In den letzten Jahren wurden viele Dinge auf dem Altar der Markteinführungsgeschwindigkeit geopfert - Dinge wie Netzwerksicherheit, Terabytes an sensiblen Kundendaten und unbezahlbare Markenreputationen. Der intensive Druck, die Veröffentlichung neuer Features und Funktionen zu beschleunigen, hat zu komplexen, verteilten Teams geführt, die sich auf eine schnelle Entwicklung konzentrieren, ohne sich der Schwachstellen, die sie schaffen könnten, oder der enormen Risiken bewusst zu sein. Mehr denn je ist eine neue Arbeitsweise gefragt. Daher hat Secure Code Warrior in Zusammenarbeit mit Evans Data Corp. im Jahr 2020 eine Primärstudie* über die Einstellung von Entwicklern und ihren Managern zu sicherem Coding, sicheren Code-Praktiken und Sicherheitsoperationen durchgeführt (Laden Sie Ihr Exemplar des Whitepapers hier).

Leistungsindikatoren für den Projekterfolg - wo passt die Sicherheit? 

Entwickler und Manager halten sicheren Code für wichtig - aber nicht annähernd so wichtig wie andere Faktoren. Als wir Entwickler und Manager nach den wichtigsten Prioritäten im Softwareentwicklungsprozess befragten:

• 76 % nominierte Anwendungsleistung 
• 62% wählten Features und Funktionalität
• Und etwas mehr als 50% wählten sicheren Code
  

Im Vergleich zu anderen Leistungsindikatoren für den Projekterfolg rangiert die sichere Codierung derzeit auf einem hinteren Platz.

Derzeit - und das ist vielleicht nicht überraschend - beurteilen Entwickler den Erfolg eines Projekts anhand von Leistungsindikatoren, die nur den Code nach Abschluss des Projekts bewerten. 

Fragt man jedoch danach, wie sich dies in Zukunft ändern könnte, stellt sich das Bild auf den Kopf. Die Art und Weise, wie Unternehmen Sicherheit als Erfolgsmaßstab betrachten, ändert sich. Sichere Kodierung wird zu einer größeren Priorität.

Auf die Frage nach den wichtigsten Prioritäten für die Messung des Projekterfolgs in der Zukunft stimmen 79 % der Befragten zu, dass sichere Kodierung an Bedeutung gewinnen wird. Auffallend ist, dass ein signifikanterer Prozentsatz die Bedeutung von Sicherheit in der Zukunft stärker steigen sieht als die von jedem anderen Leistungsindikator. Das Bewusstsein für sichere Kodierung wächst, ebenso wie eine Bewegung hin zum "Shifting Left". Es liegt in der Natur der Sache, dass die Praxis der sicheren Programmierung bedeutet, die Sicherheit viel früher im SDLC zu berücksichtigen. Es bedeutet, dass die Sicherheit von Anfang an aktiv in die Software eingebaut wird, anstatt sie erst später zu berücksichtigen. 

Da CIOs danach streben, ihre Organisationen agiler zu machen, werden sichere Coding-Fähigkeiten zu einer wichtigen Innovationswaffe. CIOs und CISOs sollten sorgfältig darüber nachdenken, ob ihre Entwicklungsteams die erste Risikolinie oder ihre erste Verteidigungslinie sind. 

Diese Erkenntnis hat entscheidende Auswirkungen darauf, wie Unternehmen ihre Entwickler schulen. Die Teams müssen über kürzlich identifizierte Schwachstellen informiert werden und in ihren eigenen Sprachen/Frameworks lernen. Kurz gesagt, sie müssen verstehen, wie sie bekannte Schwachstellen im Code in dem Kontext finden, identifizieren und beheben können, in dem sie tagtäglich arbeiten.

Als Verfechter des Wandels in der sicheren Codierung verfolgt Secure Code Warrior einen menschengeführten Ansatz, der Entwickler aktiv einbindet, damit sie ihre Fähigkeiten zur sicheren Codierung erlernen und ausbauen. Wenn Sie die potenziellen Auswirkungen auf die Fähigkeit Ihrer Teams sehen möchten, sicheren Code schneller zu starten und auszuliefern, ohne die Sicherheit zu gefährden, jetzt eine Demo buchen.

‍

*Shifting from reaction to prevention: The changing face of application security. Secure Code Warrior und Evans Data Corp. 2020

Eine Version dieses Artikels erschien in VMblog .. Er wurde aktualisiert und hier syndiziert.

‍

Egal, wie viele Cybersecurity Awareness Months vergehen, wie viele Sicherheitsexperten mit Fallschirmen abgesetzt werden oder wie viel Geld in ein schwarzes Loch fließt, das Problem der großen Datenschutzverletzungen wird von Jahr zu Jahr schlimmer. Sie sind so regelmäßig, dass sie es heutzutage kaum noch in die Mainstream-Nachrichten schaffen, es sei denn, sie sind katastrophal. Im Jahr 2020 wurden mehr als 36 Milliarden Datensätze durch böswillige Cyberangriffe offengelegt, und wir sind gespannt, wie viele davon im Jahr 2021 erbeutet werden.

Bedrohungsakteure sind ständig auf der Suche nach Gelegenheiten, und obwohl nicht jeder Angriff eine Katastrophe ist, finden sie im Durchschnitt alle 39 Sekunden statt. Wir sind nicht einmal annähernd in der Lage, den Kampf zu gewinnen, und die Bösewichte haben einen großen Vorteil gegenüber den Verteidigern unserer Daten.

Es scheint jedoch, als läge ein Wandel in der Luft, da die Biden-Administration die Cybersicherheit zu einer frühen Priorität in ihrer Amtszeit gemacht hat und dafür zusätzliche Mittel in Höhe von 10 Milliarden US-Dollar bereitstellt. Dies ist ohne Frage ein Schritt in die richtige Richtung, aber wird dies tatsächlich eine Delle in die Cyberkriminalität machen, die immer häufiger und raffinierter wird?

Cyber-Bedrohungen können nur von einem (globalen) Dorf gelöst werden

Eine wirksame Verteidigung gegen immer wirkungsvollere Cyberangriffe kann nicht die Aufgabe von nur einer Handvoll Ländern sein, und leider fehlte es lange Zeit an einer einheitlichen Strategie auf breiter Front. Angesichts der zunehmenden Bedrohungen durch Nationalstaaten sind viele Regierungen jedoch aufgewacht und werden aufmerksam. 

