Welche Rolle spielt das menschliche Element in der Zukunft der sicheren Codierung?
Da die Zahl der Cyber-Bedrohungen weiter zunimmt, müssen Unternehmen täglich Kompromisse zwischen Sicherheit, Praktikabilität und Geschwindigkeit eingehen - und setzen sich dabei Risiken aus. Deshalb hat Secure Code Warrior in Zusammenarbeit mit Evans Data Corp. eine Studie durchgeführt, die die Einstellung von Entwicklern zu sicherem Coding, sicheren Code-Praktiken und Sicherheitsabläufen untersucht hat (Download des Whitepapers hier).
Was dieser Bericht zeigt, ist, dass zwar immer noch reaktives Denken alter Schule" vorherrscht, aber das Bewusstsein für die Notwendigkeit proaktiverer Lösungen wächst, die die Entwickler selbst zur ersten Verteidigungslinie machen.
Jede Untersuchung der Einführung von sicheren Codierungspraktiken muss mit einem Verständnis der Menschen beginnen, die an der Implementierung beteiligt sind, ihrer Wahrnehmung davon und ihrer Fähigkeit, sie zu implementieren. Dies führt dann zum wichtigsten Teil des Puzzles - wie können sie befähigt werden, von Anfang an sicherer zu programmieren und qualitativ hochwertigen Code schneller und mit Zuversicht zu liefern?
Sicheres Kodieren - wo stehen wir heute, und was muss sich ändern? Herunterladen die Infografik 'The Human Element' jetzt.
Aktuelle Perspektiven - reaktiv vs. proaktiv
Als Entwickler und Entwicklungsleiter nach den Aktivitäten gefragt wurden, die sie mit sicherer Programmierung verbinden, waren die drei wichtigsten Antworten:
- Verwendung von Scan-Tools für installierte Anwendungen.
- Manuelles Überprüfen von Code auf Schwachstellen.
- Die aktive und fortlaufende Praxis, Software zu schreiben, die vor Sicherheitslücken geschützt ist.
Wie wir sehen können, konzentrierten sich zwei der drei Top-Antworten immer noch auf reaktive Ansätze - die erste abhängig von Tooling (Scannern) und die zweite auf den Entwickler (d.h. Menschen), der manuelle Prüfungen durchführt.
Gleichzeitig sind zwei der drei nominierten Aktivitäten auf das menschliche Element angewiesen. Dies deutet auf eine wachsende Wahrnehmung von Sicherheit als menschliches Problem hin. Aber von allen nominierten Aktivitäten ist die aufschlussreichste die Nr. 3, die den menschlichen Faktor beim Schreiben von Software identifiziert , die von vornherein vor Schwachstellen geschützt ist. Dies unterstreicht eine Verschiebung nach links - ein proaktiver und präventiver Ansatz, der Sicherheit von Beginn des SDLC an in die Software einbaut.
Wo passt die Sicherheit in den SDLC?
Wenn Entwickler und Entwicklungsmanager gefragt werden, wo sie die Integration von Secure Code-Praktiken in den SDLC sehen, gehen die Meinungen auseinander. 55 % der Manager glauben, dass sicheres Coding in den gesamten Entwicklungsprozess integriert ist, verglichen mit nur 43 % der Entwickler. Der Unterschied könnte auf die unterschiedlichen Rollen dieser beiden Gruppen innerhalb des SDLC zurückzuführen sein. Das Management ist in der Regel weniger in die eigentliche Arbeit der Kodierung involviert und hat eher eine übergeordnete Sichtweise, während sich die Entwickler eher mit den Details beschäftigen.
Aus der Sicht der allgemeinen Sicherheit und Codequalität ist es jedoch alarmierend, dass nur 13 % der Entwickler und 10 % der Manager sagen, dass sichere Code-Praktiken in die Designphasen integriert werden sollten - gleich zu Beginn des SDLC. Dies ist eine riesige und nicht realisierte Chance. Laut einer IBM-Studie ist es dreißigmal teurer, Schwachstellen in nachträglich veröffentlichtem Code zu beheben, als wenn sie von Anfang an gefunden und behoben werden.1 Das ist ein starker Anreiz für eine neue proaktive und menschengeführte Verteidigung der Softwaresicherheit, die Entwickler dazu befähigt, von Anfang an sicherer zu programmieren. Softwaresicherheit kann nicht allein durch den Einsatz von Werkzeugen gelöst werden - sie muss das menschliche Element mit einbeziehen.
Ist das menschliche Element vorbereitet?
