Es braucht ein Dorf: Wie Gemeinschaftsgeist sicherere Entwickler schafft

Die Phrase "Es braucht ein Dorf" ist ein altes afrikanisches Sprichwort, das sich über viele verschiedene afrikanische Kulturen, Dialekte und geografische Standorte erstreckt. Auch wenn die Sprache, die verwendet wird, um diese Perle der Weisheit zu vermitteln, unterschiedlich sein mag, ist die Stimmung dieselbe: Es braucht den Beitrag der gesamten Gemeinschaft, um eine sichere, positive und aufschlussreiche Umgebung zu schaffen, in der zukünftige Generationen zu gut ausgebildeten Erwachsenen heranwachsen.

Das mag wie ein langer Bogen erscheinen, den man spannen muss, aber tatsächlich hat die Entwicklergemeinschaft jahrzehntelang genau nach diesem Prinzip gelebt. Die Vorstellung vom asozialen, "einsamen Wolf" Geek hinter einem Computer ist wie die meisten Stereotypen: übertrieben und nicht der beste Weg zu lernen, wie wir arbeiten. Es gibt Entwickler aller Art, aus allen Gesellschaftsschichten, und es gab schon immer ein Gefühl der Gemeinschaft bei allem was wir tun.

Lange bevor das Internet zur Norm wurde, tauschten wir auf Schwarzen Brettern Tipps aus, lösten gegenseitig unsere Probleme und stritten uns über die besten Praktiken (und, jedenfalls auf meiner Seite des Zauns, arbeiteten wir hart daran, Dinge zu zerstören). Dieses Gefühl hat sich nicht geändert. Das Internet ist jetzt ein anderes Biest, mit mehr Trollen unter der Brücke und viel mehr Lärm, aber ein schneller Sprung in Orte wie Reddit und Stack Overflow gibt Ihnen ein sofortiges Gefühl von Hilfsbereitschaft, Kameradschaft und einer Fülle von Informationen.

Eine Sache, die wir jedoch alle unterstützen könnten, sind diese realen Verbindungen zu Menschen, die das Gleiche durchmachen. Es gibt eine neue Bedeutungsebene, wenn man in der realen Welt interagiert, und die Förderung einer "IRL"-Community kann den Wissensaustausch, die Klärung und die Erweiterung des Horizonts auf wunderbare Weise beschleunigen.

Wie unterstützt die Entwicklergemeinschaft die Sicherheit?

Organisationen wie OWASP leisten unglaubliche Arbeit in der Sicherheits-Community, mit einer Fülle an kostenlosen Ressourcen zu Schwachstellen, Nachrichten und kritischen Warnungen. Offline gibt es OWASP-Chapter in Städten auf der ganzen Welt, die regelmäßige Veranstaltungen veranstalten, bei denen Menschen zusammenkommen, über Sicherheit sprechen und Tipps austauschen, um unsere Software sicherer zu machen. Es ist wirklich großartig, und für mich ist es das, worum es in der Entwicklergemeinschaft geht.

Eine Sache, die diese Gemeinschaften, egal ob online oder persönlich, helfen, ist die Wissenslücke unter den Entwicklern zu schließen. Viele erfahrene Entwickler sind nur zu gerne bereit, Informationen weiterzugeben, jemandem bei den ersten Schritten zu helfen oder ihm die richtige Richtung zu weisen (jeder gute Jedi weiß, dass er hin und wieder einem Padawan helfen muss).

Es ist also immer ein echter Leckerbissen, wenn wir mit ihnen zusammenarbeiten, um Dinge wie Secure Coding tournaments zu veranstalten. Bisher haben wir Meetups in Australien, England, Indien und den USA unterstützt, und ich hoffe, es werden noch viele weitere folgen.

Wie sieht ein OWASP tournament Meetup aus? Sehen Sie sich dieses Video eines OWASP tournament an, das in London in den kultigen BBC-Studios stattfand:

Diese Veranstaltungen helfen sicherlich bei der Bewusstseinsbildung, und dieser Schwung kann innerhalb von Organisationen genutzt werden, wenn sie diese Basisinitiativen unterstützen, vollwertige Secure Coding-Schulungen einführen sowie sich verpflichten, mit einer positiven Sicherheitskultur zu arbeiten.

Wie helfen Gamification und tournaments dabei, mehr Sicherheit für Entwickler zu schaffen?

