Eine Version dieses Artikels erschien auf Sicherheits-Boulevard. Er wurde hier aktualisiert und syndiziert.

Anfang dieses Jahres hat das PCI Security Standards Council die Version 4.0 des Payment Card Industry Data Security Standard (PCI DSS) vorgestellt. Auch wenn Unternehmen die Version 4.0 erst im März 2025 vollständig erfüllen müssen, ist diese Aktualisierung die bisher einschneidendste und erfordert von den meisten Unternehmen eine Bewertung (und wahrscheinlich ein Upgrade) komplexer Sicherheitsprozesse und Elemente ihres technischen Stacks. Dies geschieht zusätzlich zur Implementierung von rollenbasierten Sicherheitsschulungen und regelmäßigen Schulungen zur sicheren Programmierung für Entwickler.

Dies ist eine einmalige Gelegenheit für Unternehmen im BFSI-Bereich, ihre Sicherheitsprogramme ernsthaft zu verbessern und eine neue Ära der von Menschen gesteuerten Cyber-Resilienz einzuläuten. 

Was sind die größten Herausforderungen bei der Vorbereitung auf PCI DSS 4.0?

Genauso wie das Sicherheitsprogramm eines Unternehmens allumfassend ist, mit Feinheiten, die auf die jeweiligen geschäftlichen Anforderungen und verfügbaren Ressourcen abgestimmt sind, decken die neuen PCI DSS-Standards ein weites Feld ab. Sie zeigen jedoch eine deutliche Verschiebung in Richtung Flexibilität bei den Ansätzen zur Erfüllung der Sicherheitsanforderungen, und das ist in einer Branche, in der sich Tools, Bedrohungen, Strategien und Maßnahmen zur Einhaltung der Vorschriften im Handumdrehen ändern können, von großer Bedeutung.

PCI DSS 4.0 umfasst das Konzept, dass es viele Wege gibt, um das gleiche Ziel von luftdichten Best Practices für die Sicherheit zu erreichen. Das ist richtig, aber es scheint am besten für Organisationen mit fortgeschrittener Sicherheitsreife geeignet zu sein und lässt viel Raum für Fehler, insbesondere für diejenigen, die ihre tatsächliche interne Sicherheitsreife nicht realistisch eingeschätzt haben assessment . Letztendlich müssen Unternehmen bereit sein, Sicherheit als einen kontinuierlichen, sich entwickelnden Prozess zu betrachten und nicht als eine einmalige Übung zum Einstellen und Vergessen". Eine starke Sicherheitskultur ist ein Muss, mit einer unternehmensweiten Verpflichtung zum Sicherheitsbewusstsein. 

Diejenigen, die an den Werkzeugen auf der Code-Ebene arbeiten - die Entwickler - müssen in die Lage versetzt werden, in jeder Geschäftsumgebung, in der digitale Werte und Transaktionen verarbeitet werden, konforme und sichere Software zu liefern. 

Sind Ihre Entwickler darauf vorbereitet, konforme Software zu liefern?

Entwickler sind ein integraler Bestandteil des Erreichens eines hervorragenden Zustands der Softwaresicherheit, und dies ist besonders relevant für mehr als nur die Einhaltung von PCI DSS-Token. Es ist von entscheidender Bedeutung, dass Entwickler das breitere Bild von PCI DSS 4.0 in Bezug darauf verstehen, was sie kontrollieren und als Teil ihres Standardansatzes in eine Softwareerstellung integrieren können. 

Die für das Entwicklungsteam relevantesten Änderungen betreffen drei Schlüsselbereiche, die sich wie folgt aufschlüsseln lassen:

• Authentifizierung: Ein praktikabler Plan für die Zugangskontrolle war schon immer ein wichtiger Bestandteil der PCI-Konformität, aber Version 4.0 setzt noch einen drauf und erfordert eine sorgfältige Implementierung sowohl intern als auch extern. Die Multi-Faktor-Authentifizierung (MFA) wird zum Standard, ebenso wie verschärfte Regeln für Passwortkomplexität und Timeouts.
  
  Da Authentifizierungs- und Zugangskontroll-Sicherheitsprobleme nun die häufigsten Probleme sind, mit denen ein durchschnittlicher Entwickler konfrontiert wird, ist es zwingend erforderlich, dass eine präzise Schulung durchgeführt wird, um diese Probleme im eigentlichen Code zu erkennen und zu beheben.
  
  
• Verschlüsselung und Schlüsselverwaltung: Wir leben in einer Welt, in der wir auf einige unserer sensibelsten Daten über mehrere Zugangspunkte zugreifen können, z. B. über unser Online-Banking. Da diese hochwertigen Daten gefährdet sind, sind Verschlüsselung und starke Kryptografieverfahren ein Muss. Die Entwickler müssen sicherstellen, dass sie immer auf dem Laufenden sind, wo die Daten übertragen werden, wie die Benutzer auf sie zugreifen können und dass sie selbst dann, wenn sie in die falschen Hände geraten, für Bedrohungsakteure unlesbar sind.
  
  
• Bösartige Software: In den vorangegangenen Leitlinien wurden Sicherheitskontrollen zum Schutz vor bösartigem Code als "Antiviren-Software" bezeichnet, was jedoch zu sehr vereinfacht, da es sich um einen mehrschichtigen Ansatz handelt, der weit mehr als nur Viren abdeckt. Anti-Malware-Lösungen müssen überall dort eingesetzt werden, wo es notwendig ist, und eine kontinuierliche Protokollierung und Überwachung ist obligatorisch.
  
  Außerdem ist es wichtig, dass die Entwickler über Lernpfade verfügen, die die Identifizierung anfälliger Komponenten abdecken, zumal die meisten Codebasen zumindest teilweise auf den Code von Drittanbietern angewiesen sind.

Was ist eine "ausreichende" Schulung für Entwickler?  

Ähnlich wie frühere Empfehlungen schlägt PCI DSS 4.0 vor, dass Entwickler "mindestens" jährlich geschult werden. Wenn man jedoch davon ausgeht, dass einmal im Jahr ein Berührungspunkt für die Erstellung sicherer Software ausreicht, ist dies bei weitem nicht ausreichend und wird wahrscheinlich nicht zu sicherer, konformer Software führen. 

Die Ausbildung von Entwicklern sollte mit einer grundlegenden Ausbildung in den OWASP Top 10 sowie in allen anderen Schwachstellen beginnen, die für die Sprache relevant und geschäftskritisch sind. Dies sollte Teil eines fortlaufenden Programms sein, mit dem Ziel, diese Fähigkeiten weiter auszubauen und die Sicherheit nicht nur von Anfang an in die Softwareentwicklung, sondern auch in die Denkweise und die Herangehensweise an ihre Rolle einzubetten. Darüber hinaus müssen die Rollen und Verantwortlichkeiten für die Entwickler und ihre Vorgesetzten eindeutig geklärt sein. Sicherheit sollte eine gemeinsame Verantwortung sein, aber es ist nur fair, die Erwartungen zu dokumentieren und sicherzustellen, dass sie ordnungsgemäß erfüllt werden können.