97 % der befragten Entwickler sind der Meinung, dass sie ausreichend in sicherem Coding geschult wurden, und 95 % stimmten zu, dass die Schulung in sicherem Coding für ihre Karriere wertvoll gewesen sei. Doch bevor wir diese Behauptungen für bare Münze nehmen, müssen wir uns fragen: Warum sind Code-Schwachstellen immer noch so weit verbreitet? Sind die Behauptungen von Entwicklern über sicheres Code-Know-how nur ein Fall von menschlichem Ego? Die Beweise deuten sicherlich in diese Richtung. Ein bescheideneres Eingeständnis ist, dass mehr als 88 % der befragten Entwickler zugeben, dass sicheres Coding schwer zu erlernen ist, und 91 % der Entwicklungsleiter räumen ein, dass sichere Coding-Praktiken schwierig zu implementieren sind. Auf die Frage nach den größten persönlichen Bedenken im Zusammenhang mit der Implementierung von sicherem Code geben 28 % der Entwickler an, dass sie den Lernprozess als schwierig empfinden, während 24 % den Lernprozess als langweilig empfinden. Dies deutet darauf hin, dass die Entwicklerschulung verbessert werden muss.
Was braucht das menschliche Element?
Um den Faktor "Herausforderung" zu überwinden, erfordert ein lohnenswertes Sicherheitstraining einen "Gerüst"-Prozess, der den Entwickler dabei unterstützt, Schritt für Schritt sichere Codierungsfähigkeiten aufzubauen. Für maximale Relevanz und unmittelbare Anwendbarkeit sollte dieses Training in der spezifischen Sprache:Framework stattfinden, die sie jeden Tag benutzen.
Um den "Langeweile"-Faktor zu überwinden, müssen Schulungen zu sicherem Code auf praktische Art und Weise vermittelt werden - dies ist für Entwickler nachweislich weitaus fesselnder als veraltete Klassenzimmer- oder "Schau dir dieses Video an"-Modelle. Dazu sollten Live-Simulationen gehören, die es den Entwicklern ermöglichen, manchmal riskante Sicherheitsherausforderungen in einer sicheren Umgebung zu bewältigen. Das Ziel sollte sein, Entwicklern beizubringen, wie sie Schwachstellen im Code finden und beheben können, während sie arbeiten, und sicheres Coding zu einem Teil ihres täglichen Arbeitsablaufs zu machen. Ein weiterer wichtiger Faktor ist das Linting und Coaching innerhalb der IDE, das den Entwicklern hilft, während des Programmierens ständig dazuzulernen und Schwachstellen zu vermeiden und zu beseitigen.
Wenn Sie herausfinden möchten, wie Sie Ihren Entwicklern dieses neue Niveau an entwicklerzentrierten Tools und Schulungen bieten können, eine Demo buchen jetzt.
Sie können auch Ihr Exemplar herunterladen das Whitepaper Shifting from reaction to prevention: Das sich verändernde Gesicht der Anwendungssicherheit.
.avif)
.avif)
Da die Zahl der Cyber-Bedrohungen weiter zunimmt, müssen Unternehmen täglich Kompromisse zwischen Sicherheit, Praktikabilität und Geschwindigkeit eingehen - und setzen sich dabei Risiken aus.
Secure Code Warrior macht sicheres Programmieren zu einer positiven und fesselnden Erfahrung für Entwickler, die ihre Fähigkeiten ausbauen. Wir leiten jeden Programmierer auf seinem bevorzugten Lernpfad an, damit sicherheitskompetente Entwickler zu den täglichen Superhelden unserer vernetzten Welt werden.
Secure Code Warrior ist für Ihr Unternehmen da, um Sie dabei zu unterstützen, Ihren Code über den gesamten Lebenszyklus der Softwareentwicklung hinweg zu sichern und eine Kultur zu schaffen, in der Cybersicherheit an erster Stelle steht. Ganz gleich, ob Sie AppSec-Manager, Entwickler, CISO oder ein anderer Sicherheitsverantwortlicher sind, wir können Ihrem Unternehmen helfen, die mit unsicherem Code verbundenen Risiken zu reduzieren.
Demo buchen
Secure Code Warrior macht sicheres Programmieren zu einer positiven und fesselnden Erfahrung für Entwickler, die ihre Fähigkeiten ausbauen. Wir leiten jeden Programmierer auf seinem bevorzugten Lernpfad an, damit sicherheitskompetente Entwickler zu den täglichen Superhelden unserer vernetzten Welt werden.
Secure Code Warrior baut eine Kultur von sicherheitsorientierten Entwicklern auf, indem es ihnen die Fähigkeiten vermittelt, sicher zu programmieren. Unser Flaggschiff Agile Learning Platform bietet relevante fähigkeitsbasierte Pfade, praktische Übungen missions und kontextbezogene Tools, mit denen Entwickler ihre Fähigkeiten zum Schreiben von sicherem Code schnell erlernen, aufbauen und anwenden können.
