Anreize für Entwickler sind der Schlüssel zu besseren Sicherheitspraktiken

Die Cyber-Bedrohungslandschaft wird von Tag zu Tag komplexer. Angreifer suchen ständig in Netzwerken nach anfälligen Anwendungen, Programmen und Cloud-Instanzen. Der neueste Schrei sind APIs, die dank ihrer oft laxen Sicherheitskontrollen als leichte Beute gelten. Sie sind so hartnäckig, dass neue Anwendungen manchmal innerhalb weniger Stunden nach der Bereitstellung kompromittiert und ausgenutzt werden können. Der Verizon 2021 Data Breach Investigations Report macht deutlich, dass die Bedrohungen für Unternehmen und Organisationen heute gefährlicher sind als je zuvor in der Geschichte.

Es wird immer deutlicher, dass die einzige Möglichkeit, die erstellte Software wirklich zu schützen, darin besteht, sicherzustellen, dass sie auf sicherem Code aufbaut. Mit anderen Worten: Der beste Weg, die Invasion der Bedrohungsakteure zu stoppen, besteht darin, ihnen von vornherein den Zugang zu Ihren Anwendungen zu verwehren. Wenn man erst einmal angefangen hat, diesen Krieg zu führen, liegen die meisten Vorteile auf der Seite der Angreifer.

Aus dieser Situation heraus entstanden zunächst die agile Entwicklung und DevOps und später die gesamte DevSecOps-Bewegung, bei der die Sicherheit eine gemeinsame Verantwortung aller am Prozess der Softwareerstellung von der Entwicklung bis zur Bereitstellung Beteiligten ist. Die Basis dieser Pyramide, und damit der wohl wichtigste Teil, sind jedoch die Entwickler. Während die meisten Entwickler ihren Teil dazu beitragen und sicheren Code schreiben wollen, unterstützen viele der Unternehmen, für die sie arbeiten, die Änderungen, die eine solch umfassende Verschiebung der Prioritäten erfordert, weniger.

Niederlage nach Plan

Viele Jahre lang wurde den Entwicklern gesagt, dass ihre Hauptaufgabe in ihren Unternehmen darin besteht, in einer schnelllebigen Umgebung, in der das Geschäft nie stillsteht und die Kunden nie schlafen, schnell Anwendungen zu entwickeln und bereitzustellen. Je schneller die Entwickler programmieren und je mehr Funktionen sie bereitstellen konnten, desto wertvoller wurden sie in ihren Leistungsbewertungen eingestuft.

Die Sicherheit war ein nachträglicher Gedanke, wenn sie überhaupt berücksichtigt wurde. Stattdessen wurde all dies den Teams für Anwendungssicherheit (AppSec) überlassen. AppSec-Teams waren bei den meisten Entwicklern unbeliebt, weil sie fertige Anwendungen oft zurück in die Entwicklung schickten, um Sicherheits-Patches anzuwenden oder Code umzuschreiben, um Schwachstellen zu beheben. Und jede Stunde, die ein Entwickler mit der Arbeit an einer bereits "fertigen" Anwendung verbrachte, war eine Stunde, die er nicht mit der Entwicklung neuer Anwendungen und Funktionen verbrachte, wodurch seine Leistung (und sein Wert in den Augen eines besonders strafenden Unternehmens) sank.

Und dann veränderte die Bedrohungslage die Bedeutung und Priorisierung der Sicherheit für die meisten Unternehmen. Laut dem jüngsten Bericht "Cost of a Data Breach Report" von IBM und dem Ponemon Institute kostet eine Verletzung der Cybersicherheit im Durchschnitt etwa 3,8 Millionen Dollar pro Vorfall, wobei dies kaum die Obergrenze darstellt. Allein ein Unternehmen erlitt nach einem Einbruch in sein Netzwerk Verluste in Höhe von 1,3 Milliarden Dollar. Die Unternehmen von heute wollen die Sicherheit, die DevSecOps bietet, belohnen aber leider nur langsam die Entwickler, die diesem Ruf folgen.

Den Entwicklungsteams einfach zu sagen, dass sie die Sicherheit berücksichtigen sollen, wird nicht funktionieren, vor allem, wenn sie immer noch Anreize allein aufgrund der Geschwindigkeit erhalten. In einem solchen System könnten Entwickler, die sich die Zeit nehmen, etwas über Sicherheit zu lernen und ihren Code zu sichern, tatsächlich bessere Leistungsbewertungen und lukrative Boni verlieren, die ihre weniger sicherheitsbewussten Kollegen weiterhin erhalten. Es ist fast so, als ob Unternehmen unwissentlich das System für ihre eigenen Sicherheitsmängel manipulieren, und das hängt mit ihrer Wahrnehmung des Entwicklungsteams zusammen. Wenn sie sie nicht als die Sicherheitsfront sehen, ist es sehr unwahrscheinlich, dass ein praktikabler Plan zur Nutzung ihrer Arbeitskräfte zum Tragen kommt.