Mit der Vorlaufzeit, die für die Vorbereitung auf die Einhaltung von PCI DSS 4.0 zur Verfügung steht, ist es möglich, erhebliche Fortschritte bei der unternehmensweiten Verbesserung der Sicherheitskultur zu erzielen, und das ist ein fruchtbarer Boden für die Entwicklung der sicherheitsbewusstesten Entwicklungsgruppe, die Sie je hatten.

‍

Zeit ist Geld - warum also verschwenden wir sie? 

Technische Leiter - es ist an der Zeit, realistisch zu werden. Wie viele Stunden verbringen Ihre Entwickler mit dem Programmieren? Nein, wir wollen sie nicht dazu bringen, zuzugeben, dass sie den ganzen Tag im Pyjama herumhängen, Chips essen und Netflix schauen. Aber fragen Sie sich stattdessen, wie viele Stunden pro Tag Ihre Teams Ihrer Meinung nach mit sinnvoller Arbeit verbringen.

Schauen Sie sich nun die Zeit an, die Ihre Entwickler pro Woche mit der Programmierung verbringen. Wie viel dieser Zeit wird für die Überarbeitung von altem Code, die Suche und Behebung von Fehlern oder die Beseitigung technischer Schulden aufgewendet? Wahrscheinlich sehr viel.

Wir kennen das Gefühl. Entwickler fühlen sich oft frustriert, weil sie keine Fortschritte machen können, wenn sie mit unüberwindbaren Herausforderungen und Lücken im heutigen Softwareentwicklungszyklus konfrontiert sind. 

• Im Durchschnitt überarbeitet ein Softwareentwicklungsteam etwa 26 % seines Codes vor der Veröffentlichung. 
• Ein Entwickler verbringt durchschnittlich 13,5 Stunden pro Woche allein mit technischen Schulden. Das sind über 700 Stunden pro Jahr, die mit der Behebung vergangener Fehler verbracht werden. 
• Entwickler verbringen vier Stunden pro Woche mit der Arbeit an "schlechtem Code". Über ein Jahr gerechnet sind dies 85 Milliarden Dollar an entgangenen Opportunitätskosten.
• 41 % der Entwickler geben an, dass Funktionalität und Sicherheit in ihrem Unternehmen den gleichen Stellenwert haben.
• 63 % der Entwickler halten das Schreiben von sicherem Code, der keine Schwachstellen aufweist, für sehr schwierig. 

Quelle: Stripe Report, der Entwickler-Koeffizient; The State of Developer-Driven Security Survey 2022

Denken Sie an die letzte Codeüberprüfung, bei der der Code von Ihrem AppSec-Team als unsicher eingestuft wurde. Denken Sie an den Stillstand, den Ihr Team einlegen musste, um diese Schwachstellen zu beheben. Höchstwahrscheinlich mussten sie sich in einen Kaninchenbau begeben, um eine praktikable Lösung für das Problem zu finden, und sich dann extra Zeit nehmen, um herauszufinden, wo zum Teufel sie aufgehört hatten, bevor sie das Problem angehen mussten. 

Quelle: Stripe Report, Der Entwickler-Koeffizient

Dieser endlose Kreislauf aus Stillstand und Nacharbeit ist nicht nur störend, sondern auch produktivitätsmindernd und demoralisierend.

Es gibt einen besseren Weg, sicher zu programmieren - und dabei Zeit zu sparen 

Wir alle wünschen uns, wir hätten mehr Stunden am Tag, um Dinge zu erledigen. Aber manchmal müssen wir einfach einen Weg finden, mit den Stunden, die wir haben, intelligenter und nicht härter zu arbeiten. 

Anstatt Zeit damit zu verschwenden, sich den Kopf über Lösungen zu zerbrechen und stundenlang den Code, der vielleicht gar nicht von Ihnen stammt, nach Fehlern und Schwachstellen zu durchforsten, wäre es nicht einfacher, den Code von Anfang an besser zu schreiben? 

Die Technik befindet sich heute in einer Sackgasse, da die technischen Leiter versuchen, die Kosten auf jede erdenkliche Weise zu senken. Softwarelizenzen, freiwillige Ausgaben und sogar Gehälter stehen auf der Kippe. Aber was wäre, wenn es gar nicht so weit kommen müsste? Ineffizienzen im Softwareentwicklungsprozess sind schwieriger zu quantifizieren, aber letztlich auch kostspieliger und schwieriger zu beheben.

Mit entwicklergesteuerter Sicherheit können Entwickler eine höhere Effizienz und Produktivität innerhalb des SDLC erreichen, indem sie die Sicherheit bei jedem Schritt des Prozesses selbst in die Hand nehmen. 

Die Verringerung des Zeitaufwands für die Überarbeitung von anfälligem Code ist mehr als nur eine kostensparende Maßnahme: Es ist eine Chance, in Ihre Abteilung zu reinvestieren. Die Zeit, die verschwendet wurde, kann für die Entwicklung innovativer neuer Funktionen oder sinnvoller Verbesserungen Ihrer Anwendung genutzt werden. Entwickler, die zuvor frustriert waren, weil sie keine Fortschritte machen konnten, werden durch die Möglichkeit, einen Mehrwert zu schaffen, motiviert.

Entwickler sind der Meinung, dass die größten negativen Auswirkungen auf ihre Arbeitsbelastung durch Arbeitsüberlastung, sich ändernde Prioritäten, die zu verworfenem Code oder Zeitverlust führen, und durch die Tatsache, dass ihnen nicht genügend Zeit für die Korrektur von Code schlechter Qualität zur Verfügung steht, verursacht werden. In Verbindung mit mangelnden Kenntnissen und einer Flickschusterei bei der Behebung von Schwachstellen bedeutet dies noch mehr Zeitverschwendung und steigende Kosten. 

Quelle: The State of Developer-Driven Security Survey 2022

Die Technik entwickelt sich in rasantem Tempo. Deshalb ist es wichtig, Ihren Entwicklern die nötigen Werkzeuge an die Hand zu geben, damit sie mit der Entwicklung Schritt halten können und nicht ins Hintertreffen geraten. Wenn Sie Ihre Entwickler mit dem Wissen ausstatten, wie sie von Anfang an sicher programmieren und Schwachstellen schnell beheben können, hat Ihr Team einen Vorteil, wenn es darum geht, die Kopfschmerzen bei der Überarbeitung des Codes zu bewältigen und technische Schulden langfristig zu beheben. 