Da die Zahl der Cyber-Bedrohungen weiter zunimmt, müssen Unternehmen täglich Kompromisse zwischen Sicherheit, Praktikabilität und Geschwindigkeit eingehen - und setzen sich dabei Risiken aus. Deshalb hat Secure Code Warrior in Zusammenarbeit mit Evans Data Corp. eine Studie durchgeführt, die die Einstellung von Entwicklern zu sicherem Coding, sicheren Code-Praktiken und Sicherheitsabläufen untersucht hat (Download des Whitepapers hier).
Was dieser Bericht zeigt, ist, dass zwar immer noch reaktives Denken alter Schule" vorherrscht, aber das Bewusstsein für die Notwendigkeit proaktiverer Lösungen wächst, die die Entwickler selbst zur ersten Verteidigungslinie machen.
Jede Untersuchung der Einführung von sicheren Codierungspraktiken muss mit einem Verständnis der Menschen beginnen, die an der Implementierung beteiligt sind, ihrer Wahrnehmung davon und ihrer Fähigkeit, sie zu implementieren. Dies führt dann zum wichtigsten Teil des Puzzles - wie können sie befähigt werden, von Anfang an sicherer zu programmieren und qualitativ hochwertigen Code schneller und mit Zuversicht zu liefern?
Sicheres Kodieren - wo stehen wir heute, und was muss sich ändern? Herunterladen die Infografik 'The Human Element' jetzt.
Aktuelle Perspektiven - reaktiv vs. proaktiv
Als Entwickler und Entwicklungsleiter nach den Aktivitäten gefragt wurden, die sie mit sicherer Programmierung verbinden, waren die drei wichtigsten Antworten:
- Verwendung von Scan-Tools für installierte Anwendungen.
- Manuelles Überprüfen von Code auf Schwachstellen.
- Die aktive und fortlaufende Praxis, Software zu schreiben, die vor Sicherheitslücken geschützt ist.
Wie wir sehen können, konzentrierten sich zwei der drei Top-Antworten immer noch auf reaktive Ansätze - die erste abhängig von Tooling (Scannern) und die zweite auf den Entwickler (d.h. Menschen), der manuelle Prüfungen durchführt.
Gleichzeitig sind zwei der drei nominierten Aktivitäten auf das menschliche Element angewiesen. Dies deutet auf eine wachsende Wahrnehmung von Sicherheit als menschliches Problem hin. Aber von allen nominierten Aktivitäten ist die aufschlussreichste die Nr. 3, die den menschlichen Faktor beim Schreiben von Software identifiziert , die von vornherein vor Schwachstellen geschützt ist. Dies unterstreicht eine Verschiebung nach links - ein proaktiver und präventiver Ansatz, der Sicherheit von Beginn des SDLC an in die Software einbaut.
Wo passt die Sicherheit in den SDLC?
Wenn Entwickler und Entwicklungsmanager gefragt werden, wo sie die Integration von Secure Code-Praktiken in den SDLC sehen, gehen die Meinungen auseinander. 55 % der Manager glauben, dass sicheres Coding in den gesamten Entwicklungsprozess integriert ist, verglichen mit nur 43 % der Entwickler. Der Unterschied könnte auf die unterschiedlichen Rollen dieser beiden Gruppen innerhalb des SDLC zurückzuführen sein. Das Management ist in der Regel weniger in die eigentliche Arbeit der Kodierung involviert und hat eher eine übergeordnete Sichtweise, während sich die Entwickler eher mit den Details beschäftigen.
Aus der Sicht der allgemeinen Sicherheit und Codequalität ist es jedoch alarmierend, dass nur 13 % der Entwickler und 10 % der Manager sagen, dass sichere Code-Praktiken in die Designphasen integriert werden sollten - gleich zu Beginn des SDLC. Dies ist eine riesige und nicht realisierte Chance. Laut einer IBM-Studie ist es dreißigmal teurer, Schwachstellen in nachträglich veröffentlichtem Code zu beheben, als wenn sie von Anfang an gefunden und behoben werden.1 Das ist ein starker Anreiz für eine neue proaktive und menschengeführte Verteidigung der Softwaresicherheit, die Entwickler dazu befähigt, von Anfang an sicherer zu programmieren. Softwaresicherheit kann nicht allein durch den Einsatz von Werkzeugen gelöst werden - sie muss das menschliche Element mit einbeziehen.
Ist das menschliche Element vorbereitet?
