Da die Zahl der Cyber-Bedrohungen weiter zunimmt, müssen Unternehmen täglich Kompromisse zwischen Sicherheit, Praktikabilität und Geschwindigkeit eingehen - und setzen sich dabei Risiken aus. Deshalb hat Secure Code Warrior in Zusammenarbeit mit Evans Data Corp. eine Studie durchgeführt, die die Einstellung von Entwicklern zu sicherem Coding, sicheren Code-Praktiken und Sicherheitsabläufen untersucht hat (Download des Whitepapers hier).

Was dieser Bericht zeigt, ist, dass zwar immer noch reaktives Denken alter Schule" vorherrscht, aber das Bewusstsein für die Notwendigkeit proaktiverer Lösungen wächst, die die Entwickler selbst zur ersten Verteidigungslinie machen.  

Jede Untersuchung der Einführung von sicheren Codierungspraktiken muss mit einem Verständnis der Menschen beginnen, die an der Implementierung beteiligt sind, ihrer Wahrnehmung davon und ihrer Fähigkeit, sie zu implementieren. Dies führt dann zum wichtigsten Teil des Puzzles - wie können sie befähigt werden, von Anfang an sicherer zu programmieren und qualitativ hochwertigen Code schneller und mit Zuversicht zu liefern? 

Sicheres Kodieren - wo stehen wir heute, und was muss sich ändern? Herunterladen die Infografik 'The Human Element' jetzt.

Aktuelle Perspektiven - reaktiv vs. proaktiv

Als Entwickler und Entwicklungsleiter nach den Aktivitäten gefragt wurden, die sie mit sicherer Programmierung verbinden, waren die drei wichtigsten Antworten:

• Verwendung von Scan-Tools für installierte Anwendungen.
• Manuelles Überprüfen von Code auf Schwachstellen.
• Die aktive und fortlaufende Praxis, Software zu schreiben, die vor Sicherheitslücken geschützt ist.

Wie wir sehen können, konzentrierten sich zwei der drei Top-Antworten immer noch auf reaktive Ansätze - die erste abhängig von Tooling (Scannern) und die zweite auf den Entwickler (d.h. Menschen), der manuelle Prüfungen durchführt.

Gleichzeitig sind zwei der drei nominierten Aktivitäten auf das menschliche Element angewiesen. Dies deutet auf eine wachsende Wahrnehmung von Sicherheit als menschliches Problem hin. Aber von allen nominierten Aktivitäten ist die aufschlussreichste die Nr. 3, die den menschlichen Faktor beim Schreiben von Software identifiziert , die von vornherein vor Schwachstellen geschützt ist. Dies unterstreicht eine Verschiebung nach links - ein proaktiver und präventiver Ansatz, der Sicherheit von Beginn des SDLC an in die Software einbaut. 

Wo passt die Sicherheit in den SDLC? 

Wenn Entwickler und Entwicklungsmanager gefragt werden, wo sie die Integration von Secure Code-Praktiken in den SDLC sehen, gehen die Meinungen auseinander. 55 % der Manager glauben, dass sicheres Coding in den gesamten Entwicklungsprozess integriert ist, verglichen mit nur 43 % der Entwickler. Der Unterschied könnte auf die unterschiedlichen Rollen dieser beiden Gruppen innerhalb des SDLC zurückzuführen sein. Das Management ist in der Regel weniger in die eigentliche Arbeit der Kodierung involviert und hat eher eine übergeordnete Sichtweise, während sich die Entwickler eher mit den Details beschäftigen.

Aus der Sicht der allgemeinen Sicherheit und Codequalität ist es jedoch alarmierend, dass nur 13 % der Entwickler und 10 % der Manager sagen, dass sichere Code-Praktiken in die Designphasen integriert werden sollten - gleich zu Beginn des SDLC. Dies ist eine riesige und nicht realisierte Chance. Laut einer IBM-Studie ist es dreißigmal teurer, Schwachstellen in nachträglich veröffentlichtem Code zu beheben, als wenn sie von Anfang an gefunden und behoben werden.1 Das ist ein starker Anreiz für eine neue proaktive und menschengeführte Verteidigung der Softwaresicherheit, die Entwickler dazu befähigt, von Anfang an sicherer zu programmieren. Softwaresicherheit kann nicht allein durch den Einsatz von Werkzeugen gelöst werden - sie muss das menschliche Element mit einbeziehen. 

Ist das menschliche Element vorbereitet?

97 % der befragten Entwickler sind der Meinung, dass sie ausreichend in sicherem Coding geschult wurden, und 95 % stimmten zu, dass die Schulung in sicherem Coding für ihre Karriere wertvoll gewesen sei. Doch bevor wir diese Behauptungen für bare Münze nehmen, müssen wir uns fragen: Warum sind Code-Schwachstellen immer noch so weit verbreitet? Sind die Behauptungen von Entwicklern über sicheres Code-Know-how nur ein Fall von menschlichem Ego? Die Beweise deuten sicherlich in diese Richtung. Ein bescheideneres Eingeständnis ist, dass mehr als 88 % der befragten Entwickler zugeben, dass sicheres Coding schwer zu erlernen ist, und 91 % der Entwicklungsleiter räumen ein, dass sichere Coding-Praktiken schwierig zu implementieren sind. Auf die Frage nach den größten persönlichen Bedenken im Zusammenhang mit der Implementierung von sicherem Code geben 28 % der Entwickler an, dass sie den Lernprozess als schwierig empfinden, während 24 % den Lernprozess als langweilig empfinden. Dies deutet darauf hin, dass die Entwicklerschulung verbessert werden muss. 

Was braucht das menschliche Element? 

Um den Faktor "Herausforderung" zu überwinden, erfordert ein lohnenswertes Sicherheitstraining einen "Gerüst"-Prozess, der den Entwickler dabei unterstützt, Schritt für Schritt sichere Codierungsfähigkeiten aufzubauen. Für maximale Relevanz und unmittelbare Anwendbarkeit sollte dieses Training in der spezifischen Sprache:Framework stattfinden, die sie jeden Tag benutzen.

Um den "Langeweile"-Faktor zu überwinden, müssen Schulungen zu sicherem Code auf praktische Art und Weise vermittelt werden - dies ist für Entwickler nachweislich weitaus fesselnder als veraltete Klassenzimmer- oder "Schau dir dieses Video an"-Modelle. Dazu sollten Live-Simulationen gehören, die es den Entwicklern ermöglichen, manchmal riskante Sicherheitsherausforderungen in einer sicheren Umgebung zu bewältigen. Das Ziel sollte sein, Entwicklern beizubringen, wie sie Schwachstellen im Code finden und beheben können, während sie arbeiten, und sicheres Coding zu einem Teil ihres täglichen Arbeitsablaufs zu machen. Ein weiterer wichtiger Faktor ist das Linting und Coaching innerhalb der IDE, das den Entwicklern hilft, während des Programmierens ständig dazuzulernen und Schwachstellen zu vermeiden und zu beseitigen.

Wenn Sie herausfinden möchten, wie Sie Ihren Entwicklern dieses neue Niveau an entwicklerzentrierten Tools und Schulungen bieten können, eine Demo buchen jetzt.

Sie können auch Ihr Exemplar herunterladen das Whitepaper Shifting from reaction to prevention: Das sich verändernde Gesicht der Anwendungssicherheit.

‍