Welche Rolle spielt das menschliche Element in der Zukunft der sicheren Codierung?
Da die Zahl der Cyber-Bedrohungen weiter zunimmt, müssen Unternehmen täglich Kompromisse zwischen Sicherheit, Praktikabilität und Geschwindigkeit eingehen - und setzen sich dabei Risiken aus. Deshalb hat Secure Code Warrior in Zusammenarbeit mit Evans Data Corp. eine Studie durchgeführt, die die Einstellung von Entwicklern zu sicherem Coding, sicheren Code-Praktiken und Sicherheitsabläufen untersucht hat (Download des Whitepapers hier).
Was dieser Bericht zeigt, ist, dass zwar immer noch reaktives Denken alter Schule" vorherrscht, aber das Bewusstsein für die Notwendigkeit proaktiverer Lösungen wächst, die die Entwickler selbst zur ersten Verteidigungslinie machen.
Jede Untersuchung der Einführung von sicheren Codierungspraktiken muss mit einem Verständnis der Menschen beginnen, die an der Implementierung beteiligt sind, ihrer Wahrnehmung davon und ihrer Fähigkeit, sie zu implementieren. Dies führt dann zum wichtigsten Teil des Puzzles - wie können sie befähigt werden, von Anfang an sicherer zu programmieren und qualitativ hochwertigen Code schneller und mit Zuversicht zu liefern?
Sicheres Kodieren - wo stehen wir heute, und was muss sich ändern? Herunterladen die Infografik 'The Human Element' jetzt.
Aktuelle Perspektiven - reaktiv vs. proaktiv
Als Entwickler und Entwicklungsleiter nach den Aktivitäten gefragt wurden, die sie mit sicherer Programmierung verbinden, waren die drei wichtigsten Antworten:
- Verwendung von Scan-Tools für installierte Anwendungen.
- Manuelles Überprüfen von Code auf Schwachstellen.
- Die aktive und fortlaufende Praxis, Software zu schreiben, die vor Sicherheitslücken geschützt ist.
Wie wir sehen können, konzentrierten sich zwei der drei Top-Antworten immer noch auf reaktive Ansätze - die erste abhängig von Tooling (Scannern) und die zweite auf den Entwickler (d.h. Menschen), der manuelle Prüfungen durchführt.
Gleichzeitig sind zwei der drei nominierten Aktivitäten auf das menschliche Element angewiesen. Dies deutet auf eine wachsende Wahrnehmung von Sicherheit als menschliches Problem hin. Aber von allen nominierten Aktivitäten ist die aufschlussreichste die Nr. 3, die den menschlichen Faktor beim Schreiben von Software identifiziert , die von vornherein vor Schwachstellen geschützt ist. Dies unterstreicht eine Verschiebung nach links - ein proaktiver und präventiver Ansatz, der Sicherheit von Beginn des SDLC an in die Software einbaut.
Wo passt die Sicherheit in den SDLC?
Wenn Entwickler und Entwicklungsmanager gefragt werden, wo sie die Integration von Secure Code-Praktiken in den SDLC sehen, gehen die Meinungen auseinander. 55 % der Manager glauben, dass sicheres Coding in den gesamten Entwicklungsprozess integriert ist, verglichen mit nur 43 % der Entwickler. Der Unterschied könnte auf die unterschiedlichen Rollen dieser beiden Gruppen innerhalb des SDLC zurückzuführen sein. Das Management ist in der Regel weniger in die eigentliche Arbeit der Kodierung involviert und hat eher eine übergeordnete Sichtweise, während sich die Entwickler eher mit den Details beschäftigen.
Aus der Sicht der allgemeinen Sicherheit und Codequalität ist es jedoch alarmierend, dass nur 13 % der Entwickler und 10 % der Manager sagen, dass sichere Code-Praktiken in die Designphasen integriert werden sollten - gleich zu Beginn des SDLC. Dies ist eine riesige und nicht realisierte Chance. Laut einer IBM-Studie ist es dreißigmal teurer, Schwachstellen in nachträglich veröffentlichtem Code zu beheben, als wenn sie von Anfang an gefunden und behoben werden.1 Das ist ein starker Anreiz für eine neue proaktive und menschengeführte Verteidigung der Softwaresicherheit, die Entwickler dazu befähigt, von Anfang an sicherer zu programmieren. Softwaresicherheit kann nicht allein durch den Einsatz von Werkzeugen gelöst werden - sie muss das menschliche Element mit einbeziehen.
Ist das menschliche Element vorbereitet?