Der SolarWinds-Angriff, der die US-Regierung betraf, war eine deutliche Warnung vor dem, was möglich ist, und ein Indikator für die potenzielle Verwüstung, wenn eine kritische Infrastruktur angegriffen wird. Kürzlich gab das FBI eine Warnung heraus, dass ein Wassersystem in Florida angegriffen wurde, wobei der Bedrohungsakteur in der Lage war, die Wasserversorgung aus der Ferne zu kontaminieren. Die Angreifer wurden gestoppt, bevor es zu ernsthaften Schäden kam, aber ein fortschrittlicherer Angreifer hätte massive Zerstörungen anrichten können, die Menschenleben gefährden würden.

Langsam, aber sicher investieren Regierungen auf der ganzen Welt mehr in die Cyberverteidigung. Großbritannien hat Rekordinvestitionen in den Cybersecurity-Sektor getätigt und eine neue Task Force eingerichtet. Australien hat seine Cybersicherheitsstrategie auf gestockt (vor allem für die Infrastruktur), und Länder wie Israel und Dänemark gelten mit ihren Cyberprogrammen als "best-in-class". Japan belegt den fünften Platz bei der Cyberverteidigung - ein willkommener Vertrauensbeweis, nachdem der damalige Minister für Cybersicherheit, Yoshitaka Sakurada, 2018 erklärt hatte, er habe noch nie einen Computer benutzt. Kürzlich kündigte die Regierung von Singapur an, 50 Millionen US-Dollar in die KI- und Cybersicherheitsforschung für die zukünftige Kommunikationsinfrastruktur zu investieren - ein zukunftsweisender Schritt zur Stärkung der digitalen Sicherheit und Integrität.

Eine starke, koordinierte globale Cybersecurity-Antwort ist von entscheidender Bedeutung, da wir schnell in die Zukunft der Technologie vordringen, und jede Regierungsbehörde sollte dies als einen Hauptschwerpunkt beleuchten.

Mehr Geld bedeutet nicht weniger Probleme

Wenn wir die Vereinigten Staaten, Großbritannien und Australien als Beispiel nehmen, die alle in den letzten Jahren ihre Investitionen in staatlich geführte Cybersicherheit und Fachwissen erhöht haben, mag es so aussehen, als ob Sicherheit endlich eine Priorität ist und die "Guten" bekommen, was sie brauchen, um den Kampf zu gewinnen. 

Das ist sicherlich hilfreich, aber es ist nur ein Teil des Gesamtbildes. Mit diesen Geldern können Super-Expertenteams (wie mit Bidens Finanzspritze geschehen), umfassende Bug-Bounty-Programme und eine erstklassige Reaktion auf Vorfälle und Schadensbegrenzung im Falle katastrophaler Sicherheitsverletzungen gekauft werden.

Jede Regierung muss über reaktive Sicherheitsmaßnahmen hinausblicken und ernsthafte Anstrengungen (und Mittel) in eine präventive Strategie stecken. Wenn der Schwerpunkt weiterhin auf der Reaktion auf erfolgreiche Cyberangriffe liegt, anstatt sie von vornherein zu verhindern, wird kein noch so großer Geldbetrag das wachsende Risiko verringern. Bei einem echten, proaktiven Sicherheitsansatz würde das Budget für die Härtung der Infrastruktur und die Einführung effektiver Sicherheitsschulungen und -weiterbildungen verwendet werden, um die Angriffsfläche von Anfang an so weit wie möglich zu reduzieren.

Die Qualifikationslücke in der Cybersicherheit wird sich vielleicht nie schließen, aber es gibt verschenktes Potenzial

Hochqualifiziertes, spezialisiertes Sicherheitspersonal ist auf der ganzen Welt sehr gefragt, und es ist unwahrscheinlich, dass wir jemals eine Schwemme dieser Cyber-Gurus sehen werden. Dies ist jedoch ein Grund mehr für Regierungen und Organisationen, kreativ zu werden und mit den ihnen zur Verfügung stehenden Ressourcen cleverer umzugehen.

Ein wirklich präventiver Ansatz zur Cyberverteidigung beginnt damit, dass jede Person, die am Softwareentwicklungs- und Infrastrukturprozess beteiligt ist, so sicherheitsbewusst wie möglich für ihre Rolle ist. Vor allem Entwickler benötigen die richtige Sicherheitsschulung und die passenden Tools für ihre Arbeit, damit sichere Kodierung ein fester Bestandteil ihres Prozesses werden kann. Dies trägt wesentlich dazu bei, dass häufige Schwachstellen behoben werden können, bevor sie überhaupt das Licht der Welt erblicken. Dies allein ist schon ein wichtiger - und nicht zu vergessen ein kostengünstiger - Schritt, der den Druck und die Nacharbeit im weiteren Verlauf des Softwareentwicklungszyklus reduziert. 

Wir müssen einen von Menschen geführten Ansatz für Best Practices im Bereich der Cybersicherheit verstärken. Das wird zu besseren Ergebnissen führen als eine starke Abhängigkeit von Automatisierung, Tools und Reaktion auf Probleme, die bereits eingebettet und entdeckt wurden - eine Strategie, die eindeutig nicht funktioniert, wenn wir uns die Zahl der heutigen Sicherheitsverletzungen ansehen.

Wenn es um die Schulung von Entwicklern in sicherem Code geht, lassen die Ergebnisse der Ausbildung viel zu wünschen übrig. Viele Unternehmen geben viel Geld aus, um dann in der Praxis nur minimale Ergebnisse zu erzielen. Und das ist kein Wunder. Aktuelle Untersuchungen* zeigen, dass Entwickler glauben, dass das Erlernen von sicherem Code langweilig ist und dass das Erlernen der Implementierung von sicherem Code eine Herausforderung darstellt. Es werden neue Ansätze für die Schulung von sicherem Code benötigt. Daher hat Secure Code Warrior im Jahr 2020 gemeinsam mit Evans Data Corp. eine Primärstudie über die Einstellung von Entwicklern zu sicherem Code, sicheren Code-Praktiken und Sicherheitsoperationen durchgeführt (Whitepaper herunterladen hier).

Als man den Entwicklern die Möglichkeit bot, das angebotene Training zu kritisieren, waren sie schonungslos und behaupteten, dass das derzeitige Training für sicheren Code schlecht sei:  

• Unterrichtet im Vakuum - 40% 
• Zu theoretisch, ohne Bezug zu ihrer Arbeit und nicht "praxisnah" genug - 40% 
• Oft unregelmäßig, nicht mit ihrer Arbeit verbunden oder engagiert - 30%.
  