Unternehmen müssen ihre vorhandenen Entwicklertalente besser mobilisieren, wenn sie schneller vorankommen, agil bleiben und neue und aufkommende Trends nutzen wollen. Wenn Sie Ihre Entwickler dazu motivieren, sich stärker auf die Sicherheit zu konzentrieren, sollte es nicht nur um die Kosten und den Output gehen. Die Weiterbildung und Integration von Sicherheitsaspekten in jeden Schritt des SDLC ist nicht nur ein Gewinn für das Team, sondern auch für die einzelnen Entwickler. Entwickler, die in der Lage sind, sicher zu kodieren, werden in den kommenden Jahren sehr geschätzt, denn sichere Kodierung bedeutet weniger Probleme, mit denen sie sich später auseinandersetzen müssen.

Mit links zu beginnen bedeutet nicht nur, dass man schnell vorankommt, sondern auch, dass man es den Entwicklern ermöglicht, die Verantwortung für die Sicherheit mitzutragen, ohne die Geschwindigkeit zu beeinträchtigen. Wenn es richtig gemacht wird, verbessern sicherheitskompetente Entwickler die Produktivität, indem sie Schwachstellen reduzieren, die zu Nacharbeiten führen, die Geschwindigkeit der Softwareveröffentlichung beibehalten und die Qualität des Codes sicherstellen, ohne die Innovation zu behindern.

Intelligentere, schnellere und sichere Kodierung

Secure Code Warrior baut eine Kultur von sicherheitsorientierten Entwicklern auf, indem es ihnen die Fähigkeiten vermittelt, sicher zu programmieren. Unser Flaggschiff Learning Platform bietet relevante fähigkeitsbasierte Pfade, praktische Übungen missions und kontextbezogene Tools, mit denen Entwickler ihre Fähigkeiten zum Schreiben von sicherem Code schnell erlernen, aufbauen und anwenden können. 

Bei Secure Code Warrior arbeiten wir ständig an Innovationen, um Entwicklern und Unternehmen die richtigen Fähigkeiten zu vermitteln, um die sich ständig ändernden Sicherheitsherausforderungen zu bewältigen. Wir tun dies durch hochgradig ansprechendes, flexibles und einfach zu verwaltendes Secure Code Enablement. 

Jeder möchte eine gute Rendite erzielen, wenn es darum geht, in sein technisches Equipment oder zusätzliche Schulungsprogramme zu investieren. Wenn es jedoch um die Sicherheit geht, müssen Sie langfristig denken. Investitionen in entwicklungsorientierte Sicherheit verringern nicht nur das Risiko teurer Sicherheitsverletzungen, Produktivitätsverluste und angehäufter technischer Schulden, sondern schaffen auch eine proaktive und kosteneffektive Strategie, um der heutigen Bedrohungslandschaft einen Schritt voraus zu sein. 

Im vergangenen Quartal hat Secure Core Warriors mit Coding Labs, das nun allen Kunden von Secure Code Warrior zur Verfügung steht, neue Lernmethoden eingeführt. Wir freuen uns, Verbesserungen bei der Teilnahmeverwaltung und der Kursversionierung ankündigen zu können, und wir haben neue Kursaktivitäten wie Guidelines! 

Lassen Sie uns eintauchen und mehr erfahren!

Erweiterung des Umfangs und der Tiefe der SCW-Plattform 

Secure Code WarriorDie kontinuierliche Erweiterung um neue Inhalte trägt dazu bei, dass unsere Module relevant, aktuell und auf das zugeschnitten sind, was Sie in der heutigen Cybersicherheitslandschaft wissen müssen. Mit der branchenführenden Breite und Tiefe von über 55 Sprachen ist es einfach, ein Programm zur Schulung von Entwicklern in einer großen Anzahl von Sprachen und Frameworks zu erstellen und zu skalieren. 

Kodierungsrichtlinien verfügbar in Courses 

Die zusätzlichen Richtlinien bieten Entwicklern kontextbezogenes und selbstbestimmtes Lernen, das in erster Linie Sicherheitsmaßnahmen abdeckt. Richtlinien gehen mehr in die Tiefe als Videos und konzentrieren sich auf eine bestimmte Sprache oder ein bestimmtes Framework. Andere offensiv ausgerichtete Aktivitäten wie Challenges, Missions und Walkthroughs setzen bereits voraus, dass die Entwickler die Schwachstelle kennen. Wir haben Richtlinien erstellt, um diese Aktivitäten aus defensiver Sicht zu ergänzen.  

Entwickler können die Richtlinien unter Courses lesen, und Administratoren können sie in Kursvorlagen verwenden. Die Richtlinien decken die in den OWASP Top 10 2021 aufgeführten Schwachstellen ab und enthalten Codeausschnitte in C#, Java, JavaScript, Python, Pseudocode und PHP. 

Neuer Inhalt der Herausforderung

Secure Code Warrior aktualisiert und erstellt regelmäßig neue Herausforderungen, die relevant, zeitgemäß und auf die Bedürfnisse Ihrer Organisation zugeschnitten sind. Wir freuen uns, Ihnen erweiterte Herausforderungen in folgenden Bereichen anbieten zu können: 

• Dart: Flutter - eine mobile Sprache zur Erstellung reibungsloser plattformübergreifender Apps für Android und iOS
• Terraform: GCP - eine Infrastruktur als Code-Entwicklungssprache für Google Cloud Provide. 

Die Entwickler können den Code analysieren, die Schwachstelle finden und durch kritisches Denken die beste Sicherheitsimplementierung wählen, um die aufgeführten Schwachstellen zu verhindern.

Demnächst: neue Inhalte für Front-End-Entwickler 

Auch Front-End-Entwickler brauchen die Möglichkeit, sicheren Code zu schreiben! Aus diesem Grund werden wir zusätzliche Front-End-Schwachstellen in Missions und Walkthroughs veröffentlichen. Front-End-Entwickler können auch auf Courses auf Front-End-spezifische Missions zugreifen. 

Diese Updates bemühen sich um eine umfassende Abdeckung von frontend-spezifischen Schwachstellen - von weit verbreiteten wie DOM-basiertem XSS bis hin zu weniger häufig auftretenden Schwachstellen wie CSS Injection. 

Schritt-für-Schritt-Anleitungen bieten Front-End-Entwicklern eine verlässliche Anleitung, wie Schwachstellen ausgenutzt werden. Fortgeschrittene Entwickler können unter Tournaments ihre Fähigkeiten im Bereich Front-End Missions testen. 

Vereinfachung der Arbeit von Administratoren und Entwicklern

Die Konfiguration eines skalierbaren und ansprechenden Programms zur sicheren Code-Schulung ist jetzt einfacher denn je, da die Benutzerfreundlichkeit der Plattform erheblich verbessert wurde. 

