Anreize für Entwickler sind der Schlüssel zu besseren Sicherheitspraktiken
Die Cyber-Bedrohungslandschaft wird von Tag zu Tag komplexer. Angreifer suchen ständig in Netzwerken nach anfälligen Anwendungen, Programmen und Cloud-Instanzen. Der neueste Schrei sind APIs, die dank ihrer oft laxen Sicherheitskontrollen als leichte Beute gelten. Sie sind so hartnäckig, dass neue Anwendungen manchmal innerhalb weniger Stunden nach der Bereitstellung kompromittiert und ausgenutzt werden können. Der Verizon 2021 Data Breach Investigations Report macht deutlich, dass die Bedrohungen für Unternehmen und Organisationen heute gefährlicher sind als je zuvor in der Geschichte.
Es wird immer deutlicher, dass die einzige Möglichkeit, die erstellte Software wirklich zu schützen, darin besteht, sicherzustellen, dass sie auf sicherem Code aufbaut. Mit anderen Worten: Der beste Weg, die Invasion der Bedrohungsakteure zu stoppen, besteht darin, ihnen von vornherein den Zugang zu Ihren Anwendungen zu verwehren. Wenn man erst einmal angefangen hat, diesen Krieg zu führen, liegen die meisten Vorteile auf der Seite der Angreifer.
Aus dieser Situation heraus entstanden zunächst die agile Entwicklung und DevOps und später die gesamte DevSecOps-Bewegung, bei der die Sicherheit eine gemeinsame Verantwortung aller am Prozess der Softwareerstellung von der Entwicklung bis zur Bereitstellung Beteiligten ist. Die Basis dieser Pyramide, und damit der wohl wichtigste Teil, sind jedoch die Entwickler. Während die meisten Entwickler ihren Teil dazu beitragen und sicheren Code schreiben wollen, unterstützen viele der Unternehmen, für die sie arbeiten, die Änderungen, die eine solch umfassende Verschiebung der Prioritäten erfordert, weniger.
Niederlage nach Plan
Viele Jahre lang wurde den Entwicklern gesagt, dass ihre Hauptaufgabe in ihren Unternehmen darin besteht, in einer schnelllebigen Umgebung, in der das Geschäft nie stillsteht und die Kunden nie schlafen, schnell Anwendungen zu entwickeln und bereitzustellen. Je schneller die Entwickler programmieren und je mehr Funktionen sie bereitstellen konnten, desto wertvoller wurden sie in ihren Leistungsbewertungen eingestuft.
Die Sicherheit war ein nachträglicher Gedanke, wenn sie überhaupt berücksichtigt wurde. Stattdessen wurde all dies den Teams für Anwendungssicherheit (AppSec) überlassen. AppSec-Teams waren bei den meisten Entwicklern unbeliebt, weil sie fertige Anwendungen oft zurück in die Entwicklung schickten, um Sicherheits-Patches anzuwenden oder Code umzuschreiben, um Schwachstellen zu beheben. Und jede Stunde, die ein Entwickler mit der Arbeit an einer bereits "fertigen" Anwendung verbrachte, war eine Stunde, die er nicht mit der Entwicklung neuer Anwendungen und Funktionen verbrachte, wodurch seine Leistung (und sein Wert in den Augen eines besonders strafenden Unternehmens) sank.
Und dann veränderte die Bedrohungslage die Bedeutung und Priorisierung der Sicherheit für die meisten Unternehmen. Laut dem jüngsten Bericht "Cost of a Data Breach Report" von IBM und dem Ponemon Institute kostet eine Verletzung der Cybersicherheit im Durchschnitt etwa 3,8 Millionen Dollar pro Vorfall, wobei dies kaum die Obergrenze darstellt. Allein ein Unternehmen erlitt nach einem Einbruch in sein Netzwerk Verluste in Höhe von 1,3 Milliarden Dollar. Die Unternehmen von heute wollen die Sicherheit, die DevSecOps bietet, belohnen aber leider nur langsam die Entwickler, die diesem Ruf folgen.
Den Entwicklungsteams einfach zu sagen, dass sie die Sicherheit berücksichtigen sollen, wird nicht funktionieren, vor allem, wenn sie immer noch Anreize allein aufgrund der Geschwindigkeit erhalten. In einem solchen System könnten Entwickler, die sich die Zeit nehmen, etwas über Sicherheit zu lernen und ihren Code zu sichern, tatsächlich bessere Leistungsbewertungen und lukrative Boni verlieren, die ihre weniger sicherheitsbewussten Kollegen weiterhin erhalten. Es ist fast so, als ob Unternehmen unwissentlich das System für ihre eigenen Sicherheitsmängel manipulieren, und das hängt mit ihrer Wahrnehmung des Entwicklungsteams zusammen. Wenn sie sie nicht als die Sicherheitsfront sehen, ist es sehr unwahrscheinlich, dass ein praktikabler Plan zur Nutzung ihrer Arbeitskräfte zum Tragen kommt.
Und dabei ist noch nicht einmal die mangelnde Ausbildung berücksichtigt. Einige sehr fähige Entwickler haben jahrzehntelange Erfahrung im Programmieren, aber sehr wenig, wenn es um Sicherheit geht... schließlich wurde das nie von ihnen verlangt. Wenn ein Unternehmen seinen qualifizierten Programmierern kein gutes Schulungsprogramm anbietet, kann es kaum erwarten, dass seine Entwickler plötzlich neue Fähigkeiten erwerben und diese sinnvoll einsetzen, um Sicherheitslücken aktiv zu verringern.