97 % der befragten Entwickler sind der Meinung, dass sie ausreichend in sicherem Coding geschult wurden, und 95 % stimmten zu, dass die Schulung in sicherem Coding für ihre Karriere wertvoll gewesen sei. Doch bevor wir diese Behauptungen für bare Münze nehmen, müssen wir uns fragen: Warum sind Code-Schwachstellen immer noch so weit verbreitet? Sind die Behauptungen von Entwicklern über sicheres Code-Know-how nur ein Fall von menschlichem Ego? Die Beweise deuten sicherlich in diese Richtung. Ein bescheideneres Eingeständnis ist, dass mehr als 88 % der befragten Entwickler zugeben, dass sicheres Coding schwer zu erlernen ist, und 91 % der Entwicklungsleiter räumen ein, dass sichere Coding-Praktiken schwierig zu implementieren sind. Auf die Frage nach den größten persönlichen Bedenken im Zusammenhang mit der Implementierung von sicherem Code geben 28 % der Entwickler an, dass sie den Lernprozess als schwierig empfinden, während 24 % den Lernprozess als langweilig empfinden. Dies deutet darauf hin, dass die Entwicklerschulung verbessert werden muss.
Was braucht das menschliche Element?
Um den Faktor "Herausforderung" zu überwinden, erfordert ein lohnenswertes Sicherheitstraining einen "Gerüst"-Prozess, der den Entwickler dabei unterstützt, Schritt für Schritt sichere Codierungsfähigkeiten aufzubauen. Für maximale Relevanz und unmittelbare Anwendbarkeit sollte dieses Training in der spezifischen Sprache:Framework stattfinden, die sie jeden Tag benutzen.
Um den "Langeweile"-Faktor zu überwinden, müssen Schulungen zu sicherem Code auf praktische Art und Weise vermittelt werden - dies ist für Entwickler nachweislich weitaus fesselnder als veraltete Klassenzimmer- oder "Schau dir dieses Video an"-Modelle. Dazu sollten Live-Simulationen gehören, die es den Entwicklern ermöglichen, manchmal riskante Sicherheitsherausforderungen in einer sicheren Umgebung zu bewältigen. Das Ziel sollte sein, Entwicklern beizubringen, wie sie Schwachstellen im Code finden und beheben können, während sie arbeiten, und sicheres Coding zu einem Teil ihres täglichen Arbeitsablaufs zu machen. Ein weiterer wichtiger Faktor ist das Linting und Coaching innerhalb der IDE, das den Entwicklern hilft, während des Programmierens ständig dazuzulernen und Schwachstellen zu vermeiden und zu beseitigen.
Wenn Sie herausfinden möchten, wie Sie Ihren Entwicklern dieses neue Niveau an entwicklerzentrierten Tools und Schulungen bieten können, eine Demo buchen jetzt.
Sie können auch Ihr Exemplar herunterladen das Whitepaper Shifting from reaction to prevention: Das sich verändernde Gesicht der Anwendungssicherheit.
.avif)
.avif)
Da die Zahl der Cyber-Bedrohungen weiter zunimmt, müssen Unternehmen täglich Kompromisse zwischen Sicherheit, Praktikabilität und Geschwindigkeit eingehen - und setzen sich dabei Risiken aus.
Secure Code Warrior macht sicheres Programmieren zu einer positiven und fesselnden Erfahrung für Entwickler, die ihre Fähigkeiten ausbauen. Wir leiten jeden Programmierer auf seinem bevorzugten Lernpfad an, damit sicherheitskompetente Entwickler zu den täglichen Superhelden unserer vernetzten Welt werden.
Secure Code Warrior ist für Ihr Unternehmen da, um Sie dabei zu unterstützen, Ihren Code über den gesamten Lebenszyklus der Softwareentwicklung hinweg zu sichern und eine Kultur zu schaffen, in der Cybersicherheit an erster Stelle steht. Ganz gleich, ob Sie AppSec-Manager, Entwickler, CISO oder ein anderer Sicherheitsverantwortlicher sind, wir können Ihrem Unternehmen helfen, die mit unsicherem Code verbundenen Risiken zu reduzieren.
Demo buchen
Secure Code Warrior macht sicheres Programmieren zu einer positiven und fesselnden Erfahrung für Entwickler, die ihre Fähigkeiten ausbauen. Wir leiten jeden Programmierer auf seinem bevorzugten Lernpfad an, damit sicherheitskompetente Entwickler zu den täglichen Superhelden unserer vernetzten Welt werden.
Dieser Artikel wurde verfasst von Secure Code Warrior Das Team von Branchenexperten hat es sich zur Aufgabe gemacht, Entwicklern das Wissen und die Fähigkeiten zu vermitteln, die sie brauchen, um von Anfang an sichere Software zu entwickeln. Dabei stützen wir uns auf umfassendes Fachwissen zu sicheren Codierungspraktiken, Branchentrends und Erkenntnissen aus der Praxis.