‍

Kursversionierung, Archivierung und Teilnahmeverwaltung 

Mit den neuen Möglichkeiten zur Bearbeitung bestehender Programme können Sie jetzt mit den sich ständig ändernden Anforderungen an das Programm einer Organisation Schritt halten. Die Kursversionierung ermöglicht es Administratoren, ihre bestehenden Courses zu bearbeiten, ohne einen neuen Kurs erstellen zu müssen. Administratoren können auch Courses oder nicht relevante Courses löschen, für die keine Entwickler eingeschrieben sind, und so ihr Archiv entrümpeln. 

Darüber hinaus können Administratoren auf der Kursverwaltungsseite zusätzliche Filter anwenden, die es ihnen erleichtern, den gewünschten Kurs herauszufiltern. Courses kann nach einer Reihe von Attributen wie Kursstatus, Enddatum und eingeschriebene Teams gefiltert werden. So können Administratoren zum Beispiel ganz einfach alle Courses finden, die ein Zeitlimit haben, an die ein Kursende angehängt ist assessment oder bei denen der Kurs im Entwurf oder in der Vorschau ist.

Zusätzlich zur Versionskontrolle und Filterung für Courses können Administratoren jetzt Kursteilnehmer in großen Mengen erneut einladen und sie bei Bedarf aus einem Kurs entfernen. Dies gibt Admins eine Ein-Klick-Lösung, um Entwickler im Status "eingeladen" wieder einzuladen und spart wertvolle Zeit und Energie, um sie daran zu erinnern, wieder auf die Plattform zu kommen und mit dem Lernen zu beginnen!

‍

Das war's mit den neuen Funktionen in diesem Quartal! Folgen Sie Secure Code Warrior auf Twitter, um über die neuesten Versionen und Verbesserungen informiert zu werden.

Möchten Sie Secure Code Warrior ausprobieren, haben aber noch kein Konto? Melden Sie sich noch heute für ein kostenloses Testkonto an, um loszulegen.

Lassen Sie uns über Schulden sprechen 

Fast jeder weiß inzwischen, dass Cyberkriminalität zu einem großen Problem für unsere globale Wirtschaft geworden ist. Im Jahr 2022 beliefen sich die durchschnittlichen Kosten für eine Datenschutzverletzung in den Vereinigten Staaten auf 9,44 Millionen Dollar, gegenüber 9,05 Millionen Dollar im Vorjahr. Es ist wichtig, die Kosten für unsicheren Code und die angehäuften technischen Schulden nicht zu ignorieren. Laut dem 2022 Consortium for Information and Software Quality: The Cost of Poor Software Quality " wird geschätzt, dass die Kosten für schlechte Softwarequalität in den USA auf 2,41 Billionen Dollar und die angehäuften technischen Softwareschulden auf 1,52 Billionen Dollar gestiegen sind. 

Die ausufernden Kosten für die Beseitigung von unsicherem Code und dessen technischen Schulden sind zum größten Hindernis für Änderungen an bestehenden Codebasen geworden - und machen sie damit anfällig für Ausbeutung und externe Bedrohungen. Der Zustand der Softwaresicherheit befindet sich in einer existenziellen Krise - wir wissen, dass wir unsere Sicherheitslage verbessern und die angehäuften technischen Schulden angehen müssen, aber die Hindernisse sind enorm: 

• In den USA gibt es schätzungsweise 300.000 unbesetzte Stellen für Softwareentwickler und IT-bezogene Berufe mit einer prognostizierten Wachstumsrate von 15 %. 
• Es wird prognostiziert, dass bis 2025 40 % der IT-Budgets für die bloße Aufrechterhaltung der technischen Schulden ausgegeben werden.
• 1/3 der wöchentlichen Arbeitszeit von Entwicklern entfällt im Durchschnitt auf die Bewältigung technischer Schulden

Schnelle Lösungen sind riskant - und kosten langfristig mehr 

Was ist technische Schuld und warum ist sie so wichtig? Technische Schulden entstehen, wenn sich Entscheidungsträger für eine kurzfristige Lösung eines Softwareentwicklungsproblems entscheiden, statt für eine umfassendere, langfristige Lösung. Dies ist mit erheblichen versteckten Kosten verbunden, die Unternehmen später bezahlen müssen. Ähnlich wie eine überzogene Kreditkarte hat die technische Schuld zwei Hauptkomponenten:

• Principal - bezieht sich auf die Gesamtkosten für das Refactoring oder die Korrektur von Software, damit sie ein gewünschtes Niveau an Wartbarkeit und Sicherheit erreicht.
• Zinsen - der zusätzliche Aufwand, den die Entwickler für die Änderungen aufwenden, um allein die technischen Schulden zu beseitigen, und nicht für neue Funktionalitäten. Jede Minute, die mit nicht ganz korrektem Code verbracht wird, erhöht die Schuld um Zinsen.

Man kann schließlich einen Zustand des "technischen Bankrotts" erreichen, wenn die Kosten für neue Funktionen, Fehlerkorrekturen und Wartung das Projektbudget übersteigen und damit den Wert der Softwareanwendung erheblich senken. 

Eine gewisse Schuldenanhäufung ist jedoch - wie im Leben - normal und in den meisten Fällen auch zu erwarten. 

Im Idealfall sollten alle Softwareentwickler Fehler so weit wie möglich reduzieren, bevor sie den Code ausliefern. Sie stehen jedoch vor einem schwierigen Kompromiss: Um wettbewerbsfähig zu sein, möchte ein Unternehmen seinen Kunden Funktionen oder Produkte schnell und zu minimalen Kosten liefern. Infolgedessen leidet die Qualität der Anwendung, da die KPIs der Entwickler auf der Geschwindigkeit der Lieferung und den anfänglichen Kosten für die Erstellung der Anwendung basieren. Was nicht berücksichtigt wird, sind die kumulierten Mängel und potenziellen Schwachstellen, die in den Code eingebaut sind. Damit ist die Anwendung reif für Bugs oder Sicherheitslücken oder, schlimmer noch, für die Ausnutzung durch böswillige Akteure. 

Aber genau hier liegt das Problem: Gibt es einen anderen Weg, Produkte schnell auf den Markt zu bringen, ohne eine große Menge an technischen Schulden anzuhäufen? 

Die Kosten für das Auffinden und Beheben von Mängeln und Schwachstellen sind die größten Einzelkosten im Lebenszyklus der Softwareentwicklung. Je früher im Entwicklungszyklus Probleme gefunden werden, desto kosteneffizienter wird die gesamte Lieferung sein. 

Technische Schulden können sich zu Sicherheitsschulden entwickeln

Viele Entwickler versuchen, diesen Kompromiss zu umgehen, indem sie Open-Source-Code verwenden, um schnell voranzukommen und im Idealfall eine bereits geprüfte Lösung zu nutzen. Die Verwendung von Open-Source-Software birgt jedoch oft ihre eigenen Risiken: 

• 82 % der Open-Source-Komponenten waren veraltet (d. h. nicht gepatcht oder nicht ausreichend unterstützt). 
• 75 % der Codebases enthielten Schwachstellen (gegenüber 60 % im Jahr 2018), und 49 % enthielten hochriskante Schwachstellen 
• Pro Codebasis wurden durchschnittlich 82 Schwachstellen ermittelt 

Dies führt zu einer Unterart der technischen Schulden - den Sicherheitsschulden. Sicherheitsschulden sind die Anhäufung von Schwachstellen in einer Softwareanwendung, die den Schutz von Daten und Systemen vor Angriffen erschweren oder gar unmöglich machen.