Belohnung von Entwicklern für gute Sicherheitspraktiken
Die gute Nachricht ist, dass die überwältigende Mehrheit der Entwickler ihren Job macht, weil sie ihn sowohl herausfordernd als auch lohnend finden, und weil sie den Respekt genießen, den ihre Position mit sich bringt. Michael Shpilt, der sein Leben lang professionell programmiert hat, schrieb kürzlich über all die Dinge, die ihn und seine Programmierkollegen bei ihrer Entwicklungsarbeit motivieren. Ja, er zählt die monetäre Vergütung zu diesen Anreizen, aber sie steht überraschend weit unten auf der Liste. Stattdessen gibt er dem Nervenkitzel bei der Entwicklung von etwas Neuem, dem Erlernen neuer Fähigkeiten und der Genugtuung darüber, dass seine Arbeit anderen direkt zugute kommt, den Vorrang. Er spricht auch davon, dass er sich in seinem Unternehmen und in der Gemeinschaft wertgeschätzt fühlen möchte. Kurz gesagt, Entwickler sind wie viele andere gute Menschen, die stolz auf ihre Arbeit sind.
Entwickler wie Shpilt und andere wollen nicht, dass Bedrohungsakteure ihren Code kompromittieren und ihn nutzen, um ihrem Unternehmen oder den Nutzern, denen sie eigentlich helfen wollen, zu schaden. Aber sie können ihre Prioritäten nicht plötzlich ohne Unterstützung auf die Sicherheit verlagern. Andernfalls ist es fast so, als ob das System gegen sie arbeiten würde.
Um Entwicklungsteams bei der Verbesserung ihrer Cybersicherheitsfähigkeiten zu unterstützen, müssen ihnen zunächst die erforderlichen Fähigkeiten vermittelt werden. Der Einsatz von gerüstgestütztem Lernen und Tools wie Just-in-Time (JiT)-Schulungen kann diesen Prozess sehr viel weniger schmerzhaft machen und hilft dabei, auf vorhandenem Wissen im richtigen Kontext aufzubauen.
Das Prinzip von JiT besteht darin, dass Entwicklern das richtige Wissen zum richtigen Zeitpunkt zur Verfügung gestellt wird. Wenn ein JiT-Entwicklerschulungstool beispielsweise feststellt, dass ein Programmierer einen unsicheren Code erstellt oder versehentlich eine Schwachstelle in seine Anwendung einführt, kann es den Entwickler aktivieren und ihm zeigen, wie er das Problem beheben kann und wie er einen sichereren Code schreiben kann, um dieselbe Funktion in Zukunft auszuführen.
Wenn die Verpflichtung zur Weiterbildung besteht, müssen die alten Methoden der Bewertung von Entwicklern allein auf der Grundlage der Geschwindigkeit abgeschafft werden. Stattdessen sollten Programmierer auf der Grundlage ihrer Fähigkeit, sicheren Code zu erstellen, belohnt werden, wobei die besten Entwickler zu Sicherheits-Champions werden, die dem Rest des Teams helfen, ihre Fähigkeiten zu verbessern. Und diese Champions müssen sowohl mit Firmenprestige als auch mit einer finanziellen Entschädigung belohnt werden. Es ist auch wichtig, daran zu denken, dass Entwickler in der Regel keine positiven Erfahrungen mit Sicherheit gemacht haben. Wenn man sie mit positiven, unterhaltsamen Lernmethoden und Anreizen, die ihre Interessen ansprechen, motiviert, werden sie ihr Wissen behalten und den Wunsch verspüren, ihre Fähigkeiten weiter auszubauen.
Unternehmen können die Geschwindigkeit der Programmierung immer noch als Teil der Bewertung eines Entwicklers einbeziehen, aber mit der Erwartung, dass die Entwicklung sicherer Anwendungen etwas mehr Zeit in Anspruch nimmt, insbesondere wenn die Programmierer diese neuen Fähigkeiten erlernen.
DevSecOps kann die ultimative Verteidigung gegen die dunklen Künste einer zunehmend gefährlichen Bedrohungslandschaft sein. Vergessen Sie nur nicht, dass die Meister dieser neuen Welt, die Entwickler, die ständig neuen Code erstellen, respektiert und für ihre Arbeit entlohnt werden müssen.
Möchten Sie Ihre Sicherheitskenntnisse im Vergleich zu anderen Entwicklern auf der ganzen Welt auf die Probe stellen? Besuchen Sie Secure Code Warrior’s Devlympics 2021und du könntest einen großen Preis in unserem globalen tournaments gewinnen!
Professionelle Entwickler wollen sich DevSecOps zu eigen machen und sicheren Code schreiben, aber ihre Unternehmen müssen diesen Wandel unterstützen, wenn sie wollen, dass dieser Aufwand wächst.
Vorstandsvorsitzender, Chairman und Mitbegründer
Secure Code Warrior ist für Ihr Unternehmen da, um Sie dabei zu unterstützen, Ihren Code über den gesamten Lebenszyklus der Softwareentwicklung hinweg zu sichern und eine Kultur zu schaffen, in der Cybersicherheit an erster Stelle steht. Ganz gleich, ob Sie AppSec-Manager, Entwickler, CISO oder ein anderer Sicherheitsverantwortlicher sind, wir können Ihrem Unternehmen helfen, die mit unsicherem Code verbundenen Risiken zu reduzieren.
Demo buchen
Vorstandsvorsitzender, Chairman und Mitbegründer
Pieter Danhieux ist ein weltweit anerkannter Sicherheitsexperte mit mehr als 12 Jahren Erfahrung als Sicherheitsberater und 8 Jahren als Principal Instructor für SANS, wo er offensive Techniken lehrt, wie man Organisationen, Systeme und Einzelpersonen auf Sicherheitsschwächen hin untersucht und bewertet. Im Jahr 2016 wurde er als einer der "Coolest Tech People in Australia" (Business Insider) ausgezeichnet, erhielt die Auszeichnung "Cyber Security Professional of the Year" (AISA - Australian Information Security Association) und besitzt die Zertifizierungen GSE, CISSP, GCIH, GCFA, GSEC, GPEN, GWAPT, GCIA.
Die Cyber-Bedrohungslandschaft wird von Tag zu Tag komplexer. Angreifer suchen ständig in Netzwerken nach anfälligen Anwendungen, Programmen und Cloud-Instanzen. Der neueste Schrei sind APIs, die dank ihrer oft laxen Sicherheitskontrollen als leichte Beute gelten. Sie sind so hartnäckig, dass neue Anwendungen manchmal innerhalb weniger Stunden nach der Bereitstellung kompromittiert und ausgenutzt werden können. Der Verizon 2021 Data Breach Investigations Report macht deutlich, dass die Bedrohungen für Unternehmen und Organisationen heute gefährlicher sind als je zuvor in der Geschichte.
