Was hält Entwicklungsteams nachts wach, wenn es um sichere Kodierung geht?

Unsicherer Code kostet Unternehmen Millionen - was also steht der Einführung sicherer Codierungspraktiken im Weg? 

In einer Welt, die sich für fast alles auf Software verlässt, ist es entscheidend, dass der Code sicher ist. Die Reputation von Marken und die finanzielle Lebensfähigkeit hängen davon ab. Dennoch gibt es viele Bedenken in Bezug auf sichere Programmierung - und viele Hindernisse für ihre vollständige und effektive Einführung. Mehr als je zuvor ist eine neue Arbeitsweise erforderlich. Daher hat Secure Code Warrior in Zusammenarbeit mit Evans Data Corp. im Jahr 2020 eine Primärstudie* über die Einstellung von Entwicklern und ihren Managern zu sicherer Programmierung, sicheren Code-Praktiken und Sicherheitsabläufen durchgeführt (Whitepaper herunterladen hier).

Momentan fälltes Unternehmen schwer, sichere Code-Praktiken zu implementieren. Sowohl Entwickler als auch Manager empfinden den Umgang mit Schwachstellen und die Verantwortlichkeit für den Code als besonders besorgniserregend.

Es besteht eindeutig ein Bedarf an besserem Training und einem Programm, das sichere Code-Praktiken unterstützt. Dieser Bedarf wird deutlich, wenn wir Entwickler und ihre Manager nach ihren Bedenken bezüglich sicherer Codierung fragen. Unsere Untersuchung* hat gezeigt, dass diese beiden Gruppen die gleichen grundlegenden Bedenken haben. Aber aufgrund ihrer unterschiedlichen Rollen unterscheiden sie sich darin, welche dieser Bedenken am dringendsten sind.  

Die größte Sorge für Entwickler ist das "Einfügen von Code, der frühere Schwachstellen wiederholt". Da Entwickler nach der Qualität ihres Codes beurteilt werden, ist dies kaum überraschend. Kein Entwickler möchte die Quelle von unsicherem Code sein - oder Code, der Nacharbeit erfordert und sein Team ausbremst. 

Die zweitwichtigste Sorge der Entwickler ist der Umgang mit Fehlern, die von Kollegen eingebracht werden. Das Einhalten von Terminen und die Verantwortung für den Code stehen ebenfalls ganz oben auf der Liste - ebenso wie die Tatsache, dass das Erlernen von sicherem Code eine Herausforderung darstellt, was einmal mehr die Notwendigkeit eines neuen Ansatzes für Schulungen zu sicherem Code widerspiegelt. 

Manager hingegen nehmen eher eine Top-Down-Sicht ein. 

Als Teammanager und -leiter ist es ihr wichtigstes Anliegen, für den Code verantwortlich zu sein. Wenn ein Team lausigen Code produziert, liegt die Verantwortung beim Manager. 

Code, der frühere Schwachstellen wiederholt, steht an zweiter Stelle. An dritter Stelle steht die Tatsache, dass der Lernprozess eine Herausforderung darstellt. Da die derzeitigen Schulungskonzepte für sicheren Code nicht ausreichen, erkennen die Manager, dass ein neuer Ansatz erforderlich ist.

Hindernisse bei der Einführung sicherer Kodierungspraktiken

Als wir Manager nach den Hindernissen für die Einführung von sicheren Kodierungspraktiken in ihren Unternehmen fragten, stachen zwei Dinge laut und deutlich hervor: Kommunikation und Schulung. 

45 % nannten die mangelnde Kommunikation zwischen Stakeholdern und Management als ein wesentliches Hindernis. 42 % beklagen den Mangel an sicheren Codierungskenntnissen bei Neueinstellungen. Gleichzeitig nannten 40 % unzureichende Schulungszeit und -ressourcen. 

Es gibt prozess- und personalbezogene Hindernisse für die erfolgreiche Einführung von Secure Code-Praktiken in Unternehmen. 

Aber Sie können trotz solcher hartnäckigen Probleme Fortschritte machen. Der Mangel an sicheren Programmierkenntnissen bei Neueinstellungen und unzureichende Schulungen und Ressourcen sind leichter zu beheben. 

Entwickler stehen an der vordersten Front, wenn es darum geht, Schwachstellen zu stoppen. Aber erhalten sie die Unterstützung, die Tools und das Training, um ihren Teil der Sicherheitsvereinbarung einzuhalten?

Basierend auf ihren Bedenken ist die kurze Antwort "Nein". 

Die Wahrheit ist, dass sich das richtige Training nicht wie ein Vortrag anfühlen sollte. 

Als Verfechter des Wandels in der sicheren Kodierung verfolgt Secure Code Warrior einen menschengeführten Ansatz, der Entwickler aktiv einbindet, um ihre sicheren Kodierungsfähigkeiten zu erlernen und auszubauen. Unser bewährtes Learning Platform bietet Entwicklungs- und Sicherheitsteams kontextbezogenes und hyper-relevantes Lernen innerhalb ihres bevorzugten Workflows. Es versetzt sie nicht nur in die Lage, Schwachstellen zu finden, sondern auch zu verhindern, dass diese überhaupt erst entstehen.

Diese Art von praktischem Training ist eine Möglichkeit, sich weiterzubilden - ein Karriereschritt, der nur Vorteile für Entwickler hat, die es ernst damit meinen, Schwachstellen zu beseitigen und mit dem Rest des Teams zusammenzuarbeiten, um einen höheren Standard des Codes zu produzieren.

Wenn Sie mehr erfahren möchten - und die potenziellen Auswirkungen auf die Fähigkeit Ihrer Teams sehen möchten, "links" zu starten und sicheren Code schneller auszuliefern, ohne die Sicherheit zu gefährden, jetzt eine Demo buchen.

*Shifting from reaction to prevention: The changing face of application security. Secure Code Warrior und Evans Data Corp. 2020