Und dabei ist noch nicht einmal die mangelnde Ausbildung berücksichtigt. Einige sehr fähige Entwickler haben jahrzehntelange Erfahrung im Programmieren, aber sehr wenig, wenn es um Sicherheit geht... schließlich wurde das nie von ihnen verlangt. Wenn ein Unternehmen seinen qualifizierten Programmierern kein gutes Schulungsprogramm anbietet, kann es kaum erwarten, dass seine Entwickler plötzlich neue Fähigkeiten erwerben und diese sinnvoll einsetzen, um Sicherheitslücken aktiv zu verringern.

Belohnung von Entwicklern für gute Sicherheitspraktiken

Die gute Nachricht ist, dass die überwältigende Mehrheit der Entwickler ihren Job macht, weil sie ihn sowohl herausfordernd als auch lohnend finden, und weil sie den Respekt genießen, den ihre Position mit sich bringt. Michael Shpilt, der sein Leben lang professionell programmiert hat, schrieb kürzlich über all die Dinge, die ihn und seine Programmierkollegen bei ihrer Entwicklungsarbeit motivieren. Ja, er zählt die monetäre Vergütung zu diesen Anreizen, aber sie steht überraschend weit unten auf der Liste. Stattdessen gibt er dem Nervenkitzel bei der Entwicklung von etwas Neuem, dem Erlernen neuer Fähigkeiten und der Genugtuung darüber, dass seine Arbeit anderen direkt zugute kommt, den Vorrang. Er spricht auch davon, dass er sich in seinem Unternehmen und in der Gemeinschaft wertgeschätzt fühlen möchte. Kurz gesagt, Entwickler sind wie viele andere gute Menschen, die stolz auf ihre Arbeit sind.

Entwickler wie Shpilt und andere wollen nicht, dass Bedrohungsakteure ihren Code kompromittieren und ihn nutzen, um ihrem Unternehmen oder den Nutzern, denen sie eigentlich helfen wollen, zu schaden. Aber sie können ihre Prioritäten nicht plötzlich ohne Unterstützung auf die Sicherheit verlagern. Andernfalls ist es fast so, als ob das System gegen sie arbeiten würde.

Um Entwicklungsteams bei der Verbesserung ihrer Cybersicherheitsfähigkeiten zu unterstützen, müssen ihnen zunächst die erforderlichen Fähigkeiten vermittelt werden. Der Einsatz von gerüstgestütztem Lernen und Tools wie Just-in-Time (JiT)-Schulungen kann diesen Prozess sehr viel weniger schmerzhaft machen und hilft dabei, auf vorhandenem Wissen im richtigen Kontext aufzubauen. 

Das Prinzip von JiT besteht darin, dass Entwicklern das richtige Wissen zum richtigen Zeitpunkt zur Verfügung gestellt wird. Wenn ein JiT-Entwicklerschulungstool beispielsweise feststellt, dass ein Programmierer einen unsicheren Code erstellt oder versehentlich eine Schwachstelle in seine Anwendung einführt, kann es den Entwickler aktivieren und ihm zeigen, wie er das Problem beheben kann und wie er einen sichereren Code schreiben kann, um dieselbe Funktion in Zukunft auszuführen.

Wenn die Verpflichtung zur Weiterbildung besteht, müssen die alten Methoden der Bewertung von Entwicklern allein auf der Grundlage der Geschwindigkeit abgeschafft werden. Stattdessen sollten Programmierer auf der Grundlage ihrer Fähigkeit, sicheren Code zu erstellen, belohnt werden, wobei die besten Entwickler zu Sicherheits-Champions werden, die dem Rest des Teams helfen, ihre Fähigkeiten zu verbessern. Und diese Champions müssen sowohl mit Firmenprestige als auch mit einer finanziellen Entschädigung belohnt werden. Es ist auch wichtig, daran zu denken, dass Entwickler in der Regel keine positiven Erfahrungen mit Sicherheit gemacht haben. Wenn man sie mit positiven, unterhaltsamen Lernmethoden und Anreizen, die ihre Interessen ansprechen, motiviert, werden sie ihr Wissen behalten und den Wunsch verspüren, ihre Fähigkeiten weiter auszubauen.

Unternehmen können die Geschwindigkeit der Programmierung immer noch als Teil der Bewertung eines Entwicklers einbeziehen, aber mit der Erwartung, dass die Entwicklung sicherer Anwendungen etwas mehr Zeit in Anspruch nimmt, insbesondere wenn die Programmierer diese neuen Fähigkeiten erlernen.

DevSecOps kann die ultimative Verteidigung gegen die dunklen Künste einer zunehmend gefährlichen Bedrohungslandschaft sein. Vergessen Sie nur nicht, dass die Meister dieser neuen Welt, die Entwickler, die ständig neuen Code erstellen, respektiert und für ihre Arbeit entlohnt werden müssen.

Möchten Sie Ihre Sicherheitskenntnisse im Vergleich zu anderen Entwicklern auf der ganzen Welt auf die Probe stellen? Besuchen Sie Secure Code Warrior’s Devlympics 2021und du könntest einen großen Preis in unserem globalen tournaments gewinnen!