Es wird immer deutlicher, dass die einzige Möglichkeit, die erstellte Software wirklich zu schützen, darin besteht, sicherzustellen, dass sie auf sicherem Code aufbaut. Mit anderen Worten: Der beste Weg, die Invasion der Bedrohungsakteure zu stoppen, besteht darin, ihnen von vornherein den Zugang zu Ihren Anwendungen zu verwehren. Wenn man erst einmal angefangen hat, diesen Krieg zu führen, liegen die meisten Vorteile auf der Seite der Angreifer.
Aus dieser Situation heraus entstanden zunächst die agile Entwicklung und DevOps und später die gesamte DevSecOps-Bewegung, bei der die Sicherheit eine gemeinsame Verantwortung aller am Prozess der Softwareerstellung von der Entwicklung bis zur Bereitstellung Beteiligten ist. Die Basis dieser Pyramide, und damit der wohl wichtigste Teil, sind jedoch die Entwickler. Während die meisten Entwickler ihren Teil dazu beitragen und sicheren Code schreiben wollen, unterstützen viele der Unternehmen, für die sie arbeiten, die Änderungen, die eine solch umfassende Verschiebung der Prioritäten erfordert, weniger.
Niederlage nach Plan
Viele Jahre lang wurde den Entwicklern gesagt, dass ihre Hauptaufgabe in ihren Unternehmen darin besteht, in einer schnelllebigen Umgebung, in der das Geschäft nie stillsteht und die Kunden nie schlafen, schnell Anwendungen zu entwickeln und bereitzustellen. Je schneller die Entwickler programmieren und je mehr Funktionen sie bereitstellen konnten, desto wertvoller wurden sie in ihren Leistungsbewertungen eingestuft.
Die Sicherheit war ein nachträglicher Gedanke, wenn sie überhaupt berücksichtigt wurde. Stattdessen wurde all dies den Teams für Anwendungssicherheit (AppSec) überlassen. AppSec-Teams waren bei den meisten Entwicklern unbeliebt, weil sie fertige Anwendungen oft zurück in die Entwicklung schickten, um Sicherheits-Patches anzuwenden oder Code umzuschreiben, um Schwachstellen zu beheben. Und jede Stunde, die ein Entwickler mit der Arbeit an einer bereits "fertigen" Anwendung verbrachte, war eine Stunde, die er nicht mit der Entwicklung neuer Anwendungen und Funktionen verbrachte, wodurch seine Leistung (und sein Wert in den Augen eines besonders strafenden Unternehmens) sank.
Und dann veränderte die Bedrohungslage die Bedeutung und Priorisierung der Sicherheit für die meisten Unternehmen. Laut dem jüngsten Bericht "Cost of a Data Breach Report" von IBM und dem Ponemon Institute kostet eine Verletzung der Cybersicherheit im Durchschnitt etwa 3,8 Millionen Dollar pro Vorfall, wobei dies kaum die Obergrenze darstellt. Allein ein Unternehmen erlitt nach einem Einbruch in sein Netzwerk Verluste in Höhe von 1,3 Milliarden Dollar. Die Unternehmen von heute wollen die Sicherheit, die DevSecOps bietet, belohnen aber leider nur langsam die Entwickler, die diesem Ruf folgen.
Den Entwicklungsteams einfach zu sagen, dass sie die Sicherheit berücksichtigen sollen, wird nicht funktionieren, vor allem, wenn sie immer noch Anreize allein aufgrund der Geschwindigkeit erhalten. In einem solchen System könnten Entwickler, die sich die Zeit nehmen, etwas über Sicherheit zu lernen und ihren Code zu sichern, tatsächlich bessere Leistungsbewertungen und lukrative Boni verlieren, die ihre weniger sicherheitsbewussten Kollegen weiterhin erhalten. Es ist fast so, als ob Unternehmen unwissentlich das System für ihre eigenen Sicherheitsmängel manipulieren, und das hängt mit ihrer Wahrnehmung des Entwicklungsteams zusammen. Wenn sie sie nicht als die Sicherheitsfront sehen, ist es sehr unwahrscheinlich, dass ein praktikabler Plan zur Nutzung ihrer Arbeitskräfte zum Tragen kommt.
Und dabei ist noch nicht einmal die mangelnde Ausbildung berücksichtigt. Einige sehr fähige Entwickler haben jahrzehntelange Erfahrung im Programmieren, aber sehr wenig, wenn es um Sicherheit geht... schließlich wurde das nie von ihnen verlangt. Wenn ein Unternehmen seinen qualifizierten Programmierern kein gutes Schulungsprogramm anbietet, kann es kaum erwarten, dass seine Entwickler plötzlich neue Fähigkeiten erwerben und diese sinnvoll einsetzen, um Sicherheitslücken aktiv zu verringern.
Belohnung von Entwicklern für gute Sicherheitspraktiken
Die gute Nachricht ist, dass die überwältigende Mehrheit der Entwickler ihren Job macht, weil sie ihn sowohl herausfordernd als auch lohnend finden, und weil sie den Respekt genießen, den ihre Position mit sich bringt. Michael Shpilt, der sein Leben lang professionell programmiert hat, schrieb kürzlich über all die Dinge, die ihn und seine Programmierkollegen bei ihrer Entwicklungsarbeit motivieren. Ja, er zählt die monetäre Vergütung zu diesen Anreizen, aber sie steht überraschend weit unten auf der Liste. Stattdessen gibt er dem Nervenkitzel bei der Entwicklung von etwas Neuem, dem Erlernen neuer Fähigkeiten und der Genugtuung darüber, dass seine Arbeit anderen direkt zugute kommt, den Vorrang. Er spricht auch davon, dass er sich in seinem Unternehmen und in der Gemeinschaft wertgeschätzt fühlen möchte. Kurz gesagt, Entwickler sind wie viele andere gute Menschen, die stolz auf ihre Arbeit sind.