Da die Zahl der Cyber-Bedrohungen weiter zunimmt, müssen Unternehmen täglich Kompromisse zwischen Sicherheit, Praktikabilität und Geschwindigkeit eingehen - und setzen sich dabei Risiken aus. Deshalb hat Secure Code Warrior in Zusammenarbeit mit Evans Data Corp. eine Studie durchgeführt, die die Einstellung von Entwicklern zu sicherem Coding, sicheren Code-Praktiken und Sicherheitsabläufen untersucht hat (Download des Whitepapers hier).
Was dieser Bericht zeigt, ist, dass zwar immer noch reaktives Denken alter Schule" vorherrscht, aber das Bewusstsein für die Notwendigkeit proaktiverer Lösungen wächst, die die Entwickler selbst zur ersten Verteidigungslinie machen.
Jede Untersuchung der Einführung von sicheren Codierungspraktiken muss mit einem Verständnis der Menschen beginnen, die an der Implementierung beteiligt sind, ihrer Wahrnehmung davon und ihrer Fähigkeit, sie zu implementieren. Dies führt dann zum wichtigsten Teil des Puzzles - wie können sie befähigt werden, von Anfang an sicherer zu programmieren und qualitativ hochwertigen Code schneller und mit Zuversicht zu liefern?
Sicheres Kodieren - wo stehen wir heute, und was muss sich ändern? Herunterladen die Infografik 'The Human Element' jetzt.
Aktuelle Perspektiven - reaktiv vs. proaktiv
Als Entwickler und Entwicklungsleiter nach den Aktivitäten gefragt wurden, die sie mit sicherer Programmierung verbinden, waren die drei wichtigsten Antworten:
- Verwendung von Scan-Tools für installierte Anwendungen.
- Manuelles Überprüfen von Code auf Schwachstellen.
- Die aktive und fortlaufende Praxis, Software zu schreiben, die vor Sicherheitslücken geschützt ist.
Wie wir sehen können, konzentrierten sich zwei der drei Top-Antworten immer noch auf reaktive Ansätze - die erste abhängig von Tooling (Scannern) und die zweite auf den Entwickler (d.h. Menschen), der manuelle Prüfungen durchführt.
Gleichzeitig sind zwei der drei nominierten Aktivitäten auf das menschliche Element angewiesen. Dies deutet auf eine wachsende Wahrnehmung von Sicherheit als menschliches Problem hin. Aber von allen nominierten Aktivitäten ist die aufschlussreichste die Nr. 3, die den menschlichen Faktor beim Schreiben von Software identifiziert , die von vornherein vor Schwachstellen geschützt ist. Dies unterstreicht eine Verschiebung nach links - ein proaktiver und präventiver Ansatz, der Sicherheit von Beginn des SDLC an in die Software einbaut.
Wo passt die Sicherheit in den SDLC?
Wenn Entwickler und Entwicklungsmanager gefragt werden, wo sie die Integration von Secure Code-Praktiken in den SDLC sehen, gehen die Meinungen auseinander. 55 % der Manager glauben, dass sicheres Coding in den gesamten Entwicklungsprozess integriert ist, verglichen mit nur 43 % der Entwickler. Der Unterschied könnte auf die unterschiedlichen Rollen dieser beiden Gruppen innerhalb des SDLC zurückzuführen sein. Das Management ist in der Regel weniger in die eigentliche Arbeit der Kodierung involviert und hat eher eine übergeordnete Sichtweise, während sich die Entwickler eher mit den Details beschäftigen.
Aus der Sicht der allgemeinen Sicherheit und Codequalität ist es jedoch alarmierend, dass nur 13 % der Entwickler und 10 % der Manager sagen, dass sichere Code-Praktiken in die Designphasen integriert werden sollten - gleich zu Beginn des SDLC. Dies ist eine riesige und nicht realisierte Chance. Laut einer IBM-Studie ist es dreißigmal teurer, Schwachstellen in nachträglich veröffentlichtem Code zu beheben, als wenn sie von Anfang an gefunden und behoben werden.1 Das ist ein starker Anreiz für eine neue proaktive und menschengeführte Verteidigung der Softwaresicherheit, die Entwickler dazu befähigt, von Anfang an sicherer zu programmieren. Softwaresicherheit kann nicht allein durch den Einsatz von Werkzeugen gelöst werden - sie muss das menschliche Element mit einbeziehen.
Ist das menschliche Element vorbereitet?