Diese Statistiken sind ernst zu nehmen; sie sagen uns, dass das derzeitige Training für sicheren Code kontextuell irrelevant ist, ohne sinnvolle Beziehung zu dem, was Entwickler jeden Tag tun. 

Oft können sie das Gelernte nicht in ihrer Arbeitsumgebung anwenden. Das macht so viele Sicherheitsschulungen zu einer Verschwendung von Zeit und Geld. 

Fünf Wege, um die von Entwicklern gewünschten Schulungen zu erstellen

Wenn es darum geht, welche Art von Training die Entwickler wünschen, waren fünf Dinge überdeutlich. 

1. 75 % der Entwickler bevorzugen ein strukturiertes Training am Arbeitsplatz und halten es für die effektivste und zufriedenstellendste Art des Lernens.
   
   Und wenn es darum geht, was dieses Training beinhalten sollte, haben die Entwickler einige sehr klare und spezifische Wünsche: 
2. 65 % sagen, dass mehr Schulungen zu sprachspezifischen Schwachstellen erforderlich sind
3. 65 % wünschen sich mehr Schulungen zu den OWASP Top 10.
4. Viele wünschen sich auch einen Fokus auf Compliance-Sicherheits-Frameworks, darunter NIST (58%), CIS (52%) und PCI DSS (50%).
5. 78 % wünschen sich informelles Peer-Coaching und Beratung als Teil dieser Schulung.

Aber vor allem wollen Entwickler eine sichere Code-Schulung, die praktisch ist und im Kontext ihrer täglichen Arbeit steht. Entwickler wollen nicht herumsitzen und Dozenten zuhören - sie wollen die Dinge selbst in die Hand nehmen und sie ausprobieren. Sie wollen einen Fokus auf praktische Anwendungen - etwas, das in den aktuellen Schulungsprogrammen schmerzlich vermisst wird. Laut den von uns befragten Entwicklern sind die Top-5-Merkmale einer guten Schulung folgende: 

• Mehr praktisches Training, das reale Arbeitsszenarien zeigt (30 %). 
• Geführte Aktivitäten, die sich auf bestimmten Code oder Schwachstellen konzentrieren (24 %).
• Inclusion of more examples or use cases (24%) Provides some concrete advantage to taking the training (<20%) Incorporates more team-building exercises (<20%). 
• Bietet einen greifbaren Nutzen für die Teilnahme an der Schulung. 
• Beinhaltet mehr Übungen zur Teambildung.
  

Entwickler wünschen sich eine Schulung in sicherem Code, die ihnen grundlegende Fähigkeiten vermittelt - und echte Anerkennung. Da sichere Programmierkenntnisse von Arbeitgebern sehr erwünscht und anerkannt sind, haben Entwickler ihren Enthusiasmus unter Beweis gestellt, um sich von ihren Kollegen abzuheben, insbesondere wenn sie sich für neue Stellen bewerben. Entwickler, die ihre technische Beherrschung oder ihre speziellen Fähigkeiten unter Beweis stellen wollen, nutzen seit langem formale Zertifizierungsprogramme. Auf die Frage, ob sie nach strukturierten Schulungsprogrammen für die Zertifizierung suchten, gaben 70 % an, dass sie nach solchen Programmen suchten. Die wichtigsten Beweggründe waren die offizielle Anerkennung der erworbenen Fähigkeiten, die Steigerung der Arbeitseffizienz und die Tatsache, dass sie für ihr Unternehmen von unschätzbarem Wert sind.

Wenn es um bessere Ausbildungsergebnisse geht, sind entwicklerzentrierte Schulungen der Schlüssel. Strukturiertes Secure Code Training ist für Entwickler wünschenswert - aber nur, wenn es ihnen das bietet, was sie wollen. Unternehmen, die sich der Herausforderung stellen und ihre Secure-Code-Schulungen auf die Bedürfnisse der Entwickler abstimmen, werden von weniger wiederkehrenden Schwachstellen, schnellerer Codebereitstellung und dem damit verbundenen besseren Ruf profitieren.

Es gibt eindeutige Beweise dafür, dass Entwickler eine kontextbezogene, praxisnahe Ausbildung in relevanten Programmiersprachen und Frameworks mit Herausforderungen wünschen, die denen in der realen Welt ähneln. Als Verfechter des Wandels im Bereich der sicheren Programmierung verfolgt Secure Code Warrior einen von Menschen geführten Ansatz, um die Wünsche der Entwickler zu erfüllen. Wenn Sie die potenziellen Auswirkungen auf die Fähigkeit Ihrer Teams, sicheren Code schneller auszuliefern, sehen möchten, jetzt eine Demo anfordern.

*Shifting from reaction to prevention: The changing face of application security. Secure Code Warrior und Evans Data Corp. 2020

Da Datenschutzverletzungen und deren Kosten weiter steigen, ist das Volumen des in unserer Welt produzierten Codes zu groß, als dass Sicherheitsexperten es allein bewältigen könnten. Unternehmen brauchen Entwickler mit sicheren Code-Fähigkeiten - und Entwickler wissen, dass sie diese Fähigkeiten brauchen, um ihre Karriere voranzutreiben. Aber das derzeitige Training für sicheren Code lässt sie im Stich. Was wünschen sich also Entwickler, wenn es um die Ausbildung in sicherem Code geht? Um diese Frage zu beantworten, werfen wir einen Blick auf einige Erkenntnisse aus einer aktuellen Studie über die Einstellung von Entwicklern zu sicherem Coding, sicheren Code-Praktiken und Sicherheitsoperationen, die von Secure Code Warrior in Zusammenarbeit mit Evans Data Corp* durchgeführt wurde. (Whitepaper herunterladen hier).

Wenn es darum geht, welche Art von Training Entwickler wünschen, ist die Antwort glasklar. 75 % der Entwickler bevorzugen ein strukturiertes Training am Arbeitsplatz und halten es für die effektivste und zufriedenstellendste Art zu lernen. Und wenn es darum geht, was dieses Training beinhalten sollte, haben die Entwickler einige sehr klare und spezifische Fragen: 

• 65 % geben an, dass sie Schulungen zu sprachspezifischen Schwachstellen benötigen
• 65% wünschen sich mehr Schulungen zu den OWASP Top 10
• Viele wollen auch einen Fokus auf Compliance-Sicherheits-Frameworks, einschließlich NIST (58 %), CIS (52 %) und PCI DSS (50 %)
• 78 % wünschen sich informelles Peer-Coaching und Beratung als Teil dieser Schulung
  

Aber während Entwickler strukturierte Kursarbeit dem unstrukturierten Lernen stark vorziehen, ist die Art und Weise, wie die Kursarbeit vermittelt wird, entscheidend. Das wirft natürlich eine weitere entscheidende Frage auf:

Wie lernen die Entwickler am liebsten? 