Entwickler wie Shpilt und andere wollen nicht, dass Bedrohungsakteure ihren Code kompromittieren und ihn nutzen, um ihrem Unternehmen oder den Nutzern, denen sie eigentlich helfen wollen, zu schaden. Aber sie können ihre Prioritäten nicht plötzlich ohne Unterstützung auf die Sicherheit verlagern. Andernfalls ist es fast so, als ob das System gegen sie arbeiten würde.
Um Entwicklungsteams bei der Verbesserung ihrer Cybersicherheitsfähigkeiten zu unterstützen, müssen ihnen zunächst die erforderlichen Fähigkeiten vermittelt werden. Der Einsatz von gerüstgestütztem Lernen und Tools wie Just-in-Time (JiT)-Schulungen kann diesen Prozess sehr viel weniger schmerzhaft machen und hilft dabei, auf vorhandenem Wissen im richtigen Kontext aufzubauen.
Das Prinzip von JiT besteht darin, dass Entwicklern das richtige Wissen zum richtigen Zeitpunkt zur Verfügung gestellt wird. Wenn ein JiT-Entwicklerschulungstool beispielsweise feststellt, dass ein Programmierer einen unsicheren Code erstellt oder versehentlich eine Schwachstelle in seine Anwendung einführt, kann es den Entwickler aktivieren und ihm zeigen, wie er das Problem beheben kann und wie er einen sichereren Code schreiben kann, um dieselbe Funktion in Zukunft auszuführen.
Wenn die Verpflichtung zur Weiterbildung besteht, müssen die alten Methoden der Bewertung von Entwicklern allein auf der Grundlage der Geschwindigkeit abgeschafft werden. Stattdessen sollten Programmierer auf der Grundlage ihrer Fähigkeit, sicheren Code zu erstellen, belohnt werden, wobei die besten Entwickler zu Sicherheits-Champions werden, die dem Rest des Teams helfen, ihre Fähigkeiten zu verbessern. Und diese Champions müssen sowohl mit Firmenprestige als auch mit einer finanziellen Entschädigung belohnt werden. Es ist auch wichtig, daran zu denken, dass Entwickler in der Regel keine positiven Erfahrungen mit Sicherheit gemacht haben. Wenn man sie mit positiven, unterhaltsamen Lernmethoden und Anreizen, die ihre Interessen ansprechen, motiviert, werden sie ihr Wissen behalten und den Wunsch verspüren, ihre Fähigkeiten weiter auszubauen.
Unternehmen können die Geschwindigkeit der Programmierung immer noch als Teil der Bewertung eines Entwicklers einbeziehen, aber mit der Erwartung, dass die Entwicklung sicherer Anwendungen etwas mehr Zeit in Anspruch nimmt, insbesondere wenn die Programmierer diese neuen Fähigkeiten erlernen.
DevSecOps kann die ultimative Verteidigung gegen die dunklen Künste einer zunehmend gefährlichen Bedrohungslandschaft sein. Vergessen Sie nur nicht, dass die Meister dieser neuen Welt, die Entwickler, die ständig neuen Code erstellen, respektiert und für ihre Arbeit entlohnt werden müssen.
Möchten Sie Ihre Sicherheitskenntnisse im Vergleich zu anderen Entwicklern auf der ganzen Welt auf die Probe stellen? Besuchen Sie Secure Code Warrior’s Devlympics 2021und du könntest einen großen Preis in unserem globalen tournaments gewinnen!
Die Cyber-Bedrohungslandschaft wird von Tag zu Tag komplexer. Angreifer suchen ständig in Netzwerken nach anfälligen Anwendungen, Programmen und Cloud-Instanzen. Der neueste Schrei sind APIs, die dank ihrer oft laxen Sicherheitskontrollen als leichte Beute gelten. Sie sind so hartnäckig, dass neue Anwendungen manchmal innerhalb weniger Stunden nach der Bereitstellung kompromittiert und ausgenutzt werden können. Der Verizon 2021 Data Breach Investigations Report macht deutlich, dass die Bedrohungen für Unternehmen und Organisationen heute gefährlicher sind als je zuvor in der Geschichte.
Es wird immer deutlicher, dass die einzige Möglichkeit, die erstellte Software wirklich zu schützen, darin besteht, sicherzustellen, dass sie auf sicherem Code aufbaut. Mit anderen Worten: Der beste Weg, die Invasion der Bedrohungsakteure zu stoppen, besteht darin, ihnen von vornherein den Zugang zu Ihren Anwendungen zu verwehren. Wenn man erst einmal angefangen hat, diesen Krieg zu führen, liegen die meisten Vorteile auf der Seite der Angreifer.
Aus dieser Situation heraus entstanden zunächst die agile Entwicklung und DevOps und später die gesamte DevSecOps-Bewegung, bei der die Sicherheit eine gemeinsame Verantwortung aller am Prozess der Softwareerstellung von der Entwicklung bis zur Bereitstellung Beteiligten ist. Die Basis dieser Pyramide, und damit der wohl wichtigste Teil, sind jedoch die Entwickler. Während die meisten Entwickler ihren Teil dazu beitragen und sicheren Code schreiben wollen, unterstützen viele der Unternehmen, für die sie arbeiten, die Änderungen, die eine solch umfassende Verschiebung der Prioritäten erfordert, weniger.
Niederlage nach Plan
Viele Jahre lang wurde den Entwicklern gesagt, dass ihre Hauptaufgabe in ihren Unternehmen darin besteht, in einer schnelllebigen Umgebung, in der das Geschäft nie stillsteht und die Kunden nie schlafen, schnell Anwendungen zu entwickeln und bereitzustellen. Je schneller die Entwickler programmieren und je mehr Funktionen sie bereitstellen konnten, desto wertvoller wurden sie in ihren Leistungsbewertungen eingestuft.