97 % der befragten Entwickler sind der Meinung, dass sie ausreichend in sicherem Coding geschult wurden, und 95 % stimmten zu, dass die Schulung in sicherem Coding für ihre Karriere wertvoll gewesen sei. Doch bevor wir diese Behauptungen für bare Münze nehmen, müssen wir uns fragen: Warum sind Code-Schwachstellen immer noch so weit verbreitet? Sind die Behauptungen von Entwicklern über sicheres Code-Know-how nur ein Fall von menschlichem Ego? Die Beweise deuten sicherlich in diese Richtung. Ein bescheideneres Eingeständnis ist, dass mehr als 88 % der befragten Entwickler zugeben, dass sicheres Coding schwer zu erlernen ist, und 91 % der Entwicklungsleiter räumen ein, dass sichere Coding-Praktiken schwierig zu implementieren sind. Auf die Frage nach den größten persönlichen Bedenken im Zusammenhang mit der Implementierung von sicherem Code geben 28 % der Entwickler an, dass sie den Lernprozess als schwierig empfinden, während 24 % den Lernprozess als langweilig empfinden. Dies deutet darauf hin, dass die Entwicklerschulung verbessert werden muss.
Was braucht das menschliche Element?
Um den Faktor "Herausforderung" zu überwinden, erfordert ein lohnenswertes Sicherheitstraining einen "Gerüst"-Prozess, der den Entwickler dabei unterstützt, Schritt für Schritt sichere Codierungsfähigkeiten aufzubauen. Für maximale Relevanz und unmittelbare Anwendbarkeit sollte dieses Training in der spezifischen Sprache:Framework stattfinden, die sie jeden Tag benutzen.
Um den "Langeweile"-Faktor zu überwinden, müssen Schulungen zu sicherem Code auf praktische Art und Weise vermittelt werden - dies ist für Entwickler nachweislich weitaus fesselnder als veraltete Klassenzimmer- oder "Schau dir dieses Video an"-Modelle. Dazu sollten Live-Simulationen gehören, die es den Entwicklern ermöglichen, manchmal riskante Sicherheitsherausforderungen in einer sicheren Umgebung zu bewältigen. Das Ziel sollte sein, Entwicklern beizubringen, wie sie Schwachstellen im Code finden und beheben können, während sie arbeiten, und sicheres Coding zu einem Teil ihres täglichen Arbeitsablaufs zu machen. Ein weiterer wichtiger Faktor ist das Linting und Coaching innerhalb der IDE, das den Entwicklern hilft, während des Programmierens ständig dazuzulernen und Schwachstellen zu vermeiden und zu beseitigen.
Wenn Sie herausfinden möchten, wie Sie Ihren Entwicklern dieses neue Niveau an entwicklerzentrierten Tools und Schulungen bieten können, eine Demo buchen jetzt.
Sie können auch Ihr Exemplar herunterladen das Whitepaper Shifting from reaction to prevention: Das sich verändernde Gesicht der Anwendungssicherheit.
Da die Zahl der Cyber-Bedrohungen weiter zunimmt, müssen Unternehmen täglich Kompromisse zwischen Sicherheit, Praktikabilität und Geschwindigkeit eingehen - und setzen sich dabei Risiken aus. Deshalb hat Secure Code Warrior in Zusammenarbeit mit Evans Data Corp. eine Studie durchgeführt, die die Einstellung von Entwicklern zu sicherem Coding, sicheren Code-Praktiken und Sicherheitsabläufen untersucht hat (Download des Whitepapers hier).
Was dieser Bericht zeigt, ist, dass zwar immer noch reaktives Denken alter Schule" vorherrscht, aber das Bewusstsein für die Notwendigkeit proaktiverer Lösungen wächst, die die Entwickler selbst zur ersten Verteidigungslinie machen.
Jede Untersuchung der Einführung von sicheren Codierungspraktiken muss mit einem Verständnis der Menschen beginnen, die an der Implementierung beteiligt sind, ihrer Wahrnehmung davon und ihrer Fähigkeit, sie zu implementieren. Dies führt dann zum wichtigsten Teil des Puzzles - wie können sie befähigt werden, von Anfang an sicherer zu programmieren und qualitativ hochwertigen Code schneller und mit Zuversicht zu liefern?
Sicheres Kodieren - wo stehen wir heute, und was muss sich ändern? Herunterladen die Infografik 'The Human Element' jetzt.
Aktuelle Perspektiven - reaktiv vs. proaktiv
Als Entwickler und Entwicklungsleiter nach den Aktivitäten gefragt wurden, die sie mit sicherer Programmierung verbinden, waren die drei wichtigsten Antworten:
- Verwendung von Scan-Tools für installierte Anwendungen.
- Manuelles Überprüfen von Code auf Schwachstellen.