97 % der befragten Entwickler sind der Meinung, dass sie ausreichend in sicherem Coding geschult wurden, und 95 % stimmten zu, dass die Schulung in sicherem Coding für ihre Karriere wertvoll gewesen sei. Doch bevor wir diese Behauptungen für bare Münze nehmen, müssen wir uns fragen: Warum sind Code-Schwachstellen immer noch so weit verbreitet? Sind die Behauptungen von Entwicklern über sicheres Code-Know-how nur ein Fall von menschlichem Ego? Die Beweise deuten sicherlich in diese Richtung. Ein bescheideneres Eingeständnis ist, dass mehr als 88 % der befragten Entwickler zugeben, dass sicheres Coding schwer zu erlernen ist, und 91 % der Entwicklungsleiter räumen ein, dass sichere Coding-Praktiken schwierig zu implementieren sind. Auf die Frage nach den größten persönlichen Bedenken im Zusammenhang mit der Implementierung von sicherem Code geben 28 % der Entwickler an, dass sie den Lernprozess als schwierig empfinden, während 24 % den Lernprozess als langweilig empfinden. Dies deutet darauf hin, dass die Entwicklerschulung verbessert werden muss.
Was braucht das menschliche Element?
Um den Faktor "Herausforderung" zu überwinden, erfordert ein lohnenswertes Sicherheitstraining einen "Gerüst"-Prozess, der den Entwickler dabei unterstützt, Schritt für Schritt sichere Codierungsfähigkeiten aufzubauen. Für maximale Relevanz und unmittelbare Anwendbarkeit sollte dieses Training in der spezifischen Sprache:Framework stattfinden, die sie jeden Tag benutzen.
Um den "Langeweile"-Faktor zu überwinden, müssen Schulungen zu sicherem Code auf praktische Art und Weise vermittelt werden - dies ist für Entwickler nachweislich weitaus fesselnder als veraltete Klassenzimmer- oder "Schau dir dieses Video an"-Modelle. Dazu sollten Live-Simulationen gehören, die es den Entwicklern ermöglichen, manchmal riskante Sicherheitsherausforderungen in einer sicheren Umgebung zu bewältigen. Das Ziel sollte sein, Entwicklern beizubringen, wie sie Schwachstellen im Code finden und beheben können, während sie arbeiten, und sicheres Coding zu einem Teil ihres täglichen Arbeitsablaufs zu machen. Ein weiterer wichtiger Faktor ist das Linting und Coaching innerhalb der IDE, das den Entwicklern hilft, während des Programmierens ständig dazuzulernen und Schwachstellen zu vermeiden und zu beseitigen.
Wenn Sie herausfinden möchten, wie Sie Ihren Entwicklern dieses neue Niveau an entwicklerzentrierten Tools und Schulungen bieten können, eine Demo buchen jetzt.
Sie können auch Ihr Exemplar herunterladen das Whitepaper Shifting from reaction to prevention: Das sich verändernde Gesicht der Anwendungssicherheit.
Da die Zahl der Cyber-Bedrohungen weiter zunimmt, müssen Unternehmen täglich Kompromisse zwischen Sicherheit, Praktikabilität und Geschwindigkeit eingehen - und setzen sich dabei Risiken aus. Deshalb hat Secure Code Warrior in Zusammenarbeit mit Evans Data Corp. eine Studie durchgeführt, die die Einstellung von Entwicklern zu sicherem Coding, sicheren Code-Praktiken und Sicherheitsabläufen untersucht hat (Download des Whitepapers hier).
Was dieser Bericht zeigt, ist, dass zwar immer noch reaktives Denken alter Schule" vorherrscht, aber das Bewusstsein für die Notwendigkeit proaktiverer Lösungen wächst, die die Entwickler selbst zur ersten Verteidigungslinie machen.
Jede Untersuchung der Einführung von sicheren Codierungspraktiken muss mit einem Verständnis der Menschen beginnen, die an der Implementierung beteiligt sind, ihrer Wahrnehmung davon und ihrer Fähigkeit, sie zu implementieren. Dies führt dann zum wichtigsten Teil des Puzzles - wie können sie befähigt werden, von Anfang an sicherer zu programmieren und qualitativ hochwertigen Code schneller und mit Zuversicht zu liefern?
Sicheres Kodieren - wo stehen wir heute, und was muss sich ändern? Herunterladen die Infografik 'The Human Element' jetzt.
Aktuelle Perspektiven - reaktiv vs. proaktiv
Als Entwickler und Entwicklungsleiter nach den Aktivitäten gefragt wurden, die sie mit sicherer Programmierung verbinden, waren die drei wichtigsten Antworten:
- Verwendung von Scan-Tools für installierte Anwendungen.
- Manuelles Überprüfen von Code auf Schwachstellen.