Bei den OWASP-Meetups geht es darum, Kontakte zu knüpfen, Wissen auszutauschen und Ideen mit einem breiten Spektrum an sicherheitsbewussten Personen zu diskutieren. Für diejenigen, die neu im Bereich Sicherheit sind (oder noch kein Interesse daran haben), können diese Veranstaltungen jedoch unbemerkt bleiben.

Wenn Unternehmen eine aktive Rolle bei der Schaffung eines Sicherheitsbewusstseins spielen und echtes Interesse bei den Entwicklern wecken, kann dies den positiven Effekt haben, dass ein lebenslanges Streben nach Sicherheitswissen in ihnen geweckt wird - die Art, die wir brauchen, um jeden dazu zu bringen, ernsthaft sicher zu programmieren.

Typische Trainingsmethoden sind selten ein großer Motivator (man denke an das Sitzen in einem Klassenzimmer, während sich die Aufgaben im Job stapeln, oder an den Versuch, wach zu bleiben, indem man sich endlose Videos ansieht), aber das Entfachen eines Gefühls von Wettbewerb, Spaß und Gamifizierung des Prozesses kann das Lernen weit weniger zu einer lästigen Pflicht machen. Gamifizierte Lernmethoden machen technisches (und manchmal trockenes) Wissen viel verdaulicher, indem sie es in kleinere Stücke brechen, die kontextbezogen und einprägsam sind und zum wiederholten Lernen anregen. Secure Code Warrior wurde auf einer Grundlage der Zugänglichkeit aufgebaut, die es den Entwicklern ermöglicht, ihr bisheriges Lernen Schritt für Schritt zu erweitern, und zwar auf eine Art und Weise, die ihre Kreativität und ihren allgemeinen Instinkt für Problemlösungen anspricht.

Bewertungen helfen dabei, jeden auf dem richtigen Weg zu halten und Bereiche für Verbesserungen zu identifizieren, aber ein sicheres Coding tournament kann als Katalysator für das Sicherheitsbewusstsein in der Organisation und für positive Veränderungen dienen, sowie als eine Möglichkeit für die Teilnehmer, ihre robusten Fähigkeiten zu zeigen. Wenn man sieht, wie sich die Rangliste von tournament in Echtzeit aktualisiert, ist man motiviert, weiter nach mehr Punkten zu streben und seine Sicherheitsfähigkeiten unter Beweis zu stellen.

Wie sieht eine erfolgreiche tournament aus?

Das Ziel unserer Meetups mit OWASP ist es immer, in die fortlaufende Gesundheit der Sicherheits-Community zu investieren und ihnen dabei zu helfen, das Konzept zu fördern, dass das Lernen über Sicherheit tatsächlich Spaß machen kann.

Sicheres Programmieren tournaments ist ein absolutes Muss, wenn es darum geht, Entwickler zu engagieren und ihnen zu helfen, ihre Fähigkeiten in einer sozialen Umgebung mit Gleichgesinnten zu verbessern und zu verwirklichen. Sie helfen dabei, die künstlichen Mauern einzureißen, die um die Idee der "Sicherheit" herum bestehen, vielleicht aufgrund einer weniger angenehmen Erfahrung bei der Arbeit oder in der Ausbildung.

Eine wirklich großartige tournament besteht typischerweise aus Folgendem:

• Ein bisschen Fanfare in der Organisation; lassen Sie Leute außerhalb der Entwicklungsteams wissen, was passiert und warum
• Eine urteilsfreie Umgebung, die Entwickler auf allen Ebenen unterstützt
• Ein paar besondere Vergünstigungen; bestellen Sie Essen und Getränke, geben Sie dem Ganzen ein Thema und fördern Sie die Selbstdarstellung
• Belohnungen und Anerkennung; wir Entwickler lieben Werbegeschenke, und tolle Preise für die Gewinner sind ein Bonus: Denken Sie daran, dass Ihre zukünftigen Sicherheits-Champions während dieses Prozesses entdeckt werden könnten
• Ein Gefühl von Gemeinschaft und Kameradschaft.

Wir entwickeln uns zu einer DevSecOps-Welt, und da Sicherheit endlich von Anfang an in den Fokus von Softwareentwicklungsprojekten rückt, müssen Entwickler frühzeitig mit effektiven Schulungen eingebunden werden. Sie sind von dem Moment an, in dem der Code geschrieben wird, maßgeblich daran beteiligt, ein Unternehmen vor Schwachstellen zu schützen, und in einer gedeihlichen Sicherheitskultur kann jeder ein wenig ruhiger schlafen.