- Die aktive und fortlaufende Praxis, Software zu schreiben, die vor Sicherheitslücken geschützt ist.
Wie wir sehen können, konzentrierten sich zwei der drei Top-Antworten immer noch auf reaktive Ansätze - die erste abhängig von Tooling (Scannern) und die zweite auf den Entwickler (d.h. Menschen), der manuelle Prüfungen durchführt.
Gleichzeitig sind zwei der drei nominierten Aktivitäten auf das menschliche Element angewiesen. Dies deutet auf eine wachsende Wahrnehmung von Sicherheit als menschliches Problem hin. Aber von allen nominierten Aktivitäten ist die aufschlussreichste die Nr. 3, die den menschlichen Faktor beim Schreiben von Software identifiziert , die von vornherein vor Schwachstellen geschützt ist. Dies unterstreicht eine Verschiebung nach links - ein proaktiver und präventiver Ansatz, der Sicherheit von Beginn des SDLC an in die Software einbaut.
Wo passt die Sicherheit in den SDLC?
Wenn Entwickler und Entwicklungsmanager gefragt werden, wo sie die Integration von Secure Code-Praktiken in den SDLC sehen, gehen die Meinungen auseinander. 55 % der Manager glauben, dass sicheres Coding in den gesamten Entwicklungsprozess integriert ist, verglichen mit nur 43 % der Entwickler. Der Unterschied könnte auf die unterschiedlichen Rollen dieser beiden Gruppen innerhalb des SDLC zurückzuführen sein. Das Management ist in der Regel weniger in die eigentliche Arbeit der Kodierung involviert und hat eher eine übergeordnete Sichtweise, während sich die Entwickler eher mit den Details beschäftigen.
Aus der Sicht der allgemeinen Sicherheit und Codequalität ist es jedoch alarmierend, dass nur 13 % der Entwickler und 10 % der Manager sagen, dass sichere Code-Praktiken in die Designphasen integriert werden sollten - gleich zu Beginn des SDLC. Dies ist eine riesige und nicht realisierte Chance. Laut einer IBM-Studie ist es dreißigmal teurer, Schwachstellen in nachträglich veröffentlichtem Code zu beheben, als wenn sie von Anfang an gefunden und behoben werden.1 Das ist ein starker Anreiz für eine neue proaktive und menschengeführte Verteidigung der Softwaresicherheit, die Entwickler dazu befähigt, von Anfang an sicherer zu programmieren. Softwaresicherheit kann nicht allein durch den Einsatz von Werkzeugen gelöst werden - sie muss das menschliche Element mit einbeziehen.
Ist das menschliche Element vorbereitet?
97 % der befragten Entwickler sind der Meinung, dass sie ausreichend in sicherem Coding geschult wurden, und 95 % stimmten zu, dass die Schulung in sicherem Coding für ihre Karriere wertvoll gewesen sei. Doch bevor wir diese Behauptungen für bare Münze nehmen, müssen wir uns fragen: Warum sind Code-Schwachstellen immer noch so weit verbreitet? Sind die Behauptungen von Entwicklern über sicheres Code-Know-how nur ein Fall von menschlichem Ego? Die Beweise deuten sicherlich in diese Richtung. Ein bescheideneres Eingeständnis ist, dass mehr als 88 % der befragten Entwickler zugeben, dass sicheres Coding schwer zu erlernen ist, und 91 % der Entwicklungsleiter räumen ein, dass sichere Coding-Praktiken schwierig zu implementieren sind. Auf die Frage nach den größten persönlichen Bedenken im Zusammenhang mit der Implementierung von sicherem Code geben 28 % der Entwickler an, dass sie den Lernprozess als schwierig empfinden, während 24 % den Lernprozess als langweilig empfinden. Dies deutet darauf hin, dass die Entwicklerschulung verbessert werden muss.
Was braucht das menschliche Element?
Um den Faktor "Herausforderung" zu überwinden, erfordert ein lohnenswertes Sicherheitstraining einen "Gerüst"-Prozess, der den Entwickler dabei unterstützt, Schritt für Schritt sichere Codierungsfähigkeiten aufzubauen. Für maximale Relevanz und unmittelbare Anwendbarkeit sollte dieses Training in der spezifischen Sprache:Framework stattfinden, die sie jeden Tag benutzen.