Eines der berüchtigtsten Beispiele ist Equifax, der Kreditauskunftsriese, bei dem 2017 eine Sicherheitslücke in Apache Struts, einem beliebten Open-Source-Webanwendungs-Framework, nicht gepatcht wurde. Der Patch war bereits seit Monaten verfügbar, aber durch die Sicherheitsverletzung wurden die wichtigen persönlichen Daten von mehr als 147 Millionen Menschen gefährdet.

Daher muss der sicheren Kodierung mehr Aufmerksamkeit gewidmet werden, da viele Anwendungen nicht nur in Bezug auf ihre technische Verschuldung, sondern auch in Bezug auf die Dichte der Sicherheitsschwachstellen und Anfälligkeiten in der Anwendung selbst eine kritische Masse erreicht haben.

Dies kann zu großen Verlusten führen, die sowohl materiell als auch immateriell sein können: 

Schädigung des Rufs: Der Verlust des Kundenvertrauens kann sich äußerst negativ auswirken. Dazu gehören die Schädigung der Marke, Umsatzeinbußen und kostspielige rechtliche Probleme als Folge eines Verstoßes. 

Auswirkungen auf die Einhaltung von Vorschriften und Regeln: Ein Sicherheitsverstoß kann dazu führen, dass ein Unternehmen eine Frist und/oder vertragliche Verpflichtungen nicht einhält. Die Nichteinhaltung eines SLA kann ein Unternehmen in Schwierigkeiten mit den Aufsichtsbehörden bringen, was zu erheblichen Geldstrafen führen kann. 

Wiederherstellungskosten: Nach einer Störung oder einem Ausfall ist häufig zusätzliche Arbeit erforderlich, um den Produktivitätsverlust auszugleichen.

Verhindern von technischen und Sicherheitsschulden im SDLC

Viele Unternehmen verlagern bereits ihre Budgets, um ihre Sicherheitslage zu verbessern. Letztes Jahr verpflichtete sich Google, über einen Zeitraum von fünf Jahren 10 Milliarden Dollar für ein Programm zur Verbesserung der Cybersicherheit bereitzustellen. Die Biden-Administration beantragte außerdem 2,1 Mrd. USD im Ermessenshaushalt 2022 für die Cybersecurity and Infrastructure Security Agency (CISA). 

Die Bereitstellung von mehr Ressourcen und Schulungen, um die berufliche Entwicklung und das Wissen Ihrer Entwickler zu fördern, kann der erste Schritt sein, um Qualitätsstandards für den gesamten in Produktion gegebenen Code zu etablieren. 

Die Kosten für das Auffinden und Beheben von Schwachstellen oder Fehlern steigen exponentiell an, je später im Softwareentwicklungszyklus sie gefunden und behoben werden. Und wie wir gesehen haben, verursachen Unternehmen, die so viel Zeit auf die Behebung technischer und sicherheitsrelevanter Mängel verwenden, ihre eigenen Verluste, indem sie auf Innovation und Zeit für neue Funktionen oder Produkte verzichten. 

Im Jahr 2022 gab die Mehrheit der Entwicklerteams an, dass DevOps oder DevSecOps die Methode ihrer Wahl sei, und es ist keine Überraschung, warum. DevSecOps integriert die Sicherheit in jeder Phase des Softwareentwicklungslebenszyklus, um bessere und sicherere Anwendungen zu liefern. Sicherheits- und Entwicklungsteams arbeiten nach wie vor in Silos und haben Spannungen, aber es ist klar, dass sich dies ändern muss, um Unternehmen zum Erfolg zu verhelfen. DevOps ist Teil des Versuchs von Unternehmen, Barrieren zu überwinden und die Kultur zu verändern. Das grundlegende Ziel von DevSecOps besteht darin, die Zusammenarbeit zwischen AppSec/Security und Entwicklern bereits zu Beginn des Softwareentwicklungszyklus zu verbessern.

Die Einführung einer neuen Denkweise im Umgang mit technischen Schulden und Sicherheit muss kein großer Kraftakt sein. Die Etablierung einer proaktiven Denkweise durch Schulungen ist von entscheidender Bedeutung, wenn es darum geht, das Sicherheitsbewusstsein und die Fähigkeiten der Entwicklergemeinschaft eines Unternehmens zu verbessern. Eine solide Sicherheitsschulung für Entwickler, die sicherstellt, dass das Lernen kontinuierlich, interaktiv, relevant und kontextbezogen erfolgt, ist eine Notwendigkeit. Ein wirklich ganzheitlicher Ansatz muss berücksichtigen, was erforderlich ist, um eine echte, von Entwicklern geführte Sicherheitskultur zu fördern. Es kann erforderlich sein, den Fokus von der typischen Art und Weise der Verwaltung und des Aufbaus von Entwicklerteams zu ändern.

Es ist nicht einfach, einen Kulturwandel herbeizuführen, aber Secure Code Warrior hilft Ihnen dabei, Ihre Sicherheitschampions zu identifizieren und Entwickler und Unternehmen mit den richtigen Fähigkeiten auszustatten, um die sich ständig ändernden Sicherheitsherausforderungen zu bewältigen. 

Die Einführung eines engagierten und skalierbaren Programms für sicheren Code ist eine lohnende Investition, da es sich um einen langfristigen, präventiven Sicherheitsansatz handelt und nicht wie in der Vergangenheit um einen reaktiven Ansatz. Dies trägt letztendlich dazu bei, die kostspieligen Risiken einer Sicherheitsverletzung zu mindern, Entwickler darin zu schulen, wie sie Schwachstellen schnell finden und beheben können, und eine agilere Art der Produktentwicklung und eine schnellere Markteinführung zu ermöglichen.

Coding Labs: Praktisches Training für sicheren Code für Entwickler 

Weiterbildung ist ohne interaktives Lernen eine Herausforderung 

In einer kürzlich durchgeführten Branchenumfrage(The State of Developer-Driven Security Report 2022) gaben 40 % der Entwickler an, dass ihre Schulungen nicht praxisnah genug waren. Unternehmen investieren in Sicherheits- und Secure-Code-Schulungen, sehen aber kaum Anzeichen dafür, dass die Zahl der unsicheren Codes und die Zahl der Code-Nacharbeiten abnimmt. In den meisten Fällen führen langweilige und statische Schulungsmodule für sicheren Code dazu, dass sich die Entwickler nicht engagieren und keine guten Ergebnisse erzielen.