Entwickler wollen nicht herumsitzen und Dozenten zuhören - sie wollen die Dinge selbst in die Hand nehmen und sie ausprobieren. Sie wollen einen Fokus auf praktische Anwendungen - etwas, das den aktuellen Schulungsprogrammen fehlt. Auf die Frage, wie die vom Unternehmen bereitgestellten Schulungen verbessert werden könnten, gaben 30 % der Befragten an, dass sie sich wünschen würden, dass sich die Schulungen auf praktische Anwendungen konzentrieren, insbesondere auf authentische Arbeitsszenarien. 

Entwicklerschulungen benötigen einen von Menschen geleiteten Ansatz, der geführte Lernpfade mit "gamifizierten" Coding-Herausforderungen bietet, die sowohl praxisorientiert als auch sprachen- und frameworkspezifisch sind. Rollenspezifische "Gamified"-Schulungen sorgen für ein hohes Engagement der Entwickler. Konfigurierbare Lernmodule ermöglichen es einer Organisation, das Lernen der Entwickler auf bestimmte Schwachstellen auszurichten.

Finden Sie heraus, wie Sie Softwaresicherheit zu einem festen Bestandteil Ihres Entwicklungsprozesses machen können - mit strukturierten, fähigkeitsbasierten Pfaden, die das Training liefern, das Entwickler wünschen, Demo anfordern jetzt.

"Die interaktiven Simulationen helfen einem, Sicherheitslücken im Code zu erkennen, fordern einen zum kritischen Denken heraus und lassen einen die Lösung oder mehrere Lösungen finden. Ich habe Code durch eine neue Linse gesehen, und das praktische Arbeiten hat so viel Freude gemacht!"
Software-Ingenieur, Finanzdienstleistungen

*Verlagerung von der Reaktion zur Prävention: The changing face of application security. Secure Code Warrior und Evans Data Corp. 2020

Langweilig, langweilig, langweilig! Das ist eine der Hauptantworten, die Sie von Entwicklern hören werden, wenn es um Schulungen zu sicherem Code geht. Wir von Secure Code Warrior sind der Meinung, dass es einen besseren Weg geben muss. Deshalb haben wir uns mit Evans Data Corp. zusammengetan, um eine Primärstudie über die Einstellung von Entwicklern zu sicherem Coding, sicheren Code-Praktiken und Sicherheitsoperationen durchzuführen (laden Sie sich Ihr Exemplar des Whitepapers hier).

In der in Kürze erscheinenden Studie Shifting from reaction to prevention: The changing face of application security wurden Entwickler nach ihren Hauptproblemen mit dem aktuellen Secure Code Training gefragt - und die Antwort war aufschlussreich.

Training, das Entwickler zu Fall bringt

40 % der befragten Entwickler waren der Meinung, dass sicheres Coding in einem Vakuum gelehrt wird. Weitere 40 % waren der Meinung, die Schulung sei zu theoretisch, habe keinen Bezug zu ihrer Arbeit und sei nicht "praxisnah" genug. 30 % sahen einen Mangel an Schulungen in der Sprache:Framework, mit der sie täglich arbeiten. Dies ist ernst zu nehmen, denn es zeigt uns, dass die derzeitige Schulung zu sicherem Code kontextuell irrelevant ist und keinen sinnvollen Bezug zu dem hat, was Entwickler täglich tun. 

Für viele Entwickler besteht die größte Herausforderung darin, wach zu bleiben, während sie sich mit langweiligen Aktivitäten beschäftigen, die weder effektiv sind noch sie dazu inspirieren, die Sicherheit im Auge zu behalten.

Training in einem Vakuum verhindert, dass Entwickler die kognitiven Verbindungen zwischen dem Labor und der realen Welt herstellen können.

3 Dinge, die Entwickler von einem Secure Code Training erwarten: 

1. Mit überwältigender Mehrheit sagen die Entwickler, dass sie sich ein Training wünschen, das praxisnäher und kontextbezogener für ihre tägliche Arbeit ist. 
2. 65 % der Entwickler sagen, dass mehr Schulungen zu sprachspezifischen Schwachstellen und den OWASP Top 10 erforderlich sind. 
3. 75% der befragten Entwickler bevorzugen ein strukturiertes Training "on the job". 

Training, das Entwickler anhebt

Wenn es um On-the-Job-Training geht, bringen die Entwickler ein gewisses Maß an Erfahrung und vorhandenem Wissen mit. Dies weist auf die Notwendigkeit von "gerüstbasiertem" Lernen hin. Dies ist ein Training, das strukturiert - oder gerüstartig - ist, um auf dem aufzubauen, was der Entwickler bereits weiß. Gerüstgestütztes Lernen aktiviert und erweitert alle vorherigen Erfahrungen und baut gleichzeitig neue Fähigkeiten in mundgerechten Stücken auf. Das macht sie zum perfekten Mittel für das Lernen am Arbeitsplatz.

Vermitteln von Fähigkeiten, die haften bleiben

Wenn es um Sicherheitsschulungen für Entwickler geht, wissen wir, dass Entwickler die Methode "Learning-by-Doing" der Plackerei des theoriebasierten statischen Lernens vorziehen. In diesem Sinne ist das Erlernen von sicherem Code in einer hyper-relevanten, kontextbezogenen Umgebung der Schlüssel. Als Verfechter des Wandels im Bereich der sicheren Programmierung bietet Secure Code Warrior kontextbezogene, praxisnahe Schulungen in relevanten Programmiersprachen und Frameworks mit Herausforderungen, die denen entsprechen, denen Entwickler in der realen Welt begegnen. Die Lerninhalte umfassen über 5.500 Herausforderungen und missions , die über 147 verschiedene Schwachstellenarten abdecken, darunter die wichtigen OWASP Top 10, OWASP Mobile Top 10, OWASP API Security Top 10 und CWE/SANS Top 25. 

Wenn Sie die möglichen Auswirkungen auf Ihre Teams und deren Fähigkeit, sicheren Code schneller zu liefern, sehen möchten, Demo buchen jetzt.

Was sind die Hauptmotivationen von Entwicklern, wenn es darum geht, etwas über sichere Codierung zu lernen, und wie können sie genutzt werden, um ein erfolgreiches Anwendungssicherheitsprogramm zu entwerfen und zu implementieren? Im Jahr 2020 hat Secure Code Warrior in Zusammenarbeit mit Evans Data Corp. eine primäre Studie über die Einstellung von Entwicklern zu sicherem Coding, sicheren Code-Praktiken und Sicherheitsoperationen durchgeführt (Whitepaper herunterladen hier).

