Ähnlich wie die Technologie selbst entwickeln sich auch die Werkzeuge, Techniken und optimalen Prozesse für die Entwicklung von Code schnell weiter. Wir Menschen haben ein unstillbares Bedürfnis nach mehr Software, mehr Features, mehr Funktionalität... und wir wollen es schneller als je zuvor, qualitativ hochwertiger und obendrein: sicher. Noch vor ein paar Jahren war die agile Entwicklung das nächste große Ding, mit dem man große Arbeitspakete in kleinere Stücke aufteilen und sich schnell an die schnellen Feedback-Zyklen des Kunden anpassen konnte. Davor war die Wasserfall-Methode der König des Hügels.

Während viele Menschen und Organisationen von Waterfall zu Agile übergehen - und noch sind nicht alle so weit, seien wir ehrlich - stoßen sie bereits auf ein neues Problem: Entwicklungsteams und ihre operativen Gegenstücke arbeiten immer noch in Silos. Wie können in dieser Umgebung kleine Teams, die agil arbeiten, das Versprechen einer schnelleren Bereitstellung und einer schnelleren Lieferung einlösen?

DevOps, eine Wortschöpfung aus Development und Operations, wurde geschaffen, um die Funktionen von Entwicklern und Betriebsteams bei der Erstellung neuer Software zusammenzuführen. Im Wesentlichen sollte dies den Entwicklern helfen, die Verantwortung dafür zu übernehmen, Dinge in die Produktion zu bringen, anstatt sie über den Zaun zu werfen und dem Betriebsteam zu überlassen.

Sie können sicherlich schneller liefern - sogar ein paar Mal pro Tag -, was Agile entgegenzukommen scheint. Allerdings schafft DevOps immer noch ein großes, gemischtes Team aus Ingenieuren und Betriebspersonal, das in der Realität vielleicht nicht so agil ausgerichtet ist. Letztendlich ist es am besten, DevOps als eine Weiterentwicklung von Agile zu betrachten, da die Methoden in vielerlei Hinsicht ähnlich sind und sich in ihren Unterschieden ergänzen. DevOps fördert eine automatisierte, kontinuierliche Integrations- und Deployment-Pipeline, die für häufige Releases unerlässlich ist, aber auf Teamebene nicht ausreicht - und hier kommt Agile ins Spiel. Agile ermöglicht es Teams, insbesondere kleinen Teams, mit diesen schnellen Releases und sich ändernden Anforderungen Schritt zu halten, während sie gleichzeitig bei der Sache bleiben und zusammenarbeiten. Es scheint sicherlich ideal zu sein - und der Prozess kann Teams auf dem Weg zum Endziel halten - aber es ist nicht ohne Probleme.

Software, die mit DevOps-Best-Practice erstellt wurde, hat immer noch das Potenzial, beim ersten Bosskampf zu stolpern: dem Sicherheitsteam. Wenn der Code von traditionellen/Wasserfall-AppSec-Spezialisten untersucht wird, entweder mit Tools oder durch komplexe manuelle Überprüfung, finden sie oft inakzeptable Risiken und Schwachstellen, die dann im Nachhinein behoben werden müssen. Der Prozess der nachträglichen Behebung von Sicherheitslücken in fertigen Apps ist weder schnell noch einfach... und er ist für das Unternehmen viel teurer.

Wenn sich die Welt also nach Wasserfall, Agile und jetzt DevOps weiterentwickelt, was ist dann die Lösung? Und welche Rolle spielen Sie als Entwickler, um mit diesen Veränderungen im Ansatz Schritt zu halten?

Entwicklungstechniken befinden sich in einem ständigen Prozess der Evolution, aber zum Glück ist diese hier keine so große Veränderung. Unternehmen müssen nur das "Sec" in "DevOps" einfügen... und so wurde DevSecOps geboren. Ein primäres Ziel von DevSecOps ist es, Barrieren abzubauen und die Zusammenarbeit zwischen Entwicklungs-, Betriebs- und - nicht zuletzt - Sicherheitsteams zu öffnen. DevSecOps hat sich sowohl zu einer Software-Engineering-Taktik als auch zu einer Kultur entwickelt, die die Automatisierung und Überwachung der Sicherheit während des gesamten Softwareentwicklungszyklus befürwortet.