Ohne ein grundlegendes Verständnis der wichtigsten Konzepte sowie der offensiven und defensiven Strategien werden Entwickler keinen positiven Einfluss auf die Verringerung von Sicherheitslücken haben. Stattdessen werden sie oft mit einem einseitigen, statischen Ansatz konfrontiert, der nur erklärt, "wie man den fraglichen Code repariert". Um kritische Sicherheitskonzepte wirklich zu verstehen, müssen die Entwickler wissen, wie die Schwachstellen funktionieren, ihre Auswirkungen verstehen, die Muster, die sie verursachen, veranschaulichen und ihnen zeigen, wie sie sie in einem für sie sinnvollen Kontext beheben können. 

Es gibt viele Entwickler, die motiviert sind zu lernen, aber nicht die Zeit haben, in ein Schulungsprogramm für sicheren Code zu investieren. Sie brauchen eine Anlaufstelle, die ihre unterschiedlichen Lernstile unterstützt und realistische Schulungen in einer ihnen vertrauten Umgebung anbietet. Die meisten Schulungen erfordern jedoch eine langwierige Einrichtung eines virtuellen Desktops oder enthalten nicht die Inhalte und Szenarien, die für ihre Erfahrungen relevant sind.

Es ist unfair, ihre Leistung zu messen oder die KPIs der Entwickler so zu zentrieren, dass sie einen Schwerpunkt auf sichere Programmierung legen, wenn sie nicht über die Fähigkeiten verfügen, die sie durch interaktive und relevante Lernmöglichkeiten erworben haben. Die Bedeutung der sicheren Softwareentwicklung kann jedoch gar nicht hoch genug eingeschätzt werden, und es ist von entscheidender Bedeutung, die Entwickler mit ins Boot zu holen. 

Mit Coding Labs bieten wir Ihnen die nächste Stufe des Coachings für entwicklungsorientiertes, sicheres Coding mit interaktiven Modulen, die alle in einer praktischen Browser-IDE integriert sind. 

Bieten Sie die praktische Schulung, die Entwickler wünschen  

Die Coding Labs sind Teil des flexiblen, mehrstufigen Ansatzes von Secure Code Warriorzum Erlernen und Verbessern des Sicherheitsniveaus von Entwicklern. Entwickler können mit den einfacheren geführten Walk-Throughs und Videos beginnen und dann zu Missions und unseren neuen Coding Labs übergehen. 

Anstatt mit unklaren und frustrierenden "Richtig oder Falsch"-Anleitungen konfrontiert zu werden, können Entwickler sicher sein, dass sie den richtigen Weg lernen und ihr Verständnis mit kontextbezogenem Feedback in Echtzeit verbessern. 

Entwickler können zwischen selbstgesteuerten Lernpfaden wählen oder ihre Fähigkeiten auf courses testen, das von ihrem Programmadministrator zugewiesen wird. Coding Labs ist wie ein persönlicher Trainer: Mit interaktiven, praxisnahen Modulen mit echtem Code und intuitivem Feedback können Entwickler schneller vom Lernen zum Tun übergehen und ihre sicheren Programmierkenntnisse verbessern.

Coding Labs: 

• Bietet intuitives Feedback und kontextbezogene Hinweise, um sicherzustellen, dass die Entwickler wissen, warum dies wichtig ist" und wie es zu beheben ist".
• Erleichtert das Lernen durch Kurzübungen, die den Lernerfolg maximieren, ohne die Produktivität zu beeinträchtigen
• Erfordert keine Einrichtung von virtuellen Desktops oder Setups - und ist einfach für alle Entwickler bereitzustellen
  
  

Starke Fähigkeiten aufbauen und sichere Kodierung in Echtzeit üben 

Coding Labs ermöglicht es Entwicklern, in einer IDE-ähnlichen Umgebung zu lernen, die ihre Arbeitsweise simuliert und ihnen dabei hilft, ihre Fähigkeiten zu verbessern, indem sie sich ohne Ablenkungen besser mit dem Thema beschäftigen. Entwickler lernen während des Programmierens mit intuitiven Anleitungen, die ihnen den Kontext für die Vermeidung von Sicherheitsschwachstellen vermitteln.

Als Teil der SCW-Plattform bietet diese neue Erfahrung eine neue Perspektive für die Entwicklerschulung. Entwickler können sich durch eine Vielzahl von Schulungsarten weiterbilden, die auf abgestuftem Lernen basieren - von Erklärungsvideos bis hin zu praktischen Herausforderungen, die von leicht bis schwer reichen. 

Programmadministratoren haben die Wahl zwischen selbstgesteuertem Lernen oder der Erstellung von individuellen Lehrplänen mit Coding Labs als Lernaktivität. Entwickler bauen ihre Fähigkeiten im Laufe der Zeit auf - beginnend mit einem soliden Fundament, indem sie die Kernprinzipien erkennen und ihr Wissen im Laufe der Zeit durch reale Praxis beim Schreiben von sicherem Code erweitern. 

Coding Labs ist wie ein persönlicher Coach für die Entwickler, der ihnen eine neue Schwachstelle mit einem einfachen, angeleiteten Training näher bringt und sie schließlich zu anspruchsvolleren und praxisnahen Erfahrungen hinführt. Die Führungskräfte können sich darauf verlassen, dass die Entwickler das Training ansprechender finden, es leichter behalten und es schließlich auf die Codebasis anwenden, um Schwachstellen und Nacharbeit zu reduzieren.

Möchten Sie mehr erfahren? Buchen Sie eine Demo 

Probieren Sie Secure Code Warrior kostenlos aus.

‍

In dieser Woche feiern wir offiziell acht Jahre Secure Code Warrior. Einerseits ist das 350 Mal so lang wie die Apollo 11-Mission und entspricht 45.000 Fußballspielen oder dem 5696-maligen Durchspielen von Super Mario Odyssey bis zum Ende. Andererseits ist es nur ein Dreißigstel der Lebensspanne einer Riesenschildkröte (250 Jahre, falls Sie sich wundern). In der Welt eines wachstumsstarken Start-ups ist es eine Reise mit vielen Wendungen, Lektionen und Erfolgen, von denen viele unvorstellbar waren, als wir unseren Geschäftsplan zum ersten Mal schrieben. 