Bei Umfragen geben Entwickler an, dass sie den Wert von Schulungen für sicheren Code erkennen. Und 80 % der Entwicklungsmanager geben an, dass sie eher Entwickler mit sicheren Code-Fähigkeiten einstellen würden. Warum also gibt es angesichts der hohen Nachfrage nach diesen Fähigkeiten immer noch einen solchen Mangel an sicherheitsgeschulten Entwicklern? 

Mangelnde Motivation auf Seiten der Entwickler scheint nicht das Kernproblem zu sein. Die Entwickler sind motiviert, und auf die Frage nach den Quellen ihrer Motivation für das Erlernen von Secure-Code-Schulungen sagten sie uns Folgendes:

• 35% der Befragten wurden von unternehmensbezogenen Bedenken angetrieben
• 24% waren aus persönlichen Gründen motiviert
• 41% wurden sowohl von persönlichen als auch von Unternehmensmotiven angetrieben. 
  

Und als wir ein wenig tiefer gruben, fanden wir heraus, dass die Top 5 persönlichen Motivatoren für sicheres Codetraining sind:

1. Erhöhte Produktivität und Effizienz
2. Neugierde/persönliches Interesse
3. Vermeidung von Problemen, die durch unsicheren Code verursacht werden
4. Potenzieller Karriereaufstieg
5. Effizientere Nutzung der Humanressourcen

Wenn man unternehmensbezogene Motivationen berücksichtigt, verstehen Entwickler, wie das Erlernen von sicheren Code-Praktiken die Produktivität steigern könnte. Manager können erkennen, wie das Praktizieren von sicherem Code eine effizientere Nutzung ihrer Personalressourcen ermöglichen könnte. Und während sich die Motivationen von Region zu Region unterscheiden, bleibt auf globaler Ebene der Wunsch nach erhöhter Produktivität und Effizienz die einzige Konstante.

‍

Allerdings werden Entwickler nicht immer durch äußere Faktoren, wie z. B. die Anforderungen des Arbeitgebers, dazu gebracht, sich mit sicherem Coding zu beschäftigen. In vielen Fällen sind die Entscheidungen selbstmotiviert. Entwicklern ist wichtig, was sie erschaffen und sie sind stolz auf ihre Arbeit, wie ein Blick auf die vier wichtigsten Gründe zeigt, die Entwickler dazu bewegen, sich mit sicherer Programmierung zu beschäftigen. Während 25% der Entwickler sagen, dass sie einen Mehrwert für ihr Unternehmen schaffen wollen, sagt der gleiche Prozentsatz, dass sie die Qualität ihres Codes verbessern möchten. Für andere geht es um Ansehen, Sichtbarkeit und Anerkennung am Arbeitsplatz. 70 % sagen, dass sie von ihrem Unternehmen anerkannt werden, wenn sie sicheren Code schreiben. Und, wie bereits erwähnt, stellen 80 % der Entwicklungsleiter eher Entwickler mit sicheren Programmierfähigkeiten ein.

Entwickler sind motiviert - warum also sind sie nicht engagierter? 

Wenn sicherheitskompetente Entwickler so geschätzt werden und die Motivation zum Lernen vorhanden ist, warum sind sie dann so knapp bei uns?

Wie wir gesehen haben, haben Entwickler klare Gründe, ihre Fähigkeiten zur sicheren Programmierung zu verbessern, sind aber nach wie vor abgeneigt gegenüber einem Großteil der aktuellen Sicherheitsschulungen, die es gibt. Nur sehr wenige suchen sie auf. Basierend auf dieser Untersuchung glauben wir, dass die Antwort relativ einfach ist: Das derzeit verfügbare Training für sicheres Coding ist unzureichend, weil es die Schlüsselfaktoren nicht vollständig anspricht, die Entwickler überhaupt erst zu sicherem Coding hinführen.

Schauen wir uns jeden dieser Faktoren an. 

Wenn es darum geht, den Wert und die Effizienz zu steigern und die Qualität ihres Codes zu verbessern, brauchen Entwickler eine Schulung, die sicheres Coding zu einem festen Bestandteil ihres täglichen Prozesses macht. Sie müssen in der Lage sein, Schwachstellen während des Programmierens zu identifizieren und zu beheben - und zwar von Anfang an. Um maximale Relevanz und unmittelbare Anwendbarkeit zu gewährleisten, sollte dieses Training in der spezifischen Sprache:Framework stattfinden, die sie jeden Tag verwenden. Traditionelle Schulungsansätze bieten dies nicht und viele Entwickler finden sie unglaublich langweilig und irrelevant.

Als Verfechter des Wandels in der sicheren Programmierung macht Secure Code Warrior sichere Programmierung zu einer positiven und ansprechenden Erfahrung für Entwickler. Wir sind der Meinung, dass Schulungen so gestaltet sein müssen, dass sie Entwickler dazu inspirieren, lernen zu wollen. Dies erfordert "praxisnahe, interaktive und arbeitsrelevante Simulationen und Herausforderungen, die die Teilnehmer dazu inspirieren, von Anfang an Sicherheitsfunktionen in ihren Code einzubauen. Dieser hochgradig interaktive, entwicklerzentrierte Schulungsansatz stellt die Motivation der Entwickler zum Lernen in den Mittelpunkt Ihres Programms für Anwendungssicherheit. Wenn Sie sehen möchten, wie das alles zusammenkommt, buchen Sie jetzt eine Demo.

‍

Eine Version dieses Artikels erschien in Dunkles Lesen. Er wurde aktualisiert und hier syndiziert.

‍

Wenn es jemals etwas gab, das Weihnachten in der Cybersicherheitsbranche ruiniert hat, dann ist es eine verheerende Datenpanne, die auf dem besten Weg ist, das größte Cyberspionage-Ereignis zu werden, das die US-Regierung jemals betroffen hat.

Der Angriff auf SolarWinds ist weitreichend, da die Bedrohungsakteure bereits Mitte 2019 in die Software eingedrungen sind. Der monatelange Raubüberfall wurde im Dezember 2020 entdeckt, nachdem er genutzt wurde, um die prominente Cybersicherheitsfirma FireEye zu infiltrieren, und von da an nahm der Albtraum seinen Lauf. Der volle Umfang des Einbruchs wird noch untersucht, aber zu den Schlüsselbereichen der Infiltration gehören die US-Ministerien für Außenpolitik, Heimatschutz, Handel und das Finanzministerium sowie das Nationale Gesundheitsinstitut.

