Vertrauen aufbauen: Der Weg zu echter Sicherheitssynergie zwischen AppSec und Entwicklern

Eine Version dieses Artikels erschien im Cyber Defense Magazin. Er wurde aktualisiert und hier syndiziert.

Eine Beziehung, die auf einem wackeligen Fundament des Misstrauens aufgebaut ist, geht man am besten mit niedrigen Erwartungen an. Traurigerweise kann dies der Zustand der Arbeitsbeziehung zwischen Entwicklern und dem AppSec-Team innerhalb einer Organisation sein. In der Regel frostig und von der Tendenz geprägt, sich gegenseitig in die Quere zu kommen, ist die Situation nicht ideal und führt zu schlechten Ergebnissen in einer Welt hochriskanter Abhängigkeiten von Technologie.

Entwickler blühen auf, wenn sie Probleme lösen, Funktionen erstellen und bei ihrer Arbeit Kreativität zeigen. AppSec hingegen hat die wenig beneidenswerte Aufgabe, Sicherheitslücken in ihrem Code zu finden, diese zu beheben und Audits und Berichte zu erstellen, die den Glanz der Lieblingsprojekte der Entwickler verderben. Es ist nicht fair, die Schuld allein den Entwicklern zuzuschieben - Sicherheit ist nicht ihre Priorität oder Teil ihrer KPIs - noch kann das überlastete AppSec-Team dafür bestraft werden, dass es einfach nur seinen Job macht. Um jedoch Best Practices für die Cybersicherheit und bessere Sicherheitsergebnisse auf Unternehmensebene zu erreichen, müssen sie wirklich anfangen, nett zu spielen.

Und alles beginnt mit Vertrauen.

Das "Bösewicht"-Image von AppSec steht der DevSecOps-Harmonie im Weg.

Wenn Sie nur dann mit jemandem interagieren, wenn er Sie darauf hinweist, wo Sie etwas falsch gemacht haben, stehen die Chancen gut, dass sein Beitrag nicht wohlwollend betrachtet wird.

Selten gesehen, außer wenn es ein Problem gibt, neigen die negativen Konnotationen der Präsenz des Sicherheitsteams dazu, einige Reibungen zu verursachen. Die Beziehung ist schon seit geraumer Zeit zerrüttet, da die Entwickler das AppSec-Team als Blockierer ihrer Kreativität, ihrer Prozesse und der pünktlichen Auslieferung von Funktionen sehen, während AppSec sehr müde wird, ständig auf häufige Sicherheitsfehler hinzuweisen, die schon seit Jahrzehnten existieren (ebenso wie ihre Abhilfe).

Mit zunehmend unmöglichen Terminen, unterfinanzierten Teams und dem starken Wunsch, Nacharbeiten zu vermeiden, warteten Entwickler oft bis zum letztmöglichen Moment, um ihren Code auszuliefern, wodurch das Zeitfenster für die Überprüfung und das Eingreifen von AppSec so klein wie möglich wurde. Ein dysfunktionaler Prozess, der inakzeptable Auswirkungen hat und das Cybersicherheitsrisiko für das Unternehmen erhöht.

Für Sicherheitsspezialisten gilt: "Don't shoot the messenger" - schließlich ist es ihr Job, Bugs zu finden und zu melden, damit sie behoben werden können - nichts Persönliches. Der Knackpunkt ist, dass sie oft Empfehlungen aussprechen, die nicht zum Technologie-Stack des Unternehmens passen und daher im Gesamtbild der internen Softwareentwicklung als wenig hilfreich angesehen werden können.

Die Vorstellung von AppSec als Bösewicht ist für die meisten Entwicklungsmethodiken kontraintuitiv, aber für DevSecOps ist es eine Katastrophe. Der Goldstandard hat sich weit über Wasserfall, Agile und sogar DevOps hinaus entwickelt, hin zu einem Prozess, der Sicherheit als eine gemeinsame Verantwortung von Beginn des SDLC als entscheidend ansieht.

Damit DevSecOps funktioniert, müssen Softwareingenieure einen Grund haben, sich für Sicherheit zu interessieren, und zwar indem sie verstehen, warum es für sie so wichtig ist, ihren Teil zur Sicherung der Software in der Welt beizutragen. Sicherheitsspezialisten, die sich die Mühe machen, den Olivenzweig auszustrecken, mit Entwicklungsmanagern zusammenzuarbeiten, um die Bedürfnisse des Teams zu erfüllen, und mehr eine Mentorenrolle bei der Förderung des Sicherheitsbewusstseins zu übernehmen, sehen in der Regel langfristige Vorteile aus ihren Bemühungen ... und sie verbringen etwas weniger Zeit damit, sich über einen weiteren XSS-Fehler die Haare auszureißen.

Entwickler müssen in die Lage versetzt werden, bessere sichere Kodierungsergebnisse zu erzielen.

Wenn es darum geht, während des Studiums sicheres Programmieren zu lernen, ist es für viele Ingenieure nicht existent. Und das liegt nicht daran, dass sie alle damit beschäftigt waren, Bierpong und WoW zu spielen - es ist einfach nicht Teil der meisten Informatik- und IT-Abschlüsse.