Zwischen der allgegenwärtigen Bedrohung durch die Rezession, militärischen Konflikten und einigen der störendsten Datenschutzverletzungen, die wir bisher erlebt haben, war 2022 für viele, mich eingeschlossen, nicht das positivste Jahr. Es wäre unaufrichtig, wenn ich behaupten würde, dass es alles andere als ein Durchmarsch bis zur Ziellinie war, aber ich bin stolz auf unsere Widerstandsfähigkeit angesichts der anhaltenden globalen Herausforderungen. Wir haben ein außergewöhnliches Team, und jeder von uns hat sich wirklich dem Erfolg von Unternehmenssicherheitsprogrammen verschrieben, indem er Entwickler in den Mittelpunkt eines transformativen, defensiven Ansatzes für Probleme stellt, die schon sehr lange bestehen. Wir sind vielleicht nicht die einzige "gamifizierte" Cybersecurity-Ausbildungsoption auf dem Planeten, aber eines ist sicher: Niemand sonst hat unsere Vision, unsere Beharrlichkeit oder unser Gründungsteam, und wir haben schon viel zusammen durchgemacht.

Unsere Geburtstage werden oft genutzt, um über die wichtigsten Ereignisse des vergangenen Jahres zu reflektieren, aber dieses Mal möchte ich hervorheben, wie besonders es ist, dass wir ein solches Wachstum erreicht haben, während wir dieselben sechs Mitarbeiter behalten haben, die wir am ersten Tag in ein winziges Büro gepfercht haben.

Wir haben unsere Nische gefunden und arbeiten jeden Tag zusammen, um eine Vision zu verwirklichen, von der wir glauben, dass sie die Art und Weise, wie Entwickler ihre Rolle in der Sicherheit sehen, verändern wird. Es ist eine große Aufgabe, aber wir haben unsere Wurzeln und die Bedeutung unserer Verbindung nicht vergessen.

‍

Wir haben noch einen langen Weg vor uns, aber mit diesem Kern und einem wachsenden Team begeisterter, einfühlsamer und engagierter Personen glaube ich fest daran, dass wir dazu beitragen können, den Status quo der Sicherheit in der Softwareentwicklung zu verändern. 

Und wissen Sie, was mich so zuversichtlich macht? Wir haben von Anfang an Wert auf Vielfalt gelegt und sie als eine Säule der Stärke unseres Teams betrachtet. Die besten Organisationen werden durch die Beiträge von Menschen mit unterschiedlichem Hintergrund, aus verschiedenen Kulturen und Lebensbereichen aufgebaut. Im vergangenen Jahr haben wir über hundert neue Mitarbeiter in unser Team aufgenommen, und ich kann mit Stolz sagen, dass wir ein Schmelztiegel von Ansätzen sind, die in einer beeindruckenden, talentierten Gruppe von Menschen gipfeln, die uns in die sprichwörtliche Stratosphäre bringen können. 

Wenn uns die letzten drei Jahre etwas gelehrt haben, dann, dass wir mit dem Unerwarteten rechnen müssen, aber die Konstante, auf die ich mich verlassen kann, ist, dass wir uns gegenseitig den Rücken stärken und langsam, aber sicher dazu beitragen, die Software sicherer zu machen. Und wir tun das, ohne unseren Sinn für Abenteuer zu verlieren.

Hier bei Secure Code Warrior arbeiten wir ständig an Innovationen, um Entwicklern und Unternehmen die richtigen Fähigkeiten zu vermitteln, um die sich ständig ändernden Sicherheitsherausforderungen von heute zu bewältigen. 

Wir haben die wichtigsten Funktionen und Aktualisierungen unserer Plattform sowie die in diesem Jahr veröffentlichten Ressourcen und Richtlinien zusammengestellt, um Ihr Unternehmen bei der Sicherung Ihrer Software durch entwicklergesteuerte Sicherheit zu Beginn des Softwareentwicklungszyklus zu unterstützen.

Highlights aus dem Jahr 2022

2022 war ein großes Jahr für sicheres Code-Lernen. Hier sind einige Metriken, die wir von unseren Nutzern erhalten haben, um den Umfang und das Ausmaß unserer learning platform zu zeigen.

‍

Das Jahr 2022 war ein großes Jahr des Bauens. Lassen Sie uns ein paar der wichtigsten Höhepunkte durchgehen!

Die wichtigsten Veröffentlichungen im Jahr 2022

Demnächst verfügbar: Coding Labs

Mit Coding Labs können Entwickler ihre Fähigkeiten zur sicheren Programmierung durch praktische Lernerfahrungen in einer einzigartigen, voll ausgestatteten In-Browser-IDE verbessern. Durch die Schulung in einer vertrauten Umgebung ist es einfacher als je zuvor, neue Fähigkeiten zu erlernen und sie auf den tatsächlichen Code anzuwenden und Schwachstellen zu vermeiden, bevor sie entstehen.

Coding Labs ist derzeit als Vorschau für Kunden verfügbar. Wenden Sie sich an Ihren SCW-Vertreter, um mehr zu erfahren um mehr über den Zugang zu erfahren, falls Sie dies noch nicht getan haben.

SCORM LMS-Integration

SCORM ist der internationale Standard für e-courses. Wenn Ihr Kurs im SCORM-Format veröffentlicht wird, können Sie sicher sein, dass fast jedes Lernmanagementsystem (LMS) ihn erkennt.

Die SCORM LMS-Integration ermöglicht es Administratoren, ihr sicheres Code-Schulungsprogramm zusammen mit ihren anderen Schulungsplattformen an einem Ort zu verwalten. So sparen Sie Zeit und können sich auf die wichtigen Dinge konzentrieren, z. B. auf die Verbesserung Ihrer Schulungsprogramme. 

Secure Code Warrior Konnektor für Okta-Workflows 

Diese Integration hilft zu verhindern, dass unsicherer Code in Ihre Codebasis eingeführt wird, indem eine Sicherheitsprüfung in Ihren Ablauf integriert wird. 

Bei der Arbeit an Codebasen, z. B. in einem GitHub-Repository, können Sie erforderliche Lektionen und Beurteilungen als Qualifikationskriterien für die Codierung in der Basis festlegen. Auf diese Weise können Ihre Führungskräfte sicherstellen, dass jeder Entwickler bereit ist, in der entsprechenden Codebasis zu arbeiten, und so die Sicherheitslage des gesamten Unternehmens verbessern. 

Erfahren Sie mehr über Okta + SCW 

Sehen Sie die Demo hier 

Erfahren Sie mehr und sehen Sie eine Live-Demo von Coding Labs in diesem Webinar über Entwicklerproduktivität und Enablement.

Lesen Sie die Neuigkeiten in unserem Blog

Sehen Sie sich die Okta-Demo und unsere anderen Integrationen in einem unserer ProductTalks an. 

Schwachstellen in den Nachrichten 

Secure Code Warrior bietet eine schnelle Reaktion auf die wichtigsten Schwachstellen, um sicherzustellen, dass Sie sich der Situation bewusst sind und wissen, was zu tun ist. Und wenn möglich, erstellen wir sogar eine Simulation, in der Sie praktische Erfahrungen mit den Mechanismen sammeln und Ihre Anwendung besser vor künftigen Bedrohungen schützen können. 