- Die aktive und fortlaufende Praxis, Software zu schreiben, die vor Sicherheitslücken geschützt ist.
Wie wir sehen können, konzentrierten sich zwei der drei Top-Antworten immer noch auf reaktive Ansätze - die erste abhängig von Tooling (Scannern) und die zweite auf den Entwickler (d.h. Menschen), der manuelle Prüfungen durchführt.
Gleichzeitig sind zwei der drei nominierten Aktivitäten auf das menschliche Element angewiesen. Dies deutet auf eine wachsende Wahrnehmung von Sicherheit als menschliches Problem hin. Aber von allen nominierten Aktivitäten ist die aufschlussreichste die Nr. 3, die den menschlichen Faktor beim Schreiben von Software identifiziert , die von vornherein vor Schwachstellen geschützt ist. Dies unterstreicht eine Verschiebung nach links - ein proaktiver und präventiver Ansatz, der Sicherheit von Beginn des SDLC an in die Software einbaut.
Wo passt die Sicherheit in den SDLC?
Wenn Entwickler und Entwicklungsmanager gefragt werden, wo sie die Integration von Secure Code-Praktiken in den SDLC sehen, gehen die Meinungen auseinander. 55 % der Manager glauben, dass sicheres Coding in den gesamten Entwicklungsprozess integriert ist, verglichen mit nur 43 % der Entwickler. Der Unterschied könnte auf die unterschiedlichen Rollen dieser beiden Gruppen innerhalb des SDLC zurückzuführen sein. Das Management ist in der Regel weniger in die eigentliche Arbeit der Kodierung involviert und hat eher eine übergeordnete Sichtweise, während sich die Entwickler eher mit den Details beschäftigen.
Aus der Sicht der allgemeinen Sicherheit und Codequalität ist es jedoch alarmierend, dass nur 13 % der Entwickler und 10 % der Manager sagen, dass sichere Code-Praktiken in die Designphasen integriert werden sollten - gleich zu Beginn des SDLC. Dies ist eine riesige und nicht realisierte Chance. Laut einer IBM-Studie ist es dreißigmal teurer, Schwachstellen in nachträglich veröffentlichtem Code zu beheben, als wenn sie von Anfang an gefunden und behoben werden.1 Das ist ein starker Anreiz für eine neue proaktive und menschengeführte Verteidigung der Softwaresicherheit, die Entwickler dazu befähigt, von Anfang an sicherer zu programmieren. Softwaresicherheit kann nicht allein durch den Einsatz von Werkzeugen gelöst werden - sie muss das menschliche Element mit einbeziehen.
Ist das menschliche Element vorbereitet?
97 % der befragten Entwickler sind der Meinung, dass sie ausreichend in sicherem Coding geschult wurden, und 95 % stimmten zu, dass die Schulung in sicherem Coding für ihre Karriere wertvoll gewesen sei. Doch bevor wir diese Behauptungen für bare Münze nehmen, müssen wir uns fragen: Warum sind Code-Schwachstellen immer noch so weit verbreitet? Sind die Behauptungen von Entwicklern über sicheres Code-Know-how nur ein Fall von menschlichem Ego? Die Beweise deuten sicherlich in diese Richtung. Ein bescheideneres Eingeständnis ist, dass mehr als 88 % der befragten Entwickler zugeben, dass sicheres Coding schwer zu erlernen ist, und 91 % der Entwicklungsleiter räumen ein, dass sichere Coding-Praktiken schwierig zu implementieren sind. Auf die Frage nach den größten persönlichen Bedenken im Zusammenhang mit der Implementierung von sicherem Code geben 28 % der Entwickler an, dass sie den Lernprozess als schwierig empfinden, während 24 % den Lernprozess als langweilig empfinden. Dies deutet darauf hin, dass die Entwicklerschulung verbessert werden muss.
Was braucht das menschliche Element?
Um den Faktor "Herausforderung" zu überwinden, erfordert ein lohnenswertes Sicherheitstraining einen "Gerüst"-Prozess, der den Entwickler dabei unterstützt, Schritt für Schritt sichere Codierungsfähigkeiten aufzubauen. Für maximale Relevanz und unmittelbare Anwendbarkeit sollte dieses Training in der spezifischen Sprache:Framework stattfinden, die sie jeden Tag benutzen.