Um den "Langeweile"-Faktor zu überwinden, müssen Schulungen zu sicherem Code auf praktische Art und Weise vermittelt werden - dies ist für Entwickler nachweislich weitaus fesselnder als veraltete Klassenzimmer- oder "Schau dir dieses Video an"-Modelle. Dazu sollten Live-Simulationen gehören, die es den Entwicklern ermöglichen, manchmal riskante Sicherheitsherausforderungen in einer sicheren Umgebung zu bewältigen. Das Ziel sollte sein, Entwicklern beizubringen, wie sie Schwachstellen im Code finden und beheben können, während sie arbeiten, und sicheres Coding zu einem Teil ihres täglichen Arbeitsablaufs zu machen. Ein weiterer wichtiger Faktor ist das Linting und Coaching innerhalb der IDE, das den Entwicklern hilft, während des Programmierens ständig dazuzulernen und Schwachstellen zu vermeiden und zu beseitigen.
Wenn Sie herausfinden möchten, wie Sie Ihren Entwicklern dieses neue Niveau an entwicklerzentrierten Tools und Schulungen bieten können, eine Demo buchen jetzt.
Sie können auch Ihr Exemplar herunterladen das Whitepaper Shifting from reaction to prevention: Das sich verändernde Gesicht der Anwendungssicherheit.
Klicken Sie auf den unten stehenden Link und laden Sie die PDF-Datei dieser Ressource herunter.
Secure Code Warrior ist für Ihr Unternehmen da, um Sie dabei zu unterstützen, Ihren Code über den gesamten Lebenszyklus der Softwareentwicklung hinweg zu sichern und eine Kultur zu schaffen, in der Cybersicherheit an erster Stelle steht. Ganz gleich, ob Sie AppSec-Manager, Entwickler, CISO oder ein anderer Sicherheitsverantwortlicher sind, wir können Ihrem Unternehmen helfen, die mit unsicherem Code verbundenen Risiken zu reduzieren.
Bericht ansehenDemo buchen
Secure Code Warrior macht sicheres Programmieren zu einer positiven und fesselnden Erfahrung für Entwickler, die ihre Fähigkeiten ausbauen. Wir leiten jeden Programmierer auf seinem bevorzugten Lernpfad an, damit sicherheitskompetente Entwickler zu den täglichen Superhelden unserer vernetzten Welt werden.
Dieser Artikel wurde verfasst von Secure Code Warrior Das Team von Branchenexperten hat es sich zur Aufgabe gemacht, Entwicklern das Wissen und die Fähigkeiten zu vermitteln, die sie brauchen, um von Anfang an sichere Software zu entwickeln. Dabei stützen wir uns auf umfassendes Fachwissen zu sicheren Codierungspraktiken, Branchentrends und Erkenntnissen aus der Praxis.
Da die Zahl der Cyber-Bedrohungen weiter zunimmt, müssen Unternehmen täglich Kompromisse zwischen Sicherheit, Praktikabilität und Geschwindigkeit eingehen - und setzen sich dabei Risiken aus. Deshalb hat Secure Code Warrior in Zusammenarbeit mit Evans Data Corp. eine Studie durchgeführt, die die Einstellung von Entwicklern zu sicherem Coding, sicheren Code-Praktiken und Sicherheitsabläufen untersucht hat (Download des Whitepapers hier).
Was dieser Bericht zeigt, ist, dass zwar immer noch reaktives Denken alter Schule" vorherrscht, aber das Bewusstsein für die Notwendigkeit proaktiverer Lösungen wächst, die die Entwickler selbst zur ersten Verteidigungslinie machen.
Jede Untersuchung der Einführung von sicheren Codierungspraktiken muss mit einem Verständnis der Menschen beginnen, die an der Implementierung beteiligt sind, ihrer Wahrnehmung davon und ihrer Fähigkeit, sie zu implementieren. Dies führt dann zum wichtigsten Teil des Puzzles - wie können sie befähigt werden, von Anfang an sicherer zu programmieren und qualitativ hochwertigen Code schneller und mit Zuversicht zu liefern?
Sicheres Kodieren - wo stehen wir heute, und was muss sich ändern? Herunterladen die Infografik 'The Human Element' jetzt.
Aktuelle Perspektiven - reaktiv vs. proaktiv
Als Entwickler und Entwicklungsleiter nach den Aktivitäten gefragt wurden, die sie mit sicherer Programmierung verbinden, waren die drei wichtigsten Antworten:
- Verwendung von Scan-Tools für installierte Anwendungen.
- Manuelles Überprüfen von Code auf Schwachstellen.
- Die aktive und fortlaufende Praxis, Software zu schreiben, die vor Sicherheitslücken geschützt ist.
Wie wir sehen können, konzentrierten sich zwei der drei Top-Antworten immer noch auf reaktive Ansätze - die erste abhängig von Tooling (Scannern) und die zweite auf den Entwickler (d.h. Menschen), der manuelle Prüfungen durchführt.