Die Sicherheit war ein nachträglicher Gedanke, wenn sie überhaupt berücksichtigt wurde. Stattdessen wurde all dies den Teams für Anwendungssicherheit (AppSec) überlassen. AppSec-Teams waren bei den meisten Entwicklern unbeliebt, weil sie fertige Anwendungen oft zurück in die Entwicklung schickten, um Sicherheits-Patches anzuwenden oder Code umzuschreiben, um Schwachstellen zu beheben. Und jede Stunde, die ein Entwickler mit der Arbeit an einer bereits "fertigen" Anwendung verbrachte, war eine Stunde, die er nicht mit der Entwicklung neuer Anwendungen und Funktionen verbrachte, wodurch seine Leistung (und sein Wert in den Augen eines besonders strafenden Unternehmens) sank.
Und dann veränderte die Bedrohungslage die Bedeutung und Priorisierung der Sicherheit für die meisten Unternehmen. Laut dem jüngsten Bericht "Cost of a Data Breach Report" von IBM und dem Ponemon Institute kostet eine Verletzung der Cybersicherheit im Durchschnitt etwa 3,8 Millionen Dollar pro Vorfall, wobei dies kaum die Obergrenze darstellt. Allein ein Unternehmen erlitt nach einem Einbruch in sein Netzwerk Verluste in Höhe von 1,3 Milliarden Dollar. Die Unternehmen von heute wollen die Sicherheit, die DevSecOps bietet, belohnen aber leider nur langsam die Entwickler, die diesem Ruf folgen.
Den Entwicklungsteams einfach zu sagen, dass sie die Sicherheit berücksichtigen sollen, wird nicht funktionieren, vor allem, wenn sie immer noch Anreize allein aufgrund der Geschwindigkeit erhalten. In einem solchen System könnten Entwickler, die sich die Zeit nehmen, etwas über Sicherheit zu lernen und ihren Code zu sichern, tatsächlich bessere Leistungsbewertungen und lukrative Boni verlieren, die ihre weniger sicherheitsbewussten Kollegen weiterhin erhalten. Es ist fast so, als ob Unternehmen unwissentlich das System für ihre eigenen Sicherheitsmängel manipulieren, und das hängt mit ihrer Wahrnehmung des Entwicklungsteams zusammen. Wenn sie sie nicht als die Sicherheitsfront sehen, ist es sehr unwahrscheinlich, dass ein praktikabler Plan zur Nutzung ihrer Arbeitskräfte zum Tragen kommt.
Und dabei ist noch nicht einmal die mangelnde Ausbildung berücksichtigt. Einige sehr fähige Entwickler haben jahrzehntelange Erfahrung im Programmieren, aber sehr wenig, wenn es um Sicherheit geht... schließlich wurde das nie von ihnen verlangt. Wenn ein Unternehmen seinen qualifizierten Programmierern kein gutes Schulungsprogramm anbietet, kann es kaum erwarten, dass seine Entwickler plötzlich neue Fähigkeiten erwerben und diese sinnvoll einsetzen, um Sicherheitslücken aktiv zu verringern.
Belohnung von Entwicklern für gute Sicherheitspraktiken
Die gute Nachricht ist, dass die überwältigende Mehrheit der Entwickler ihren Job macht, weil sie ihn sowohl herausfordernd als auch lohnend finden, und weil sie den Respekt genießen, den ihre Position mit sich bringt. Michael Shpilt, der sein Leben lang professionell programmiert hat, schrieb kürzlich über all die Dinge, die ihn und seine Programmierkollegen bei ihrer Entwicklungsarbeit motivieren. Ja, er zählt die monetäre Vergütung zu diesen Anreizen, aber sie steht überraschend weit unten auf der Liste. Stattdessen gibt er dem Nervenkitzel bei der Entwicklung von etwas Neuem, dem Erlernen neuer Fähigkeiten und der Genugtuung darüber, dass seine Arbeit anderen direkt zugute kommt, den Vorrang. Er spricht auch davon, dass er sich in seinem Unternehmen und in der Gemeinschaft wertgeschätzt fühlen möchte. Kurz gesagt, Entwickler sind wie viele andere gute Menschen, die stolz auf ihre Arbeit sind.
Entwickler wie Shpilt und andere wollen nicht, dass Bedrohungsakteure ihren Code kompromittieren und ihn nutzen, um ihrem Unternehmen oder den Nutzern, denen sie eigentlich helfen wollen, zu schaden. Aber sie können ihre Prioritäten nicht plötzlich ohne Unterstützung auf die Sicherheit verlagern. Andernfalls ist es fast so, als ob das System gegen sie arbeiten würde.
Um Entwicklungsteams bei der Verbesserung ihrer Cybersicherheitsfähigkeiten zu unterstützen, müssen ihnen zunächst die erforderlichen Fähigkeiten vermittelt werden. Der Einsatz von gerüstgestütztem Lernen und Tools wie Just-in-Time (JiT)-Schulungen kann diesen Prozess sehr viel weniger schmerzhaft machen und hilft dabei, auf vorhandenem Wissen im richtigen Kontext aufzubauen.
Das Prinzip von JiT besteht darin, dass Entwicklern das richtige Wissen zum richtigen Zeitpunkt zur Verfügung gestellt wird. Wenn ein JiT-Entwicklerschulungstool beispielsweise feststellt, dass ein Programmierer einen unsicheren Code erstellt oder versehentlich eine Schwachstelle in seine Anwendung einführt, kann es den Entwickler aktivieren und ihm zeigen, wie er das Problem beheben kann und wie er einen sichereren Code schreiben kann, um dieselbe Funktion in Zukunft auszuführen.
Wenn die Verpflichtung zur Weiterbildung besteht, müssen die alten Methoden der Bewertung von Entwicklern allein auf der Grundlage der Geschwindigkeit abgeschafft werden. Stattdessen sollten Programmierer auf der Grundlage ihrer Fähigkeit, sicheren Code zu erstellen, belohnt werden, wobei die besten Entwickler zu Sicherheits-Champions werden, die dem Rest des Teams helfen, ihre Fähigkeiten zu verbessern. Und diese Champions müssen sowohl mit Firmenprestige als auch mit einer finanziellen Entschädigung belohnt werden. Es ist auch wichtig, daran zu denken, dass Entwickler in der Regel keine positiven Erfahrungen mit Sicherheit gemacht haben. Wenn man sie mit positiven, unterhaltsamen Lernmethoden und Anreizen, die ihre Interessen ansprechen, motiviert, werden sie ihr Wissen behalten und den Wunsch verspüren, ihre Fähigkeiten weiter auszubauen.
