällig ist, und wie wir Sensei verwenden können, um das Problem zu beheben und zu erkennen.

Die Wettbewerbsbedingungen zwischen Helden und Bösewichten in der Cybersicherheit sind bekanntermaßen unfair. Sensible Daten sind das neue Gold, und Angreifer passen sich schnell an, um Abwehrmaßnahmen zu umgehen, und nutzen große und kleine Sicherheitslücken für potenzielle Gehälter aus.

Erfahren Sie anhand von Beispielen für 5 IDE-basierte Ansätze und Plugins mehr über die statische Analyse und wie sie Ihnen helfen kann, besseren Code zu schreiben.

Es ist diese besondere Zeit des Jahres (jedenfalls für uns), in der ich über unsere letzte Runde um die Sonne nachdenke und darüber, was in den letzten 365 Tagen getan wurde, um uns für ein neues Jahr voller Wachstum, Lektionen und unvermeidlicher Unvorhersehbarkeit zu rüsten.

Kamer van Koophandel shares how it embedded secure coding into everyday development through role-based certifications, Trust Score benchmarking, and a culture of shared security ownership.

See how Paysafe's partnership with Secure Code Warrior led to a 45% boost in developer productivity and a major reduction in code vulnerabilities.

DigitalOcean's use of Secure Code Warrior training has significantly reduced security debt, allowing teams to focus more on innovation and productivity. The improved security has strengthened their product quality and competitive edge. Looking ahead, the SCW Trust Score will help them further enhance security practices and continue driving innovation.

Explore the Devlympics 2023 results in this report. Dive into developer engagement, tech stack and languages trends in each industry that participated, and key vulnerabilities and CWEs covered in the annual global event hosted by Secure Code Warrior.

Discover how Sage enhanced security with a flexible, relationship-focused approach, creating 200+ security champions and achieving measurable risk reduction.

Discover how Workday transformed developer training with agile learning through Secure Code Warrior. By empowering developer with hands-on, language-specific education, Workday reduced vulnerabilities early in the SDLC. See their impressive results and key takeaways to build a secure code culture.

In this case study, learn how Thales has developed people, process, and technology approaches for an agile secure code learning program in order to engage developers to become active security champions.

Discover how retail giant Colgate-Palmolive reshaped its application security during its digital transformation journey. Facing challenges in secure coding, they innovated their approach by integrating bite-sized, in-context learning into the developer workflow.

Learn how Blue Prism, the global leader in intelligent automation for the enterprise, used Secure Code Warrior's agile learning platform to create a security-first culture with their developers, achieve their business goals, and ship secure code at speed

IAG Group is the name behind many of the leading insurancecompanies in the Asia-Pacific region, underwriting policies formillions of customers to the tune of approximately AUD $11.4 Billionin premiums per annum.

Learn how they created an in-house technology education initiative, aimed at supporting thousands of employees to learn practical, cutting-edge skills in a number of disciplines, including machine learning and cybersecurity.

Explore this comprehensive case study to learn more about how they utilized Secure Code Warrior's tournaments to engage developers, increase awareness of key vulnerabilities affecting automotive software, and gain metrics across multiple languages and frameworks.

​The cybersecurity industry, which has been advocating for “security by design” principles for more than a decade, stands in wide-eyed amazement at the risks posed by artificial intelligence (AI). As organizations rush to embrace AI enablement, a CISO’s most pressing priority is to avoid becoming a roadblock. However, without effective AI usage and governance, observability and traceability, organizations may be blindsided by their AI risk.​

Secure Code Warrior has introduced the SCW AI Adoption Model, a framework designed to help organisations govern AI use in software development as the industry shifts from the traditional software development lifecycle (SDLC) toward what the company calls the Agentic Development Lifecycle (ADLC).

With many software engineering teams moving from AI coding assistants into full agentic AI code generation and increasing the amount of code they produce exponentially, ensuring the security of that code must be a top priority. The study produces practical guidance for organizations that are getting on board the AI-assisted or agentic code development train.

Token use can create unexpected, sizeable costs for organizations.

AI enables faster development cycles and allows developers to focus on higher-value work. For many businesses, these efficiencies are becoming essential to remaining competitive. The challenge, therefore, is not whether to adopt AI, but how to do so responsibly. Businesses that invest in developer education, governance frameworks, AI observability and robust security controls will be better positioned to capture the benefits while limiting the associated risks.