Aus diesem Grund ist das Training am Arbeitsplatz oft der erste Kontakt, den ein Entwickler mit der Kunst der Softwaresicherheit hat, und es setzt selten seine Welt in Brand. Stundenlange, langweilige Videos sind eine gängige Schulungsmethode, ebenso wie "Tick-the-Box"-Compliance-Übungen, die viel zu selten stattfinden, um einen wirklichen Einfluss darauf zu haben, Entwicklern beizubringen, wie man sicher programmiert, oder um Fortschritte bei der Verringerung häufiger Schwachstellen in der Software eines Unternehmens zu erzielen.

Sowohl das AppSec-Team als auch die Entwickler sind wahnsinnig beschäftigt, daher sollte jede Schulung sinnvoll, ansprechend und praxisorientiert sein. Da wir aus der Entwicklung kommen, lieben wir es, Probleme zu lösen und uns mit den Tools zu beschäftigen. Daher gehen die meisten statischen Schulungen einfach an uns vorbei, während wir uns auf etwas Dringenderes (oder, seien wir ehrlich, Interessanteres) konzentrieren.

AppSec-Spezialisten befinden sich in einer einflussreichen Position und können eine langfristige Win-Win-Situation schaffen, indem sie sich für die Interessen der Entwickler einsetzen. Die Suche nach praktikablen Schulungen, die arbeitsrelevant sind und in ihren bevorzugten Sprachen und Frameworks angeboten werden, ist ein großer Schritt in Richtung einer positiven Sicherheitskultur innerhalb einer Organisation. Wir haben jahrzehntelang das Gleiche versucht, und es ist klar, dass der Schulungsansatz "eine Größe passt für alle" nicht funktioniert. Indem wir Entwicklern die richtigen Tools und das richtige Wissen zur Verfügung stellen, können sie sich erfolgreich in sicherer Programmierung weiterbilden, mit einem erhöhten Sicherheitsbewusstsein handeln und einen höheren Standard an Code produzieren.

Die Bemühungen, sich auf die gleiche Seite zu begeben, müssen von beiden Seiten kommen.

Es ist leicht, dass Menschen mit unterschiedlichen Zielen einander missverstehen oder schlimmstenfalls misstrauisch werden. AppSec hat das Ziel, mit dem Ansturm von Code Schritt zu halten, der produziert wird, und Sicherheitsprobleme zu finden, die zu Datenkompromittierung, unbefugtem Zugriff und bösartigen Angriffen führen können, die das Potenzial haben, die positive Kundenstimmung auf Jahre hinaus zu zerstören.

Entwickler bauen unter anderem Funktionen nach Zeitplan. Sie haben die Aufgabe, Software funktional und schön zu gestalten und einzigartige digitale Erlebnisse zu schaffen, die die Kunden an sich binden. Sie haben bereits viel zu tun, und wenn man ihnen dann noch die Verantwortung für die Sicherheit aufbürdet, ist das eine entmutigende Aussicht. Es wird als das Problem von AppSec angesehen, den Code abzusichern, und während das in den 90er Jahren einigermaßen machbar war (Sie wissen schon, bevor unsere Autos gehackt werden konnten und unser gesamtes Leben in einem Taschen-Supercomputer namens Smartphone mit sich herumgetragen wurde), gibt es heute einfach zu viel Code und nicht genug Leute, die ihn durch den Sicherheitsspießrutenlauf führen.

Mit einer gesunden Portion Einfühlungsvermögen und der Befähigung, Sicherheit von Beginn des Softwareerstellungsprozesses an zu einer Priorität zu machen, können AppSec und Entwickler Wege sehen, ihre Ziele aufeinander abzustimmen. Schließlich hängt eine positive Sicherheitskultur davon ab, und sicherheitsbewusste Entwickler sind die geheime Zutat, um gängige Schwachstellen zu stoppen, selbst bei einem immer größer werdenden Mangel an Cybersecurity-Fachkräften.

Gegenseitiger Respekt vor der Zeit hat immense Vorteile.

Wie ich schon sagte, ist jeder superbeschäftigt, wenn es darum geht, Magie (a.k.a. erstaunliche Software) zu erschaffen. Entwickler brauchen eine zugewiesene Arbeitszeit, um praktikable, praxisnahe Schulungen zu absolvieren, die ihre sicheren Programmierfähigkeiten ausbauen, und jedes Schulungsprogramm sollte von vornherein hyperrelevant sein.

AppSec vergeudet seine Zeit damit, immer wieder die gleichen OWASP Top 10 Schwachstellen zu beheben, und Entwickler lassen ihre Zeit mit Übungen verplempern, die wenig motivierend sind und die Vorstellung in ihren Köpfen verstärken, dass Sicherheit eine lästige Pflicht ist.

Kuratierte Lernerfahrungen sind von entscheidender Bedeutung und helfen dabei, durch kontextbezogene, mundgerechte Bereitstellung relevanter Schulungen, genau in dem Moment, in dem sie benötigt werden, auf den Punkt zu kommen.

Durch die Erstellung eines benutzerdefinierten Kurses zur sicheren Programmierung, der auf die gewünschten Ergebnisse und internen Lernpfade zugeschnitten ist, werden die Zeit und der Arbeitsablauf des Entwicklers respektiert, während gleichzeitig auf eine messbare Reduzierung von Schwachstellen und Cybersicherheitsrisiken für das Unternehmen hingearbeitet wird. Es ist ein schneller Sieg in dem Bestreben, weiche Rivalitäten zu beenden und in den wilden Westen der Cybersicherheit als eine vereinte Front vorzustoßen.

Die neueste kontextbezogene Lernfunktion vonSecure Code Warrior, Coursesist jetzt verfügbar.

‍