Unternehmen können die Geschwindigkeit der Programmierung immer noch als Teil der Bewertung eines Entwicklers einbeziehen, aber mit der Erwartung, dass die Entwicklung sicherer Anwendungen etwas mehr Zeit in Anspruch nimmt, insbesondere wenn die Programmierer diese neuen Fähigkeiten erlernen.
DevSecOps kann die ultimative Verteidigung gegen die dunklen Künste einer zunehmend gefährlichen Bedrohungslandschaft sein. Vergessen Sie nur nicht, dass die Meister dieser neuen Welt, die Entwickler, die ständig neuen Code erstellen, respektiert und für ihre Arbeit entlohnt werden müssen.
Möchten Sie Ihre Sicherheitskenntnisse im Vergleich zu anderen Entwicklern auf der ganzen Welt auf die Probe stellen? Besuchen Sie Secure Code Warrior’s Devlympics 2021und du könntest einen großen Preis in unserem globalen tournaments gewinnen!
Klicken Sie auf den unten stehenden Link und laden Sie die PDF-Datei dieser Ressource herunter.
Secure Code Warrior ist für Ihr Unternehmen da, um Sie dabei zu unterstützen, Ihren Code über den gesamten Lebenszyklus der Softwareentwicklung hinweg zu sichern und eine Kultur zu schaffen, in der Cybersicherheit an erster Stelle steht. Ganz gleich, ob Sie AppSec-Manager, Entwickler, CISO oder ein anderer Sicherheitsverantwortlicher sind, wir können Ihrem Unternehmen helfen, die mit unsicherem Code verbundenen Risiken zu reduzieren.
Bericht ansehenDemo buchen
Vorstandsvorsitzender, Chairman und Mitbegründer
Pieter Danhieux ist ein weltweit anerkannter Sicherheitsexperte mit mehr als 12 Jahren Erfahrung als Sicherheitsberater und 8 Jahren als Principal Instructor für SANS, wo er offensive Techniken lehrt, wie man Organisationen, Systeme und Einzelpersonen auf Sicherheitsschwächen hin untersucht und bewertet. Im Jahr 2016 wurde er als einer der "Coolest Tech People in Australia" (Business Insider) ausgezeichnet, erhielt die Auszeichnung "Cyber Security Professional of the Year" (AISA - Australian Information Security Association) und besitzt die Zertifizierungen GSE, CISSP, GCIH, GCFA, GSEC, GPEN, GWAPT, GCIA.
Die Cyber-Bedrohungslandschaft wird von Tag zu Tag komplexer. Angreifer suchen ständig in Netzwerken nach anfälligen Anwendungen, Programmen und Cloud-Instanzen. Der neueste Schrei sind APIs, die dank ihrer oft laxen Sicherheitskontrollen als leichte Beute gelten. Sie sind so hartnäckig, dass neue Anwendungen manchmal innerhalb weniger Stunden nach der Bereitstellung kompromittiert und ausgenutzt werden können. Der Verizon 2021 Data Breach Investigations Report macht deutlich, dass die Bedrohungen für Unternehmen und Organisationen heute gefährlicher sind als je zuvor in der Geschichte.
Es wird immer deutlicher, dass die einzige Möglichkeit, die erstellte Software wirklich zu schützen, darin besteht, sicherzustellen, dass sie auf sicherem Code aufbaut. Mit anderen Worten: Der beste Weg, die Invasion der Bedrohungsakteure zu stoppen, besteht darin, ihnen von vornherein den Zugang zu Ihren Anwendungen zu verwehren. Wenn man erst einmal angefangen hat, diesen Krieg zu führen, liegen die meisten Vorteile auf der Seite der Angreifer.
Aus dieser Situation heraus entstanden zunächst die agile Entwicklung und DevOps und später die gesamte DevSecOps-Bewegung, bei der die Sicherheit eine gemeinsame Verantwortung aller am Prozess der Softwareerstellung von der Entwicklung bis zur Bereitstellung Beteiligten ist. Die Basis dieser Pyramide, und damit der wohl wichtigste Teil, sind jedoch die Entwickler. Während die meisten Entwickler ihren Teil dazu beitragen und sicheren Code schreiben wollen, unterstützen viele der Unternehmen, für die sie arbeiten, die Änderungen, die eine solch umfassende Verschiebung der Prioritäten erfordert, weniger.
Niederlage nach Plan
Viele Jahre lang wurde den Entwicklern gesagt, dass ihre Hauptaufgabe in ihren Unternehmen darin besteht, in einer schnelllebigen Umgebung, in der das Geschäft nie stillsteht und die Kunden nie schlafen, schnell Anwendungen zu entwickeln und bereitzustellen. Je schneller die Entwickler programmieren und je mehr Funktionen sie bereitstellen konnten, desto wertvoller wurden sie in ihren Leistungsbewertungen eingestuft.
Die Sicherheit war ein nachträglicher Gedanke, wenn sie überhaupt berücksichtigt wurde. Stattdessen wurde all dies den Teams für Anwendungssicherheit (AppSec) überlassen. AppSec-Teams waren bei den meisten Entwicklern unbeliebt, weil sie fertige Anwendungen oft zurück in die Entwicklung schickten, um Sicherheits-Patches anzuwenden oder Code umzuschreiben, um Schwachstellen zu beheben. Und jede Stunde, die ein Entwickler mit der Arbeit an einer bereits "fertigen" Anwendung verbrachte, war eine Stunde, die er nicht mit der Entwicklung neuer Anwendungen und Funktionen verbrachte, wodurch seine Leistung (und sein Wert in den Augen eines besonders strafenden Unternehmens) sank.