The issue is no longer simply about protecting AI models themselves. Increasingly, attackers are focusing on the software ecosystem surrounding those models, including the development tools, middleware, open-source libraries, and automated deployment pipelines that organisations rely upon every day.

As we will unpack together, there is a lot of movement around the world, with some collaboration between nations, but the path forward is far from uniform or clear, particularly in business environments where AI adoption is often mandated before holistic safeguarding measures are in place.  

According to one expert, AI guardrails are not designed as “security boundaries” but rather to influence behaviour – but what if that behaviour is hacking one of your industry partners?

‍

Cyber security experts have warned that the breach of Hugging Face infrastructure during an OpenAI security evaluation marks a turning point in the risks posed by autonomous AI agents. In the incident, AI models moved beyond a controlled test and carried out a live, multi-stage intrusion against the AI platform.

AI-generated code introduces an average of 15 confirmed vulnerabilities per codebase, research published by Secure Code Warrior indicates.

Frontier AI is facing a PR crisis. After Hugging Face released a blog post on July 16 claiming an autonomous agent had breached its internal environment, OpenAI posted on July 21 that the incident occurred when GPT 5.6 Sol and a “pre-release model” escaped a controlled testing environment.

Secure Code Warrior research reveals AI-generated code introduces an average of 15 vulnerabilities per codebase.

‍

Secure Code Warrior introduced the SCW AI Trust Index, a living benchmark for AI coding security that grows with every new model, helping organizations understand and govern the security risks introduced by AI-generated code. Built on a methodology created with RMIT University, Australia, then extended by Secure Code Warrior, the research presents comprehensive benchmarks on how often leading LLMs produce insecure code, with material implications for every enterprise scaling AI-assisted development.

AI-generated code introduces 15 vulnerabilities on average per codebase, but the actual risk depends on framework pairing more than the model used.

New SCW AI Trust Index shows AI-generated coding risk is not random, it's predictable by model and framework, giving security leaders the data to safely scale AI-assisted development.

The challenges with AI implementation, constant updates, and the race for industry dominance are coming thick and fast, and security professionals are among the most affected by its vast risk profile.

The Australian government has said AI is very much in the country’s future national interest – but where does it stand today? Here’s what the industry’s best and brightest have to say about artificial intelligence and its role in the modern enterprise.

‍

The emergence of agentic AI marks a structural shift in software development, introducing systems that not only accelerate production cycles but also perform autonomous reasoning and action beyond direct human control.

As AI-generated code becomes commonplace, CISOs need new audit strategies to measure developer practices, govern AI tool usage, and identify software risks before they reach production.

This category has taken on new urgency in 2026 for a reason that’s specific to this moment: AI coding tools and agents are dramatically increasing how much code gets written and how often it needs to be deployed, tested, and provisioned for. Platform engineering is the layer that determines whether that increased velocity translates into shipped value or into chaos.

According to a recent report from Gartner, the rampant use of shadow AI and rogue automation is further fueling the proliferation of AI vulnerabilities. Gartner notes that 32% of IT workers using generative AI tools at work say they keep them hidden from cybersecurity teams. Combined with low-code/no-code platforms and vibe coding practices, the AI copilots are greatly expanding the enterprise attack surface.

For this article, we asked a central question for security and risk leaders: "What differentiates a policy that genuinely mitigates enterprise risk from one that exists primarily to demonstrate that the organization has acknowledged AI risk?"

Secure Code Warrior's Pieter Danhieux on Managing AI-Driven Development Risks

As generative AI cements its place in enterprise software development, a familiar discipline is taking on new urgency: risk management.

Secure Code Warrior have today announced SCW Trust Agent: AI, the industry’s first governance solution designed to make Artificial Intelligence (AI) influence in software development visible, attributable, and enforceable at the point of commit — enabling enterprises to scale AI coding tools with measurable control over software risk.

Even as we restructure the SDLC around the most impactful elements of the Agile methodology with careful, DevSecOps-centric security considerations, is this the end of the road for AppSec as we know it?

Global InfoSec Awards 2026 Secure Code Warrior Wins Outstanding Achievement in Cybersecurity Risk Management and Compliance Excellence

New AI Software Governance solution makes AI-generated code visible at commit, enforces policy before production, and connects real development behavior to measurable risk reduction.