Um den "Langeweile"-Faktor zu überwinden, müssen Schulungen zu sicherem Code auf praktische Art und Weise vermittelt werden - dies ist für Entwickler nachweislich weitaus fesselnder als veraltete Klassenzimmer- oder "Schau dir dieses Video an"-Modelle. Dazu sollten Live-Simulationen gehören, die es den Entwicklern ermöglichen, manchmal riskante Sicherheitsherausforderungen in einer sicheren Umgebung zu bewältigen. Das Ziel sollte sein, Entwicklern beizubringen, wie sie Schwachstellen im Code finden und beheben können, während sie arbeiten, und sicheres Coding zu einem Teil ihres täglichen Arbeitsablaufs zu machen. Ein weiterer wichtiger Faktor ist das Linting und Coaching innerhalb der IDE, das den Entwicklern hilft, während des Programmierens ständig dazuzulernen und Schwachstellen zu vermeiden und zu beseitigen.
Wenn Sie herausfinden möchten, wie Sie Ihren Entwicklern dieses neue Niveau an entwicklerzentrierten Tools und Schulungen bieten können, eine Demo buchen jetzt.
Sie können auch Ihr Exemplar herunterladen das Whitepaper Shifting from reaction to prevention: Das sich verändernde Gesicht der Anwendungssicherheit.
Klicken Sie auf den unten stehenden Link und laden Sie die PDF-Datei dieser Ressource herunter.
Secure Code Warrior ist für Ihr Unternehmen da, um Sie dabei zu unterstützen, Ihren Code über den gesamten Lebenszyklus der Softwareentwicklung hinweg zu sichern und eine Kultur zu schaffen, in der Cybersicherheit an erster Stelle steht. Ganz gleich, ob Sie AppSec-Manager, Entwickler, CISO oder ein anderer Sicherheitsverantwortlicher sind, wir können Ihrem Unternehmen helfen, die mit unsicherem Code verbundenen Risiken zu reduzieren.
Bericht ansehenDemo buchen
Secure Code Warrior macht sicheres Programmieren zu einer positiven und fesselnden Erfahrung für Entwickler, die ihre Fähigkeiten ausbauen. Wir leiten jeden Programmierer auf seinem bevorzugten Lernpfad an, damit sicherheitskompetente Entwickler zu den täglichen Superhelden unserer vernetzten Welt werden.
Secure Code Warrior baut eine Kultur von sicherheitsorientierten Entwicklern auf, indem es ihnen die Fähigkeiten vermittelt, sicher zu programmieren. Unser Flaggschiff Agile Learning Platform bietet relevante fähigkeitsbasierte Pfade, praktische Übungen missions und kontextbezogene Tools, mit denen Entwickler ihre Fähigkeiten zum Schreiben von sicherem Code schnell erlernen, aufbauen und anwenden können.
Da die Zahl der Cyber-Bedrohungen weiter zunimmt, müssen Unternehmen täglich Kompromisse zwischen Sicherheit, Praktikabilität und Geschwindigkeit eingehen - und setzen sich dabei Risiken aus. Deshalb hat Secure Code Warrior in Zusammenarbeit mit Evans Data Corp. eine Studie durchgeführt, die die Einstellung von Entwicklern zu sicherem Coding, sicheren Code-Praktiken und Sicherheitsabläufen untersucht hat (Download des Whitepapers hier).
Was dieser Bericht zeigt, ist, dass zwar immer noch reaktives Denken alter Schule" vorherrscht, aber das Bewusstsein für die Notwendigkeit proaktiverer Lösungen wächst, die die Entwickler selbst zur ersten Verteidigungslinie machen.
Jede Untersuchung der Einführung von sicheren Codierungspraktiken muss mit einem Verständnis der Menschen beginnen, die an der Implementierung beteiligt sind, ihrer Wahrnehmung davon und ihrer Fähigkeit, sie zu implementieren. Dies führt dann zum wichtigsten Teil des Puzzles - wie können sie befähigt werden, von Anfang an sicherer zu programmieren und qualitativ hochwertigen Code schneller und mit Zuversicht zu liefern?
Sicheres Kodieren - wo stehen wir heute, und was muss sich ändern? Herunterladen die Infografik 'The Human Element' jetzt.
Aktuelle Perspektiven - reaktiv vs. proaktiv
Als Entwickler und Entwicklungsleiter nach den Aktivitäten gefragt wurden, die sie mit sicherer Programmierung verbinden, waren die drei wichtigsten Antworten:
- Verwendung von Scan-Tools für installierte Anwendungen.
- Manuelles Überprüfen von Code auf Schwachstellen.
- Die aktive und fortlaufende Praxis, Software zu schreiben, die vor Sicherheitslücken geschützt ist.
Wie wir sehen können, konzentrierten sich zwei der drei Top-Antworten immer noch auf reaktive Ansätze - die erste abhängig von Tooling (Scannern) und die zweite auf den Entwickler (d.h. Menschen), der manuelle Prüfungen durchführt.