Dieser Vorfall wird noch Nachwehen haben, aber die schiere Raffinesse des Vorfalls ist faszinierend. Auf technischer Ebene handelt es sich um eine mehrschichtige Infiltration mit maßgeschneiderten bösartigen Werkzeugen, Backdoors und getarntem Code, die weit über die Fähigkeiten von Skript-Kiddies hinausgeht, die wir so oft bei der Ausnutzung offensichtlicherer Fehler beobachten.

Code-Wäsche in ihrer schlimmsten Form

CrowdStrike hat weitere geniale Arbeit beim Reverse-Engineering des Exploits geleistet und die Ergebnisse detailliert für alle sichtbar gemacht. Es hat sich nun herausgestellt, dass SolarWinds Opfer einer Infrastrukturverletzung war, die das Einschleusen von Schadcode in System-Updates ermöglichte, was zu mindestens vier separaten Malware-Tools führte, die den Bedrohungsakteuren einen noch nie dagewesenen Zugang eröffneten.

Die Methode war verdeckt und ermöglichte eine strategische Präzision, die direkt aus einem Jason-Bourne-Roman zu stammen scheint. Sie verschaffte Zeit, um herumzuschnüffeln, zu planen und Opfer außerhalb des SolarWinds-Netzwerks genau dann anzugreifen, wenn sie es wollten - in einem umfassenden Angriff auf die Lieferkette. Und das alles wurde mit Code durchgeführt, der völlig harmlos aussah. 

Cyberangriffe sind oft das Ergebnis einfacher, aber kostspieliger Fehler. Und wenn sie erst einmal entdeckt sind, sind die Fehler ziemlich offensichtlich. Man denke nur an ein schlecht konfiguriertes Netzwerk, im Klartext gespeicherte Passwörter oder ungepatchte Software, die für bekannte Angriffe anfällig ist. In diesem Fall fiel der Code überhaupt nicht auf, und zwar nicht nur für Entwickler und Sicherheitsingenieure. Auch eine Vielzahl teurer, komplexer Sicherheitstechnologien konnte ihn nicht erkennen.  

Tools für die Sicherheitsüberwachung und Penetrationstests wurden praktisch unbrauchbar gemacht

Sicherheitsexperten sind in der Regel so rar wie schaukelnder Pferdekot. Daher werden sie in ihrem Bestreben, enorme Mengen an Unternehmensdaten, Software und Infrastruktur zu sichern, durch einen Technologie-Stack unterstützt, der auf die Sicherheitsanforderungen des Unternehmens zugeschnitten ist. Dies geschieht in der Regel in Form von Komponenten wie Netzwerk-Firewalls, automatisierten Penetrationstests, Überwachungs- und Scan-Tools, wobei letztere viel Zeit im Softwareentwicklungsprozess verschlingen. Dieses Tooling kann schnell eine Spirale bilden und unübersichtlich werden, da viele Unternehmen mehr als 300 verschiedene Produkte und Dienste einsetzen.

SolarWinds verfügt über eine Vielzahl von Tools, um Sicherheitslücken im Code, versuchte unautorisierte Netzwerkzugriffe, potenzielle Kompromisse in jedem Teil der Infrastruktur und sogar Anzeichen für eine Umgehung der Erkennung zu finden und zu markieren. Es ist beispiellos, dass diese Bedrohungsakteure in der Lage waren, bösartigen Code zu injizieren, der selbst vom fortschrittlichsten Sicherheits-Stack unentdeckt blieb. 

Die Härtung der Infrastruktur - insbesondere die Zugriffskontrolle - sind grundlegende Komponenten der allgemeinen Best Practices für die Cybersicherheit, aber wenn ein Angreifer in aller Ruhe ein winziges Zeitfenster ausnutzen kann, dann kann ein Netzwerk genauso kompromittiert werden wie eine Schwachstelle in einer eigenständigen Software. 

Diese Sicherheitsverletzung ist eine Erinnerung daran, dass jedes Unternehmen, das sich bei der Sicherung seiner Netzwerkinfrastruktur und Software allein auf Tools verlässt, ein enormes Risiko eingeht. Es reicht nicht immer aus, den Code zu schützen; alles, was ihn speichert, ausführt und kompiliert, muss ebenso gut gesichert sein. Der ideale Zustand ist ein Gleichgewicht von Tools und Menschen, die eine robuste Strategie ausführen, die tief in die Bewertung und Reduzierung der potenziellen Angriffsfläche geht.

Teamübergreifendes Sicherheitsbewusstsein sorgt für eine bessere Bedrohungsmodellierung

Die Sicherheitslücke bei SolarWinds hat bereits begonnen, einen erheblichen Einfluss auf die Sicherheitsabläufe zu nehmen, insbesondere auf Regierungsebene. Experten sprechen davon, dass dies die Cybersicherheitspraktiken für immer neu gestalten könnte.

Eine zunehmend digitale Infrastruktur treibt unser Leben an, und obwohl sie anfällig für Angriffe sein kann, wenn sie nicht sorgfältig verwaltet wird, ist unsere allgemeine Strategie fehlerhaft. Wir sind personell stark unterbesetzt, wenn es um Sicherheitsexpertise geht, und wir tun nicht viel, um die Lücke zu schließen. Das von Menschen gesteuerte Sicherheitsbewusstsein ist ein zu wenig genutztes Element der Cybersicherheit, ebenso wie die Priorität der Prävention - statt der Reaktion. 

Infrastruktursicherheit ist ein komplexes Unterfangen mit vielen beweglichen Teilen, aber ähnlich wie bei der Softwareerstellung können Entwickler ein Aktivposten bei der Reduzierung struktureller Risiken sein, wenn sie richtig geschult und sicherheitsbewusst sind. 

Die Bedrohungsmodellierung berücksichtigt nur selten Angriffe auf die Lieferkette, obwohl diese Art von Angriffen bereits 2012 als Hauptrisiko hervorgehoben wurde, das mit aktuellen Techniken nur schwer zu verhindern ist und viele Unternehmen unzureichend vorbereitet. Softwareentwickler könnten durchaus eine Rolle bei der Prävention spielen, und es beginnt damit, dass sie sich fortbilden und in der Lage sind, die Integrität ihres Codes von innen heraus zu beurteilen. Haben sie den Update-Mechanismus sicher aufgebaut? Läuft die Software mit unnötigen Verbindungen, die eine leichtere böswillige Kompromittierung ermöglichen könnten?