Gleichzeitig sind zwei der drei nominierten Aktivitäten auf das menschliche Element angewiesen. Dies deutet auf eine wachsende Wahrnehmung von Sicherheit als menschliches Problem hin. Aber von allen nominierten Aktivitäten ist die aufschlussreichste die Nr. 3, die den menschlichen Faktor beim Schreiben von Software identifiziert , die von vornherein vor Schwachstellen geschützt ist. Dies unterstreicht eine Verschiebung nach links - ein proaktiver und präventiver Ansatz, der Sicherheit von Beginn des SDLC an in die Software einbaut.
Wo passt die Sicherheit in den SDLC?
Wenn Entwickler und Entwicklungsmanager gefragt werden, wo sie die Integration von Secure Code-Praktiken in den SDLC sehen, gehen die Meinungen auseinander. 55 % der Manager glauben, dass sicheres Coding in den gesamten Entwicklungsprozess integriert ist, verglichen mit nur 43 % der Entwickler. Der Unterschied könnte auf die unterschiedlichen Rollen dieser beiden Gruppen innerhalb des SDLC zurückzuführen sein. Das Management ist in der Regel weniger in die eigentliche Arbeit der Kodierung involviert und hat eher eine übergeordnete Sichtweise, während sich die Entwickler eher mit den Details beschäftigen.
Aus der Sicht der allgemeinen Sicherheit und Codequalität ist es jedoch alarmierend, dass nur 13 % der Entwickler und 10 % der Manager sagen, dass sichere Code-Praktiken in die Designphasen integriert werden sollten - gleich zu Beginn des SDLC. Dies ist eine riesige und nicht realisierte Chance. Laut einer IBM-Studie ist es dreißigmal teurer, Schwachstellen in nachträglich veröffentlichtem Code zu beheben, als wenn sie von Anfang an gefunden und behoben werden.1 Das ist ein starker Anreiz für eine neue proaktive und menschengeführte Verteidigung der Softwaresicherheit, die Entwickler dazu befähigt, von Anfang an sicherer zu programmieren. Softwaresicherheit kann nicht allein durch den Einsatz von Werkzeugen gelöst werden - sie muss das menschliche Element mit einbeziehen.
Ist das menschliche Element vorbereitet?
97 % der befragten Entwickler sind der Meinung, dass sie ausreichend in sicherem Coding geschult wurden, und 95 % stimmten zu, dass die Schulung in sicherem Coding für ihre Karriere wertvoll gewesen sei. Doch bevor wir diese Behauptungen für bare Münze nehmen, müssen wir uns fragen: Warum sind Code-Schwachstellen immer noch so weit verbreitet? Sind die Behauptungen von Entwicklern über sicheres Code-Know-how nur ein Fall von menschlichem Ego? Die Beweise deuten sicherlich in diese Richtung. Ein bescheideneres Eingeständnis ist, dass mehr als 88 % der befragten Entwickler zugeben, dass sicheres Coding schwer zu erlernen ist, und 91 % der Entwicklungsleiter räumen ein, dass sichere Coding-Praktiken schwierig zu implementieren sind. Auf die Frage nach den größten persönlichen Bedenken im Zusammenhang mit der Implementierung von sicherem Code geben 28 % der Entwickler an, dass sie den Lernprozess als schwierig empfinden, während 24 % den Lernprozess als langweilig empfinden. Dies deutet darauf hin, dass die Entwicklerschulung verbessert werden muss.
Was braucht das menschliche Element?
Um den Faktor "Herausforderung" zu überwinden, erfordert ein lohnenswertes Sicherheitstraining einen "Gerüst"-Prozess, der den Entwickler dabei unterstützt, Schritt für Schritt sichere Codierungsfähigkeiten aufzubauen. Für maximale Relevanz und unmittelbare Anwendbarkeit sollte dieses Training in der spezifischen Sprache:Framework stattfinden, die sie jeden Tag benutzen.
Um den "Langeweile"-Faktor zu überwinden, müssen Schulungen zu sicherem Code auf praktische Art und Weise vermittelt werden - dies ist für Entwickler nachweislich weitaus fesselnder als veraltete Klassenzimmer- oder "Schau dir dieses Video an"-Modelle. Dazu sollten Live-Simulationen gehören, die es den Entwicklern ermöglichen, manchmal riskante Sicherheitsherausforderungen in einer sicheren Umgebung zu bewältigen. Das Ziel sollte sein, Entwicklern beizubringen, wie sie Schwachstellen im Code finden und beheben können, während sie arbeiten, und sicheres Coding zu einem Teil ihres täglichen Arbeitsablaufs zu machen. Ein weiterer wichtiger Faktor ist das Linting und Coaching innerhalb der IDE, das den Entwicklern hilft, während des Programmierens ständig dazuzulernen und Schwachstellen zu vermeiden und zu beseitigen.