Dies mag wie ein weiterer Prozess auf Organisationsebene erscheinen, vielleicht einer mit "zu vielen Köchen", wenn es um einen Entwickler mit einer langen Liste von zu erstellenden Funktionen geht. Die DevSecOps-Methodik eröffnet jedoch eine Chance für sicherheitsbewusste Entwickler, wirklich zu glänzen.

Die strahlende Zukunft von DevSecOps

Also, warum sollte ein Programmierer ein DevSecOps-Ingenieur werden wollen? Vielleicht haben Sie schon etwas Erfahrung mit DevOps (oder sogar Agile), möchten aber den nächsten Schritt machen, um DevSecOps zu beherrschen. Zunächst einmal ist es gut zu wissen, dass dies ein sehr kluger Schritt ist, und zwar nicht nur im Bestreben, die Welt vor kostspieligen Cyberangriffen sicher zu machen. Experten sagen, dass die Nachfrage nach talentiertem Cybersecurity-Personal sprunghaft ansteigt und kein Ende in Sicht ist. Diejenigen, die DevSecOps beherrschen, können eine lange und profitable Karriere erwarten.

Die Jobsicherheit für DevSecOps-Ingenieure ist sogar noch sicherer, denn im Gegensatz zu traditionellen Cybersecurity-Taktiken wie Schwachstellen-Scans mit einer Reihe von softwarebasierten Tools erfordert DevSecOps Mitarbeiter, die wissen, wie man Sicherheit beim Programmieren implementiert. Wie die Analysten von Booz, Allen und Hamilton in ihrem Blog mit dem Titel " 5 Myths of Adopting DevSecOps " feststellten , wollen und brauchen Unternehmen DevSecOps, können es aber nicht einfach kaufen. DevSecOps ist eine Methodik, die es funktionsübergreifenden Teams ermöglicht, Technologien zu integrieren und während des gesamten Lebenszyklus der Softwareentwicklung zusammenzuarbeiten, und das erfordert qualifizierte Mitarbeiter, Change Management und ein fortlaufendes Engagement mehrerer Interessengruppen.

Laut Booz, Allen and Hamilton können Unternehmen Apps und Tools kaufen, die bei bestimmten Aspekten von DevSecOps helfen, wie z. B. Software für das Release-Management, "aber es sind wirklich Ihre Delivery-Teams, die es umsetzen." Sie sind diejenigen, die die kontinuierliche Verbesserung vorantreiben, die DevSecOps und sein Kultur- und Paradigmenwechsel bieten.

Unternehmen können ein praktikables DevSecOps-Programm nicht "kaufen". Es muss mit einer Reihe von Tools, firmeneigenem Wissen und Anleitungen aufgebaut und gepflegt werden, die die Sicherheitskultur verbessern und gleichzeitig wirtschaftlich sinnvoll sind. Das ist nicht einfach, aber bei weitem nicht unmöglich.

Wie Sie der DevSecOps-Bewegung in den Arsch treten können

Einer der ersten Schritte auf dem Weg zum DevSecOps-Ingenieur ist die Erkenntnis, dass es sich dabei ebenso sehr um eine Kultur wie um eine Reihe von Techniken handelt. Es erfordert den Willen, Sicherheit als Teil jedes Codes zu implementieren, den Sie erstellen, und den Wunsch, Ihre Organisation proaktiv zu schützen, indem Sie aktiv nach Sicherheitslücken und Schwachstellen suchen, während Sie programmieren, und diese beheben, lange bevor sie in die Produktion gelangen. Die meisten DevSecOps-Ingenieure nehmen ihren Beruf und ihre Fähigkeiten sehr ernst. Die professionelle DevSecOps-Organisation hat sogar ein Manifest, das ihre Überzeugungen festhält.