Wenn Sicherheit gleichbedeutend mit Softwarequalität ist, ist es leicht zu erkennen, welchen immensen Wert ein sicherheitsbewusster Ingenieur mitbringen kann.

Da die Zahl der Cyber-Bedrohungen weiter zunimmt, müssen Unternehmen täglich Kompromisse zwischen Sicherheit, Praktikabilität und Geschwindigkeit eingehen - und setzen sich dabei Risiken aus. Deshalb hat Secure Code Warrior in Zusammenarbeit mit Evans Data Corp. eine Studie durchgeführt, die die Einstellung von Entwicklern zu sicherem Coding, sicheren Code-Praktiken und Sicherheitsabläufen untersucht hat (Download des Whitepapers hier).

Was dieser Bericht zeigt, ist, dass zwar immer noch reaktives Denken alter Schule" vorherrscht, aber das Bewusstsein für die Notwendigkeit proaktiverer Lösungen wächst, die die Entwickler selbst zur ersten Verteidigungslinie machen.  

Jede Untersuchung der Einführung von sicheren Codierungspraktiken muss mit einem Verständnis der Menschen beginnen, die an der Implementierung beteiligt sind, ihrer Wahrnehmung davon und ihrer Fähigkeit, sie zu implementieren. Dies führt dann zum wichtigsten Teil des Puzzles - wie können sie befähigt werden, von Anfang an sicherer zu programmieren und qualitativ hochwertigen Code schneller und mit Zuversicht zu liefern? 

Sicheres Kodieren - wo stehen wir heute, und was muss sich ändern? Herunterladen die Infografik 'The Human Element' jetzt.

Aktuelle Perspektiven - reaktiv vs. proaktiv

Als Entwickler und Entwicklungsleiter nach den Aktivitäten gefragt wurden, die sie mit sicherer Programmierung verbinden, waren die drei wichtigsten Antworten:

• Verwendung von Scan-Tools für installierte Anwendungen.
• Manuelles Überprüfen von Code auf Schwachstellen.
• Die aktive und fortlaufende Praxis, Software zu schreiben, die vor Sicherheitslücken geschützt ist.

Wie wir sehen können, konzentrierten sich zwei der drei Top-Antworten immer noch auf reaktive Ansätze - die erste abhängig von Tooling (Scannern) und die zweite auf den Entwickler (d.h. Menschen), der manuelle Prüfungen durchführt.

Gleichzeitig sind zwei der drei nominierten Aktivitäten auf das menschliche Element angewiesen. Dies deutet auf eine wachsende Wahrnehmung von Sicherheit als menschliches Problem hin. Aber von allen nominierten Aktivitäten ist die aufschlussreichste die Nr. 3, die den menschlichen Faktor beim Schreiben von Software identifiziert , die von vornherein vor Schwachstellen geschützt ist. Dies unterstreicht eine Verschiebung nach links - ein proaktiver und präventiver Ansatz, der Sicherheit von Beginn des SDLC an in die Software einbaut. 

Wo passt die Sicherheit in den SDLC? 

Wenn Entwickler und Entwicklungsmanager gefragt werden, wo sie die Integration von Secure Code-Praktiken in den SDLC sehen, gehen die Meinungen auseinander. 55 % der Manager glauben, dass sicheres Coding in den gesamten Entwicklungsprozess integriert ist, verglichen mit nur 43 % der Entwickler. Der Unterschied könnte auf die unterschiedlichen Rollen dieser beiden Gruppen innerhalb des SDLC zurückzuführen sein. Das Management ist in der Regel weniger in die eigentliche Arbeit der Kodierung involviert und hat eher eine übergeordnete Sichtweise, während sich die Entwickler eher mit den Details beschäftigen.

Aus der Sicht der allgemeinen Sicherheit und Codequalität ist es jedoch alarmierend, dass nur 13 % der Entwickler und 10 % der Manager sagen, dass sichere Code-Praktiken in die Designphasen integriert werden sollten - gleich zu Beginn des SDLC. Dies ist eine riesige und nicht realisierte Chance. Laut einer IBM-Studie ist es dreißigmal teurer, Schwachstellen in nachträglich veröffentlichtem Code zu beheben, als wenn sie von Anfang an gefunden und behoben werden.1 Das ist ein starker Anreiz für eine neue proaktive und menschengeführte Verteidigung der Softwaresicherheit, die Entwickler dazu befähigt, von Anfang an sicherer zu programmieren. Softwaresicherheit kann nicht allein durch den Einsatz von Werkzeugen gelöst werden - sie muss das menschliche Element mit einbeziehen. 

Ist das menschliche Element vorbereitet?

97 % der befragten Entwickler sind der Meinung, dass sie ausreichend in sicherem Coding geschult wurden, und 95 % stimmten zu, dass die Schulung in sicherem Coding für ihre Karriere wertvoll gewesen sei. Doch bevor wir diese Behauptungen für bare Münze nehmen, müssen wir uns fragen: Warum sind Code-Schwachstellen immer noch so weit verbreitet? Sind die Behauptungen von Entwicklern über sicheres Code-Know-how nur ein Fall von menschlichem Ego? Die Beweise deuten sicherlich in diese Richtung. Ein bescheideneres Eingeständnis ist, dass mehr als 88 % der befragten Entwickler zugeben, dass sicheres Coding schwer zu erlernen ist, und 91 % der Entwicklungsleiter räumen ein, dass sichere Coding-Praktiken schwierig zu implementieren sind. Auf die Frage nach den größten persönlichen Bedenken im Zusammenhang mit der Implementierung von sicherem Code geben 28 % der Entwickler an, dass sie den Lernprozess als schwierig empfinden, während 24 % den Lernprozess als langweilig empfinden. Dies deutet darauf hin, dass die Entwicklerschulung verbessert werden muss. 

Was braucht das menschliche Element? 

Um den Faktor "Herausforderung" zu überwinden, erfordert ein lohnenswertes Sicherheitstraining einen "Gerüst"-Prozess, der den Entwickler dabei unterstützt, Schritt für Schritt sichere Codierungsfähigkeiten aufzubauen. Für maximale Relevanz und unmittelbare Anwendbarkeit sollte dieses Training in der spezifischen Sprache:Framework stattfinden, die sie jeden Tag benutzen.

