Wo steht sicherer Code auf der Liste der Prioritäten des Entwicklungsteams?

Die wachsende Zahl von Angriffen auf die Cybersicherheit sowie deren zunehmende Raffinesse haben weltweit in allen Sektoren und Branchen zu Veränderungen geführt. Jeder versucht, "nach links zu gehen" und die Sicherheit so früh wie möglich in alle Prozesse und Verfahren zu integrieren. Die Situation hat sogar ganz neue Bewegungen zur Verbesserung der Cyberabwehr hervorgebracht, wie DevSecOps, bei dem die Sicherheit bereits bei der Erstellung neuer Software und Anwendungen berücksichtigt wird. 

Viele dieser Veränderungen fallen der Entwicklergemeinschaft zu Füßen. Da sie es sind, die neue Software und Anwendungen erstellen, schreiben und programmieren, scheint es eine gute Idee zu sein, sie zu sichereren Programmierpraktiken aufzufordern. Schließlich kann man nicht weiter nach links gehen, als bis zum Zeitpunkt der Erstellung neuer Anwendungen.

Doch wie steht die Entwicklergemeinschaft zu dieser Verantwortung? Wurden sie bisher fast ausschließlich danach beurteilt, wie schnell sie programmieren konnten, was denken die Entwickler jetzt über ihre neue Rolle als Sicherheitsbeauftragte? Und haben sie das Gefühl, dass die Geschäftsleitung ihres Unternehmens diese Bemühungen durch hochwertige Schulungen, verbesserte Belohnungen und die Anerkennung, die sie für die Übernahme dieser wichtigen neuen Verantwortung verdienen, unterstützt?

Im zweiten Jahr haben wir gemeinsam mit Evans Data Corp. eine umfassende Umfrage in der weltweiten Entwicklergemeinschaft zu den Fähigkeiten, Wahrnehmungen und Verhaltensweisen in Bezug auf sichere Kodierungspraktiken und deren wahrgenommene Auswirkungen und Relevanz im Softwareentwicklungszyklus (SDLC) durchgeführt. Die Ergebnisse waren in vielerlei Hinsicht recht überraschend.

Die Umfrage zum Stand der entwicklergesteuerten Sicherheit 2022  

Die Secure Code Warrior State of Developer-Driven Security Survey wurde von Evans Data Corp im Dezember 2021 durchgeführt. 1.200 aktive Softwareentwickler, die im asiatisch-pazifischen Raum, in Europa und Nordamerika arbeiten, wurden Fragen zu Softwarecodierung, Sicherheitsbewusstsein, Schulung, Unterstützung, Motivation und anderen Themen gestellt. Die Umfrage wurde auf Englisch durchgeführt und bei Bedarf übersetzt, um eine genaue globale Perspektive zu erhalten. Zu den Befragten gehörten sowohl Entwickler, die neue Anwendungen erstellen, als auch Manager aus der Entwicklergemeinschaft.

Einige überraschende Befunde

Ein ausführliches Whitepaper (Die Herausforderungen (und Möglichkeiten) zur Verbesserung der Softwaresicherheit) und ein Bericht (Der Stand der entwicklergesteuerten Sicherheit, 2022), die jeden Aspekt der Umfrage beleuchten, werden am Montag, den 11. April veröffentlicht. Das Whitepaper enthält unsere Analyse der Ergebnisse und der von der Community geäußerten Bedenken in Bezug auf sichere Kodierungspraktiken sowie Empfehlungen für Unternehmen, um Entwicklerteams zu befähigen, die Softwaresicherheit zu verbessern. 

Einige dieser Herausforderungen werfen wahrscheinlich Fragen für jeden auf, der in seinem Unternehmen mit Entwicklern zusammenarbeitet, und auch für diejenigen, die selbst in der Entwicklergemeinschaft tätig sind - für uns waren sie es jedenfalls. 

So gaben beispielsweise nur 14 % der Befragten an, dass die Anwendungssicherheit heute oberste Priorität hat. Stattdessen standen traditionellere Messgrößen wie die Anwendungsleistung und die Priorisierung von Funktionen im Vordergrund.

Die Sicherheit hatte eine so geringe Priorität, dass 67 % der befragten Entwickler zugaben, dass sie routinemäßig bekannte Schwachstellen und Sicherheitslücken in ihrem Code belassen. Sie taten dies entweder aufgrund knapper Fristen, weil sie der Funktionalität Vorrang vor der Sicherheit einräumten, oder weil sie einfach nicht über die erforderliche Ausbildung oder das Wissen zur Behebung von Sicherheitsproblemen verfügten.

In vielen Fällen gaben die Entwickler an, dass ihre Unternehmen nicht definierten, was unter sicherem Code zu verstehen sei, und dass sie keine angemessene Schulung oder Unterstützung anboten, um diese Situation zu ändern.

Trotz einiger negativer Ergebnisse wurde jedoch auch deutlich, dass sich die Einstellungen ändern. Eine große Mehrheit der Entwickler (66 %) erwartet, dass das Thema Sicherheit in den nächsten 12 bis 18 Monaten an Priorität gewinnen wird, während 82 % der Personalverantwortlichen, die an der Umfrage teilnahmen, ein Interesse daran bekundeten, Entwickler einzustellen, die sich mit Sicherheit auskennen, und nicht solche, die dies nicht tun.

Aus den Umfrageergebnissen geht zwar klar hervor, dass die Entwicklergemeinschaft und die Organisationen, mit denen sie zusammenarbeiten, mit einem enormen Wandel konfrontiert sind, doch zum Glück nehmen auch die Pläne für die nahe und langfristige Zukunft rasch Gestalt an.

Bleiben Sie dran für das Whitepaper und den Bericht mit den vollständigen Umfrageergebnissen sowie Expertenkommentaren zu den Herausforderungen im Zusammenhang mit den aktuellen sicheren Codierungspraktiken und den Möglichkeiten, die Unternehmen nutzen können, um die Sicherheitskompetenz von Entwicklern - und letztlich die Softwaresicherheit - zu verbessern.

Besuchen Sie die Secure Code Warrior Blog-Seiten, um mehr über Cybersicherheit und die zunehmend gefährliche Bedrohungslage zu erfahren und um zu lernen, wie Sie innovative Technologien und Schulungen einsetzen können, um Ihr Unternehmen und Ihre Kunden besser zu schützen.

‍