Wenn Sie herausfinden möchten, wie Sie Ihren Entwicklern dieses neue Niveau an entwicklerzentrierten Tools und Schulungen bieten können, eine Demo buchen jetzt.
Sie können auch Ihr Exemplar herunterladen das Whitepaper Shifting from reaction to prevention: Das sich verändernde Gesicht der Anwendungssicherheit.
Inhaltsübersicht
Secure Code Warrior macht sicheres Programmieren zu einer positiven und fesselnden Erfahrung für Entwickler, die ihre Fähigkeiten ausbauen. Wir leiten jeden Programmierer auf seinem bevorzugten Lernpfad an, damit sicherheitskompetente Entwickler zu den täglichen Superhelden unserer vernetzten Welt werden.
Secure Code Warrior ist für Ihr Unternehmen da, um Sie dabei zu unterstützen, Ihren Code über den gesamten Lebenszyklus der Softwareentwicklung hinweg zu sichern und eine Kultur zu schaffen, in der Cybersicherheit an erster Stelle steht. Ganz gleich, ob Sie AppSec-Manager, Entwickler, CISO oder ein anderer Sicherheitsverantwortlicher sind, wir können Ihrem Unternehmen helfen, die mit unsicherem Code verbundenen Risiken zu reduzieren.
Demo buchenHerunterladenRessourcen für den Einstieg
KI-Codier-Assistenten: Ein Leitfaden zur sicherheitsgerechten Navigation für die nächste Generation von Entwicklern
Große Sprachmodelle bieten unwiderstehliche Geschwindigkeits- und Produktivitätsvorteile, aber sie bringen auch unbestreitbare Risiken für das Unternehmen mit sich. Herkömmliche Sicherheitsleitplanken reichen nicht aus, um die Flut zu kontrollieren. Entwickler benötigen präzise, geprüfte Sicherheitskenntnisse, um Sicherheitslücken bereits zu Beginn des Softwareentwicklungszyklus zu erkennen und zu verhindern.
Sicher durch Design: Definition von Best Practices, Befähigung von Entwicklern und Benchmarking von präventiven Sicherheitsergebnissen
In diesem Forschungspapier werden die Mitbegründer von Secure Code Warrior , Pieter Danhieux und Dr. Matias Madou, Ph.D., zusammen mit den Experten Chris Inglis, ehemaliger US National Cyber Director (jetzt strategischer Berater der Paladin Capital Group), und Devin Lynch, Senior Director, Paladin Global Institute, die wichtigsten Erkenntnisse aus mehr als zwanzig ausführlichen Interviews mit Sicherheitsverantwortlichen in Unternehmen, darunter CISOs, ein VP of Application Security und Software-Sicherheitsexperten, offenlegen.
Ressourcen für den Einstieg
10.000+ Lernaktivitäten für sicheren Code: Ein Jahrzehnt des Risikomanagements für Entwickler
Wir feiern mehr als 10.000 Aktivitäten zum Erlernen von sicherem Code und ein Jahrzehnt, in dem wir Entwicklern geholfen haben, Risiken zu reduzieren, die Codequalität zu verbessern und die KI-gestützte Entwicklung selbstbewusst anzugehen.
.jpg)
Maßstäbe setzen: SCW veröffentlicht kostenlose Sicherheitsregeln für KI-Codierung auf GitHub
KI-gestützte Entwicklung ist nicht mehr nur Zukunftsmusik – sie ist bereits da und verändert die Art und Weise, wie Software geschrieben wird, rasant. Tools wie GitHub Copilot, Cline, Roo, Cursor, Aider und Windsurf machen Entwickler zu ihren eigenen Co-Piloten, ermöglichen schnellere Iterationen und beschleunigen alles vom Prototyping bis hin zu großen Refactoring-Projekten.
Schließen Sie den Kreis zu Schwachstellen mit Secure Code Warrior + HackerOne
Secure Code Warrior freut sich, unsere neue Integration mit HackerOne, einem führenden Anbieter von offensiven Sicherheitslösungen, bekannt zu geben. Gemeinsam bauen wir ein leistungsstarkes, integriertes Ökosystem auf. HackerOne zeigt auf, wo Schwachstellen in realen Umgebungen tatsächlich auftreten, und deckt das "Was" und "Wo" von Sicherheitsproblemen auf.
Entwicklergesteuerte Kodierung.
Sicher ist sicher.
Setzen Sie sich noch heute mit uns in Verbindung und machen Sie Softwaresicherheit zu einem festen Bestandteil Ihres Entwicklungsprozesses.