Um den "Langeweile"-Faktor zu überwinden, müssen Schulungen zu sicherem Code auf praktische Art und Weise vermittelt werden - dies ist für Entwickler nachweislich weitaus fesselnder als veraltete Klassenzimmer- oder "Schau dir dieses Video an"-Modelle. Dazu sollten Live-Simulationen gehören, die es den Entwicklern ermöglichen, manchmal riskante Sicherheitsherausforderungen in einer sicheren Umgebung zu bewältigen. Das Ziel sollte sein, Entwicklern beizubringen, wie sie Schwachstellen im Code finden und beheben können, während sie arbeiten, und sicheres Coding zu einem Teil ihres täglichen Arbeitsablaufs zu machen. Ein weiterer wichtiger Faktor ist das Linting und Coaching innerhalb der IDE, das den Entwicklern hilft, während des Programmierens ständig dazuzulernen und Schwachstellen zu vermeiden und zu beseitigen.

Wenn Sie herausfinden möchten, wie Sie Ihren Entwicklern dieses neue Niveau an entwicklerzentrierten Tools und Schulungen bieten können, eine Demo buchen jetzt.

Sie können auch Ihr Exemplar herunterladen das Whitepaper Shifting from reaction to prevention: Das sich verändernde Gesicht der Anwendungssicherheit.

‍

In einer Welt, in der sich die Cyber-Bedrohungen weiter vervielfachen, sind Ihre Programmierer bereit, ihren Beitrag zu leisten? Ist das menschliche Element der sicheren Kodierung - der so wichtige Entwickler - bereit, seinen Teil zur Sicherung unserer vernetzten Welt beizutragen? Um diese Frage zu beantworten, werfen wir einen Blick auf einige Erkenntnisse aus einer aktuellen Studie über die Einstellung von Entwicklern zu sicherem Coding, sicheren Code-Praktiken und Sicherheitsoperationen, die von Secure Code Warrior mit Evans Data Corp. durchgeführt wurde.

Die Fähigkeiten von Entwicklern zur sicheren Programmierung - Wahrnehmung vs. Realität

In der in Kürze erscheinenden Studie Shifting from reaction to prevention: The changing face of application security" sind 97 % der befragten Entwickler der Meinung, dass sie ausreichend in sicherem Coding geschult wurden, und 95 % stimmten zu, dass die Schulung in sicherem Coding wertvoll für ihre Karriere war. Doch bevor wir diese Behauptungen für bare Münze nehmen, müssen wir nachdenken und einige wichtige Fragen stellen. Warum sind Code-Schwachstellen immer noch so weit verbreitet? Wenn Entwickler so gut in sicherer Programmierung geschult sind, warum tauchen dann immer wieder die gleichen alten Schwachstellen auf, immer und immer wieder - mit den gleichen 10 Software-Schwachstellen, die in den letzten 20+ Jahren die meisten Sicherheitsverletzungen verursacht haben?

Was ist hier wirklich los? 

Die Entwickler sagen, dass sie in Sachen Sicherheit gut ausgebildet sind, aber könnte dies Selbstüberschätzung sein? Aufschlussreich ist, dass dieses positive Selbstassessment den eigenen Ansichten der Entwickler über die Schwierigkeit der sicheren Codierung widerspricht. Auch wenn die meisten Entwickler sagen, dass sie wertvolle und ausreichende Schulungen erhalten haben, finden die meisten Entwickler und Entwicklungsleiter die Implementierung von sicheren Code-Praktiken immer noch mehr als nur ein wenig schwierig. 

• Mehr als 91 % der Entwicklungsleiter sagen, dass die Implementierung sicherer Code-Praktiken schwierig ist. 
• Mehr als 88 % der Entwickler finden, dass sicheres Coding eine Herausforderung ist. Als wichtiges "menschliches Element" der sicheren Kodierung erhalten Entwickler nicht das Training für sicheren Code, das sie benötigen - was auf einen Bedarf an besserem Training für sicheren Code und Weiterbildung hinweist, die Sicherheit zu einem integralen Bestandteil ihrer Denkweise macht. 

Warum ist die Implementierung von sicherem Code so herausfordernd?

Um zu verstehen, warum Entwickler und Entwicklungsleiter die Implementierung von sicherem Code als Herausforderung empfinden, wurden sie gebeten, ihre größten Bedenken bei der Implementierung zu nennen.

Dies ergab, dass 28 % den Lernprozess als Herausforderung empfinden, während 24 % den Lernprozess selbst als langweilig empfinden.

Diese Top-Anliegen haben entsprechende Auswirkungen. Es besteht ein Bedarf an ansprechenderen Schulungen, weil der Lernprozess schwer ist. Es besteht auch ein Bedarf an Schulungen, die für Entwickler relevanter sind, weil der Lernprozess langweilig ist, was die Notwendigkeit einer auf Entwickler ausgerichteten Erwachsenenbildung hervorhebt.

"Ich möchte etwas lernen, damit es hängen bleibt und ich es auf andere Szenarien entsprechend anwenden kann. Das wäre Secure Code Warrior."

Senior Staff Software Engineer @ ForgeRock

Das fehlende Glied

Als Verfechter des Wandels im Bereich der sicheren Codierung verfolgt Secure Code Warrior einen menschengeführten Ansatz, der den Aufbau von sicheren Codierungsfähigkeiten zu einer positiven und lohnenden Erfahrung macht. Wir bringen Entwickler dazu, sich voll und ganz mit sicheren Programmierpraktiken zu beschäftigen, indem wir ihnen 100% praktische, unterhaltsame und interaktive Schulungen anbieten, die sie in die Lage versetzen, Sicherheitsprobleme während des Programmierens zu erkennen und zu beheben. All dies reduziert die Kosten und die Zeit bis zur Veröffentlichung, indem Schwachstellen verhindert werden, bevor sie zu den Nachrichten von morgen werden. 

Aber verlassen Sie sich nicht auf unser Wort:

"Das Secure Code Warrior®-Portal ist eine großartige Plattform, um sich über Sicherheitsschwachstellen in verschiedenen Technologien zu informieren. Es ist sowohl interessant als auch interaktiv."
.
Sicherheitstester, kleines Einzelhandelsunternehmen
TVID: 5AC-3CA-F68

"Secure Code Warrior's Einsatz von Gamification hat uns geholfen, die Wichtigkeit von sicherem Coding auf eine erfrischend spaßige und fesselnde Weise zu betonen."
.
Software-Ingenieur, Global 500 Finanzdienstleistungsunternehmen
TVID: B0D-73D-BE3

Und es gibt noch viel mehr, wo diese herkommen. Wenn Sie also diesen neuen Ansatz für sicheres Codetraining aus nächster Nähe sehen möchten und sehen wollen, wie er Entwickler in wahre Sicherheits-Superhelden verwandelt, würden wir ihn Ihnen gerne zeigen.