Und dann veränderte die Bedrohungslage die Bedeutung und Priorisierung der Sicherheit für die meisten Unternehmen. Laut dem jüngsten Bericht "Cost of a Data Breach Report" von IBM und dem Ponemon Institute kostet eine Verletzung der Cybersicherheit im Durchschnitt etwa 3,8 Millionen Dollar pro Vorfall, wobei dies kaum die Obergrenze darstellt. Allein ein Unternehmen erlitt nach einem Einbruch in sein Netzwerk Verluste in Höhe von 1,3 Milliarden Dollar. Die Unternehmen von heute wollen die Sicherheit, die DevSecOps bietet, belohnen aber leider nur langsam die Entwickler, die diesem Ruf folgen.
Den Entwicklungsteams einfach zu sagen, dass sie die Sicherheit berücksichtigen sollen, wird nicht funktionieren, vor allem, wenn sie immer noch Anreize allein aufgrund der Geschwindigkeit erhalten. In einem solchen System könnten Entwickler, die sich die Zeit nehmen, etwas über Sicherheit zu lernen und ihren Code zu sichern, tatsächlich bessere Leistungsbewertungen und lukrative Boni verlieren, die ihre weniger sicherheitsbewussten Kollegen weiterhin erhalten. Es ist fast so, als ob Unternehmen unwissentlich das System für ihre eigenen Sicherheitsmängel manipulieren, und das hängt mit ihrer Wahrnehmung des Entwicklungsteams zusammen. Wenn sie sie nicht als die Sicherheitsfront sehen, ist es sehr unwahrscheinlich, dass ein praktikabler Plan zur Nutzung ihrer Arbeitskräfte zum Tragen kommt.
Und dabei ist noch nicht einmal die mangelnde Ausbildung berücksichtigt. Einige sehr fähige Entwickler haben jahrzehntelange Erfahrung im Programmieren, aber sehr wenig, wenn es um Sicherheit geht... schließlich wurde das nie von ihnen verlangt. Wenn ein Unternehmen seinen qualifizierten Programmierern kein gutes Schulungsprogramm anbietet, kann es kaum erwarten, dass seine Entwickler plötzlich neue Fähigkeiten erwerben und diese sinnvoll einsetzen, um Sicherheitslücken aktiv zu verringern.
Belohnung von Entwicklern für gute Sicherheitspraktiken
Die gute Nachricht ist, dass die überwältigende Mehrheit der Entwickler ihren Job macht, weil sie ihn sowohl herausfordernd als auch lohnend finden, und weil sie den Respekt genießen, den ihre Position mit sich bringt. Michael Shpilt, der sein Leben lang professionell programmiert hat, schrieb kürzlich über all die Dinge, die ihn und seine Programmierkollegen bei ihrer Entwicklungsarbeit motivieren. Ja, er zählt die monetäre Vergütung zu diesen Anreizen, aber sie steht überraschend weit unten auf der Liste. Stattdessen gibt er dem Nervenkitzel bei der Entwicklung von etwas Neuem, dem Erlernen neuer Fähigkeiten und der Genugtuung darüber, dass seine Arbeit anderen direkt zugute kommt, den Vorrang. Er spricht auch davon, dass er sich in seinem Unternehmen und in der Gemeinschaft wertgeschätzt fühlen möchte. Kurz gesagt, Entwickler sind wie viele andere gute Menschen, die stolz auf ihre Arbeit sind.
Entwickler wie Shpilt und andere wollen nicht, dass Bedrohungsakteure ihren Code kompromittieren und ihn nutzen, um ihrem Unternehmen oder den Nutzern, denen sie eigentlich helfen wollen, zu schaden. Aber sie können ihre Prioritäten nicht plötzlich ohne Unterstützung auf die Sicherheit verlagern. Andernfalls ist es fast so, als ob das System gegen sie arbeiten würde.
Um Entwicklungsteams bei der Verbesserung ihrer Cybersicherheitsfähigkeiten zu unterstützen, müssen ihnen zunächst die erforderlichen Fähigkeiten vermittelt werden. Der Einsatz von gerüstgestütztem Lernen und Tools wie Just-in-Time (JiT)-Schulungen kann diesen Prozess sehr viel weniger schmerzhaft machen und hilft dabei, auf vorhandenem Wissen im richtigen Kontext aufzubauen.
Das Prinzip von JiT besteht darin, dass Entwicklern das richtige Wissen zum richtigen Zeitpunkt zur Verfügung gestellt wird. Wenn ein JiT-Entwicklerschulungstool beispielsweise feststellt, dass ein Programmierer einen unsicheren Code erstellt oder versehentlich eine Schwachstelle in seine Anwendung einführt, kann es den Entwickler aktivieren und ihm zeigen, wie er das Problem beheben kann und wie er einen sichereren Code schreiben kann, um dieselbe Funktion in Zukunft auszuführen.
Wenn die Verpflichtung zur Weiterbildung besteht, müssen die alten Methoden der Bewertung von Entwicklern allein auf der Grundlage der Geschwindigkeit abgeschafft werden. Stattdessen sollten Programmierer auf der Grundlage ihrer Fähigkeit, sicheren Code zu erstellen, belohnt werden, wobei die besten Entwickler zu Sicherheits-Champions werden, die dem Rest des Teams helfen, ihre Fähigkeiten zu verbessern. Und diese Champions müssen sowohl mit Firmenprestige als auch mit einer finanziellen Entschädigung belohnt werden. Es ist auch wichtig, daran zu denken, dass Entwickler in der Regel keine positiven Erfahrungen mit Sicherheit gemacht haben. Wenn man sie mit positiven, unterhaltsamen Lernmethoden und Anreizen, die ihre Interessen ansprechen, motiviert, werden sie ihr Wissen behalten und den Wunsch verspüren, ihre Fähigkeiten weiter auszubauen.
Unternehmen können die Geschwindigkeit der Programmierung immer noch als Teil der Bewertung eines Entwicklers einbeziehen, aber mit der Erwartung, dass die Entwicklung sicherer Anwendungen etwas mehr Zeit in Anspruch nimmt, insbesondere wenn die Programmierer diese neuen Fähigkeiten erlernen.