Das Manifest ist etwas schwerfällig, denn Manifeste sind selten leichte Lektüre. Aber im Kern stehen ein paar Wahrheiten, die alle großen DevSecOps-Ingenieure verinnerlichen sollten, wie z. B.:

• Erkennen Sie, dass das Anwendungssicherheitsteam Ihr Verbündeter ist. In den meisten Unternehmen sind die AppSec-Spezialisten mit den Entwicklern verfeindet, da diese immer wieder fertigen Code für mehr Arbeit zurückschicken. AppSec-Teams haben oft auch nicht viel Liebe für die Entwickler, da sie durch das Einbringen von allgemeinen Sicherheitsfehlern den fertigen Code davon abhalten können, in Produktion zu gehen. Ein kluger DevSecOps-Ingenieur wird jedoch erkennen, dass die Ziele der Sicherheitsteams letztlich die gleichen sind wie die der Entwickler und Coder. Sie müssen nicht die besten Freunde sein, aber eine ruhige und kollaborative Arbeitsbeziehung zu bilden, ist entscheidend für den Erfolg.
• Üben und verfeinern Sie Ihre sicheren Codierungstechniken. Wenn Sie Möglichkeiten finden, wie Apps angreifbar sind, während sie noch entwickelt werden, dann kann das Schließen dieser Schlupflöcher zukünftige Hacker aufhalten. Natürlich erfordert dies sowohl ein Verständnis der Schwachstellen als auch die Tools, die helfen, diese zu beheben. Die Blog-Seiten vonSecure Code Warrior geben Ihnen einen Einblick in die häufigsten und gefährlichsten Schwachstellen sowie praktische Ratschläge und Herausforderungen, mit denen Sie Ihr Wissen testen können. Der wichtigste Aspekt ist, dass Sie sich das Thema Sicherheit immer vor Augen halten und sich Zeit für mundgerechte Schulungen nehmen, die Ihnen dabei helfen, Ihr vorhandenes Wissen auszubauen. Es ist üblich, dass die Interaktionen eines Entwicklers mit der Sicherheit ziemlich unauffällig - sogar negativ - sind, aber die Weiterbildung im Bereich Sicherheit ist ein großartiger Karriereschritt und muss keine lästige Pflicht sein.
• Nicht vergessen: DevSecOps-Superstars tragen zu einer positiven Sicherheitskultur in ihrer Organisation bei. Anstatt sich auf die Ziele der Vergangenheit zu konzentrieren, wie z. B. die schnelle Bereitstellung von Apps ungeachtet ihrer inhärenten Probleme, ist es wichtig, das Finden und Beheben von Schwachstellen im Entwicklungscode zur obersten Priorität zu machen. Sicherheit muss als Aufgabe für alle angesehen werden, und jeder sollte an der Bewunderung und den Belohnungen teilhaben, die sich aus der Bereitstellung effektiver und hochsicherer Anwendungen ergeben - und zwar jedes Mal.

Sie können dabei helfen, eine unglaubliche Sicherheitskultur in Ihrem Unternehmen zu kultivieren, indem Sie sich von Anfang an für sicheres Coding und bewährte Sicherheitspraktiken einsetzen, Schulungslösungen empfehlen und dafür sorgen, dass kein Programmierer in der schnelllebigen Welt von DevSecOps zurückgelassen wird, der alle Hände voll zu tun hat. Der einzige gute Code ist sicherer Code, und qualifizierte, sicherheitsbewusste Entwickler sind wichtige Teile des Puzzles. Die persönlichen und beruflichen Belohnungen sind die Mühe auf jeden Fall wert, und angesichts der Milliarden von persönlichen Datensätzen, die jedes Jahr kompromittiert werden (Tendenz steigend), brauchen wir Sie. Nehmen Sie Ihren Platz an der Front ein und helfen Sie, die bösen Jungs in unserer digitalen Welt abzuwehren.

Matias Madou, Ph.D. ist der CTO und Mitbegründer von Secure Code Warrior. Er ist ein Sicherheitsexperte, langjähriger Entwickler und Fortnite-Junkie.