Gleichzeitig sind zwei der drei nominierten Aktivitäten auf das menschliche Element angewiesen. Dies deutet auf eine wachsende Wahrnehmung von Sicherheit als menschliches Problem hin. Aber von allen nominierten Aktivitäten ist die aufschlussreichste die Nr. 3, die den menschlichen Faktor beim Schreiben von Software identifiziert , die von vornherein vor Schwachstellen geschützt ist. Dies unterstreicht eine Verschiebung nach links - ein proaktiver und präventiver Ansatz, der Sicherheit von Beginn des SDLC an in die Software einbaut.
Wo passt die Sicherheit in den SDLC?
Wenn Entwickler und Entwicklungsmanager gefragt werden, wo sie die Integration von Secure Code-Praktiken in den SDLC sehen, gehen die Meinungen auseinander. 55 % der Manager glauben, dass sicheres Coding in den gesamten Entwicklungsprozess integriert ist, verglichen mit nur 43 % der Entwickler. Der Unterschied könnte auf die unterschiedlichen Rollen dieser beiden Gruppen innerhalb des SDLC zurückzuführen sein. Das Management ist in der Regel weniger in die eigentliche Arbeit der Kodierung involviert und hat eher eine übergeordnete Sichtweise, während sich die Entwickler eher mit den Details beschäftigen.
Aus der Sicht der allgemeinen Sicherheit und Codequalität ist es jedoch alarmierend, dass nur 13 % der Entwickler und 10 % der Manager sagen, dass sichere Code-Praktiken in die Designphasen integriert werden sollten - gleich zu Beginn des SDLC. Dies ist eine riesige und nicht realisierte Chance. Laut einer IBM-Studie ist es dreißigmal teurer, Schwachstellen in nachträglich veröffentlichtem Code zu beheben, als wenn sie von Anfang an gefunden und behoben werden.1 Das ist ein starker Anreiz für eine neue proaktive und menschengeführte Verteidigung der Softwaresicherheit, die Entwickler dazu befähigt, von Anfang an sicherer zu programmieren. Softwaresicherheit kann nicht allein durch den Einsatz von Werkzeugen gelöst werden - sie muss das menschliche Element mit einbeziehen.
Ist das menschliche Element vorbereitet?
97 % der befragten Entwickler sind der Meinung, dass sie ausreichend in sicherem Coding geschult wurden, und 95 % stimmten zu, dass die Schulung in sicherem Coding für ihre Karriere wertvoll gewesen sei. Doch bevor wir diese Behauptungen für bare Münze nehmen, müssen wir uns fragen: Warum sind Code-Schwachstellen immer noch so weit verbreitet? Sind die Behauptungen von Entwicklern über sicheres Code-Know-how nur ein Fall von menschlichem Ego? Die Beweise deuten sicherlich in diese Richtung. Ein bescheideneres Eingeständnis ist, dass mehr als 88 % der befragten Entwickler zugeben, dass sicheres Coding schwer zu erlernen ist, und 91 % der Entwicklungsleiter räumen ein, dass sichere Coding-Praktiken schwierig zu implementieren sind. Auf die Frage nach den größten persönlichen Bedenken im Zusammenhang mit der Implementierung von sicherem Code geben 28 % der Entwickler an, dass sie den Lernprozess als schwierig empfinden, während 24 % den Lernprozess als langweilig empfinden. Dies deutet darauf hin, dass die Entwicklerschulung verbessert werden muss.
Was braucht das menschliche Element?
Um den Faktor "Herausforderung" zu überwinden, erfordert ein lohnenswertes Sicherheitstraining einen "Gerüst"-Prozess, der den Entwickler dabei unterstützt, Schritt für Schritt sichere Codierungsfähigkeiten aufzubauen. Für maximale Relevanz und unmittelbare Anwendbarkeit sollte dieses Training in der spezifischen Sprache:Framework stattfinden, die sie jeden Tag benutzen.
Um den "Langeweile"-Faktor zu überwinden, müssen Schulungen zu sicherem Code auf praktische Art und Weise vermittelt werden - dies ist für Entwickler nachweislich weitaus fesselnder als veraltete Klassenzimmer- oder "Schau dir dieses Video an"-Modelle. Dazu sollten Live-Simulationen gehören, die es den Entwicklern ermöglichen, manchmal riskante Sicherheitsherausforderungen in einer sicheren Umgebung zu bewältigen. Das Ziel sollte sein, Entwicklern beizubringen, wie sie Schwachstellen im Code finden und beheben können, während sie arbeiten, und sicheres Coding zu einem Teil ihres täglichen Arbeitsablaufs zu machen. Ein weiterer wichtiger Faktor ist das Linting und Coaching innerhalb der IDE, das den Entwicklern hilft, während des Programmierens ständig dazuzulernen und Schwachstellen zu vermeiden und zu beseitigen.