Secure Code Warrior (SCW) this week added an artificial intelligence (AI) agent that both identifies code generated by an AI coding tool and automatically applies the appropriate governance policies.

Secure Code Warrior has launched SCW Trust Agent: AI, a software governance product that tracks the use of AI coding tools in development and links that usage to software risk when developers commit code.

2026 Globee® Awards for Cybersecurity: Secure Code Warrior Wins Gold Globee for Software Development Cybersecurity Solutions (Best Of)

Secure Code Warrior announced SCW Trust Agent: AI, a governance solution designed to make AI influence in software development visible, attributable, and enforceable at the point of commit — enabling enterprises to scale AI coding tools with measurable control over software risk.

Secure Code Warrior today announced SCW Trust Agent: AI, the industry’s first governance solution designed to make AI influence in software development visible, attributable, and enforceable at the point of commit — enabling enterprises to scale AI coding tools with measurable control over software risk. For the first time, organizations can trace which AI models influenced specific commits, correlate that influence to vulnerability exposure, and take corrective action before insecure code reaches production.

Secure Code Warrior has announced SCW Trust Agent: AI, a governance solution designed to make AI influence in software development visible, attributable, and enforceable at the point of commit, enabling enterprises to scale AI coding tools with measurable control over software risk. Organizations can trace which AI models influenced specific commits, correlate that influence with vulnerability exposure, and take corrective action before insecure code reaches production.

New AI Software Governance solution makes AI-generated code visible at commit, enforces policy before production, and connects real development behavior to measurable risk reduction.

Developers have long struggled to truly claim a seat at the table in traditional threat modeling programs, but with the right skills, they have the opportunity to wield AI responsibly to seriously cut risk and rework in their codebase.

AI-generated code may be “made by machine”, but taking a cookie-cutter approach to securing that code would fall well short of mitigating the vulnerabilities LLMs can introduce. Organizations need to establish precise security reviews, with human developers anchoring the process to implement effective security controls while also managing the specific coding temperament of each LLM used. AI-generated code must undergo the same personalized risk assessments as code written by human developers.

s artificial intelligence (AI) tools become more widely used in the software development process, their impact on security is becoming clearer. According to recent research, nearly 70% of organisations have discovered vulnerabilities caused by AI tools while one in five have experienced a serious incident as a result of those vulnerabilities.

According to research company Forrester[1], the tech debt for 75% of organisations will increase to a moderate or high level during this year, due to the rapid expansion of AI usage across a range of areas including software development.

While it’s early into 2026, we’re seeing new research that reveals the extent of cyber risks caused by artificial intelligence (AI)-assisted software development: Nearly 7 in 10 organizations have discovered vulnerabilities introduced by AI-generated code, and 1 in 5 have suffered a serious incident tied directly to the vulnerabilities.

Artificial intelligence (AI) has rapidly become indispensable to modern software development. From large language models that generate code on demand to agentic systems that automate entire workflows, AI tools promise dramatic gains in productivity and efficiency.

Developers must view AI as a collaborator to be closely monitored, rather than an autonomous entity to be unleashed. Without such a mindset, crippling tech debt is inevitable.

From technical compromise to AI-driven attacks, cyber criminals increasingly see software developers as prime targets, creating systemic risks CISOs must address.

It’s Online Privacy Week, a time of year where individuals and organisations are all reminded to check their digital footprint(s). Some might say that’s a futile gesture at a time where major social media and marketing players know absolutely everything about you and are cheerfully selling all that data to anyone who’ll buy it; when Microsoft is performing every trick in the book to get Windows users to put all their data in the cloud where it’s available for government agencies to snoop upon without letting you know; when a personal computer crisis means many people will be moved on to dumb-client computing landscape where everything from data storage to major processing tasks will be taking place in the cloud; and when people think that clicking ‘Accept’ on website pop-ups does something that meaningfully protects them. But, what do the experts say?

Technology and data specialists have warned that artificial intelligence and weak data governance are sharpening privacy risks for organisations, as businesses mark World Data Privacy Day.

“Data Privacy Week" presents a great reminder for organisations to reassess their customer privacy policies and prioritise transparent data collection in their marketing strategies.

Five leading cybersecurity experts warn AI is being integrated faster than security policies can manage the risk, creating urgent privacy gaps for SMEs ahead of Data Protection Day on 28 January.