DevSecOps kann die ultimative Verteidigung gegen die dunklen Künste einer zunehmend gefährlichen Bedrohungslandschaft sein. Vergessen Sie nur nicht, dass die Meister dieser neuen Welt, die Entwickler, die ständig neuen Code erstellen, respektiert und für ihre Arbeit entlohnt werden müssen.
Möchten Sie Ihre Sicherheitskenntnisse im Vergleich zu anderen Entwicklern auf der ganzen Welt auf die Probe stellen? Besuchen Sie Secure Code Warrior’s Devlympics 2021und du könntest einen großen Preis in unserem globalen tournaments gewinnen!
Inhaltsübersicht
Vorstandsvorsitzender, Chairman und Mitbegründer
Secure Code Warrior ist für Ihr Unternehmen da, um Sie dabei zu unterstützen, Ihren Code über den gesamten Lebenszyklus der Softwareentwicklung hinweg zu sichern und eine Kultur zu schaffen, in der Cybersicherheit an erster Stelle steht. Ganz gleich, ob Sie AppSec-Manager, Entwickler, CISO oder ein anderer Sicherheitsverantwortlicher sind, wir können Ihrem Unternehmen helfen, die mit unsicherem Code verbundenen Risiken zu reduzieren.
Demo buchenHerunterladenRessourcen für den Einstieg
Benchmarking von Sicherheitskompetenzen: Optimierung von Secure-by-Design im Unternehmen
Aussagekräftige Daten über den Erfolg von Secure-by-Design-Initiativen zu finden, ist bekanntermaßen schwierig. CISOs stehen oft vor der Herausforderung, den Return on Investment (ROI) und den Geschäftswert von Sicherheitsprogrammen sowohl auf Mitarbeiter- als auch auf Unternehmensebene nachzuweisen. Ganz zu schweigen davon, dass es für Unternehmen besonders schwierig ist, Erkenntnisse darüber zu gewinnen, wie ihre Organisation im Vergleich zu aktuellen Branchenstandards abschneidet. Die Nationale Cybersicherheitsstrategie des Präsidenten forderte die Beteiligten auf, "Sicherheit und Widerstandsfähigkeit durch Design" zu erreichen. Der Schlüssel zum Erfolg von Secure-by-Design-Initiativen liegt nicht nur darin, Entwicklern die nötigen Fähigkeiten zu vermitteln, um sicheren Code zu gewährleisten, sondern auch darin, den Aufsichtsbehörden zu versichern, dass diese Fähigkeiten vorhanden sind. In dieser Präsentation stellen wir eine Vielzahl von qualitativen und quantitativen Daten vor, die aus verschiedenen Primärquellen stammen, darunter interne Daten von über 250.000 Entwicklern, datengestützte Kundeneinblicke und öffentliche Studien. Auf der Grundlage dieser gesammelten Daten wollen wir eine Vision des aktuellen Stands von Secure-by-Design-Initiativen in verschiedenen Branchen vermitteln. Der Bericht zeigt auf, warum dieser Bereich derzeit nicht ausreichend genutzt wird, welche erheblichen Auswirkungen ein erfolgreiches Schulungsprogramm auf die Minderung von Cybersecurity-Risiken haben kann und welches Potenzial zur Beseitigung von Schwachstellen in einer Codebasis besteht.
Professionelle Dienstleistungen - Beschleunigen Sie mit Fachwissen
Das PSS-Team (Program Strategy Services) von Secure Code Warriorunterstützt Sie beim Aufbau, der Verbesserung und der Optimierung Ihres Programms für sichere Codierung. Ganz gleich, ob Sie neu anfangen oder Ihren Ansatz verfeinern möchten, unsere Experten bieten Ihnen maßgeschneiderte Beratung.
Themen und Inhalte der Schulung zu sicherem Code
Unsere branchenführenden Inhalte werden ständig weiterentwickelt, um sie an die sich ständig verändernde Softwareentwicklungslandschaft anzupassen und Ihre Rolle zu berücksichtigen. Die Themen reichen von KI bis XQuery Injection und werden für eine Vielzahl von Rollen angeboten, von Architekten und Ingenieuren bis hin zu Produktmanagern und QA. Verschaffen Sie sich einen kleinen Überblick über die Inhalte, die unser Katalog nach Thema und Rolle bietet.
Quests: Branchenführendes Lernen, damit die Entwickler immer einen Schritt voraus sind und Risiken minimiert werden.
Quests ist eine learning platform , die Entwicklern hilft, Software-Sicherheitsrisiken zu verringern, indem sie ihre Fähigkeiten zur sicheren Programmierung verbessern. Mit kuratierten Lernpfaden, praktischen Herausforderungen und interaktiven Aktivitäten befähigt sie Entwickler, Schwachstellen zu erkennen und zu vermeiden.
Ressourcen für den Einstieg
Wird Vibe Coding Ihre Codebasis in eine Verbindungsparty verwandeln?
Vibe Coding ist wie eine College-Verbindungsparty, und AI ist das Herzstück aller Festivitäten, das Fass. Es macht eine Menge Spaß, sich auszutoben, kreativ zu werden und zu sehen, wohin die eigene Fantasie einen führen kann, aber nach ein paar Bierfässern ist das Trinken (oder die Verwendung von KI) in Maßen zweifellos die sicherere langfristige Lösung.
Das Jahrzehnt der Defenders: Secure Code Warrior Zehnte Runde
Secure Code WarriorDas Gründungsteam von SCW ist zusammengeblieben und hat das Schiff ein ganzes Jahrzehnt lang durch alle Lektionen, Triumphe und Rückschläge gesteuert. Wir vergrößern uns und sind bereit für unser nächstes Kapitel, SCW 2.0, als führendes Unternehmen im Risikomanagement für Entwickler.
Entwicklergesteuerte Kodierung.
Sicher ist sicher.
Setzen Sie sich noch heute mit uns in Verbindung und machen Sie Softwaresicherheit zu einem festen Bestandteil Ihres Entwicklungsprozesses.