Wenn Sie herausfinden möchten, wie Sie Ihren Entwicklern dieses neue Niveau an entwicklerzentrierten Tools und Schulungen bieten können, eine Demo buchen jetzt.
Sie können auch Ihr Exemplar herunterladen das Whitepaper Shifting from reaction to prevention: Das sich verändernde Gesicht der Anwendungssicherheit.
Inhaltsübersicht
Secure Code Warrior macht sicheres Programmieren zu einer positiven und fesselnden Erfahrung für Entwickler, die ihre Fähigkeiten ausbauen. Wir leiten jeden Programmierer auf seinem bevorzugten Lernpfad an, damit sicherheitskompetente Entwickler zu den täglichen Superhelden unserer vernetzten Welt werden.
Secure Code Warrior ist für Ihr Unternehmen da, um Sie dabei zu unterstützen, Ihren Code über den gesamten Lebenszyklus der Softwareentwicklung hinweg zu sichern und eine Kultur zu schaffen, in der Cybersicherheit an erster Stelle steht. Ganz gleich, ob Sie AppSec-Manager, Entwickler, CISO oder ein anderer Sicherheitsverantwortlicher sind, wir können Ihrem Unternehmen helfen, die mit unsicherem Code verbundenen Risiken zu reduzieren.
Demo buchenHerunterladenRessourcen für den Einstieg
Benchmarking von Sicherheitskompetenzen: Optimierung von Secure-by-Design im Unternehmen
Die Secure-by-Design-Bewegung ist die Zukunft der sicheren Softwareentwicklung. Erfahren Sie mehr über die wichtigsten Elemente, die Unternehmen berücksichtigen müssen, wenn sie über eine Secure-by-Design-Initiative nachdenken.
DigitalOcean verringert Sicherheitsverschuldung mit Secure Code Warrior
DigitalOceans Einsatz von Secure Code Warrior hat die Sicherheitsverschuldung deutlich reduziert, so dass sich die Teams stärker auf Innovation und Produktivität konzentrieren können. Die verbesserte Sicherheit hat die Produktqualität und den Wettbewerbsvorteil des Unternehmens gestärkt. Mit Blick auf die Zukunft wird der SCW Trust Score dem Unternehmen helfen, seine Sicherheitspraktiken weiter zu verbessern und Innovationen voranzutreiben.
Ressourcen für den Einstieg
Trust Score zeigt den Wert von Secure-by-Design-Upskilling-Initiativen
Unsere Forschung hat gezeigt, dass Schulungen für sicheren Code funktionieren. Trust Score verwendet einen Algorithmus, der auf mehr als 20 Millionen Lerndaten aus der Arbeit von mehr als 250.000 Lernenden in über 600 Organisationen basiert, und zeigt, wie effektiv die Initiative ist, um Schwachstellen zu beseitigen und wie man sie noch effektiver gestalten kann.
.png)
Reaktive versus präventive Sicherheit: Prävention ist das bessere Heilmittel
Der Gedanke, Legacy-Code und -Systeme zur gleichen Zeit wie neuere Anwendungen mit präventiver Sicherheit auszustatten, kann entmutigend erscheinen, aber ein Secure-by-Design-Ansatz, der durch die Weiterbildung von Entwicklern durchgesetzt wird, kann die besten Sicherheitsverfahren auf diese Systeme anwenden. Dies ist für viele Unternehmen die beste Chance, ihre Sicherheitslage zu verbessern.
Die Vorteile eines Benchmarking der Sicherheitskompetenzen von Entwicklern
Der zunehmende Fokus auf sicheren Code und Secure-by-Design-Prinzipien erfordert, dass Entwickler von Beginn des SDLC an in Cybersicherheit geschult werden, wobei Tools wie Secure Code Warrior's Trust Score dabei helfen, ihre Fortschritte zu messen und zu verbessern.
Wesentlicher Erfolg für Enterprise Secure-by-Design-Initiativen
Unser jüngstes Forschungspapier „Benchmarking Security Skills: Streamlining Secure-by-Design in the Enterprise“ ist das Ergebnis einer umfassenden Analyse echter Secure-by-Design-Initiativen auf Unternehmensebene und der Ableitung von Best-Practice-Ansätzen auf Grundlage datengesteuerter Erkenntnisse.
Entwicklergesteuerte Kodierung.
Sicher ist sicher.
Setzen Sie sich noch heute mit uns in Verbindung und machen Sie Softwaresicherheit zu einem festen Bestandteil Ihres Entwicklungsprozesses.