2022 war ein ereignisreiches Jahr, wenn es um Sicherheitslücken und Angriffe ging, die ihre hässlichen Köpfe erhoben. Von einer log4j-Schwachstelle, die Millionen von Anwendungen gefährdet, bis hin zu einem Python-Tar-Traversal-Pfad, dessen Behebung fast 15 Jahre dauerte. Secure Code Warrior hat die Richtlinien und den kostenlosen Test missions , um Sie auf diese Arten von Schwachstellen vorzubereiten. 

• Log4J-Schwachstelle
• Trojanische Quelle
• Frühjahrsanfälligkeit
• Sicherheitslücke zwischen NGINX und Microsoft Windows SMB Remote Procedure Call Service
• Festcodierte Anmeldeinformationen
• Python-Pfadüberquerungsfehler

Weitere Veröffentlichungen und Aktualisierungen 

Bei Secure Code Warrior dreht sich alles um skalierbare und ansprechende Schulungen, die den Entwickler dort abholen, wo er sich befindet, ganz gleich, auf welchem Niveau er sich befindet. Im Juni haben wir unsere vierteljährliche ProductTalk-Webinar-Reihe gestartet, in der wir all die spannenden Dinge vorstellen, die wir für unsere Kunden einführen.

Im Jahr 2022 gab es zahlreiche Erweiterungen der Sprachen und Inhalte, die beim SCW verfügbar sind, sowie entscheidende Verbesserungen der Verwaltungsfunktionen und Vorstöße in eine detailliertere Berichterstattung. 

Flexible und vielfältige Bildung

Secure Code Warrior enthält Schulungsinhalte in mehr als 63 verschiedenen Sprachen (Tendenz steigend), von den beliebtesten(Java und C++) bis hin zu den aufstrebenden Stars wie GO und Typescript. Im Jahr 2022 haben wir noch mehr Inhalte und Sprachen in unser Repertoire aufgenommen. 

• NEUE OWASP-Kursvorlagen , um das Grundwissen und das Sicherheitsbewusstsein Ihrer Entwickler zu verbessern.
• Neue Sprache - SAP:ABAP Nischensprachen wie SAP:ABAP werden vom SCW mit Schulungsinhalten behandelt, die in dem von Entwicklern bevorzugten Format geliefert werden - Code-Snippets und Beispiele

Optimierte Konfiguration und Verwaltung

Wir wissen, wie wichtig es ist, die Bereitstellung und Wartung von sicheren Kodierungsprogrammen zu vereinfachen. Im Jahr 2022 haben wir viele bewusste Verbesserungen vorgenommen, um die Arbeit unserer Administratoren zu erleichtern und ein kopfschmerzfreies und intuitives Erlebnis zu schaffen.

• Tabellarische Kursansicht - Jetzt ist es noch einfacher für Sie, courses für verschiedene Entwicklungsteams schnell zu erstellen.
• Kursbearbeitung und -versionierung - Admins können ihre bestehenden courses bearbeiten und grundlegende Kursversionen erstellen, ohne einen völlig neuen Kurs erstellen zu müssen
• Massenaktionen - Erledigen Sie mehr mit weniger Klicks und nehmen Sie Änderungen an courses von einer Stelle aus vor, anstatt Änderungen in allen Sprachen vorzunehmen.
• Schaltfläche "Fortsetzen" - Der Zugriff auf Courses vom Startbildschirm aus mit einer Schaltfläche "Fortsetzen" zur neuen Homepage zeigt eine Liste von Aktivitätskarten an, damit die Benutzer die zuvor begonnenen Module schnell wieder aufnehmen können.

Berichterstattung und Analyse

Für Unternehmensadministratoren und Teammanager ist die Notwendigkeit, die Aktivitäten im gesamten Unternehmen zu überwachen, von entscheidender Bedeutung, um das Engagement der Entwickler zu verstehen und den Erfolg Ihres Schulungsprogramms zu messen. Durch den Zugriff auf wichtige Metriken wie die Anzahl der abgeschlossenen courses und die auf courses verbrachte Zeit - entweder auf Team- oder auf individueller Ebene - können sogar noch mehr strategische Entscheidungen für den Aufbau umfassenderer Schulungsprogramme getroffen werden.

• Schulungsmetriken - Berichten Sie über den Fortschritt und den Erfolg Ihres Anwendungssicherheitsprogramms mit Metriken, die zeigen, wie gut ein Entwickler in seiner Schulung vorankommt, und nicht, wie viel Zeit er mit der Plattform verbracht hat.

• Assessment CSV-Downloads - Verschaffen Sie sich einen schnellen Überblick über die Stärken und Schwächen Ihrer Entwickler, um Ihre Strategie und Ihren Reifegrad zu bewerten. Die CSV-Downloads enthalten alle Versionen von assessment und nicht nur eine Version.

Tech-Stack-Integrationen

Secure Code WarriorDer Integrationsansatz von SCW stellt sicher, dass Ihr SCW-Programm direkt in die von Ihnen bevorzugten Produkte und die Arbeitsabläufe der Entwickler integriert wird, um die Benutzererfahrung zu verbessern und eine zeitnahe Korrektur zu ermöglichen sowie die Lernergebnisse zu verbessern. 

• Secure Code Warrior für GitHub - Ermöglichen Sie kontextbezogene Schulungen innerhalb von GitHub-Workflows, indem Sie kontextbezogenes Schulungsmaterial zur Anwendungssicherheit an SARIF-Dateien oder direkt in den Issues und Pull-Requests anhängen. So können Entwickler auf das Wissen zugreifen, wenn sie es am dringendsten benötigen, damit Sie schneller hochwertigen Code bereitstellen können.

Erfahren Sie mehr über SCW+GitHub 

• Secure Code Warrior für GitLab - Binden Sie hochrelevante Secure Code Warrior Schulungslinks in den Abschnitt "Schwachstellendetails" der Schwachstellenberichte in GitLab ein. Dies trägt dazu bei, die Zeitspanne zwischen dem Lernen und der Anwendung des Wissens zu verkürzen, um die zukünftige Nutzung sicherzustellen.

Siehe die Demo

Erfahren Sie mehr über SCW+GitLab  

• Synopsys Seeker-Integration - Verknüpfen Sie Secure Code Warrior Ressourcen, Videos und Schulungslinks mit den in Seeker gefundenen Schwachstellen. Micro-Learning in Synopsys Seeker hilft bei der Identifizierung und Behebung von Schwachstellen mit leicht zugänglichen Schulungsanleitungen in Seeker. 

Erfahren Sie mehr über Synopsys + SCW

Olympische Spiele 2022

Secure Code Warrior veranstaltete am 19. Oktober 2022 seinen zweiten jährlichen sicheren Programmierwettbewerb Devlympics. Wir sind stolz, mitteilen zu können, dass die Devlympics 2022 sogar noch größer waren als im letzten Jahr! Die diesjährige Veranstaltung umfasste 2910 Anmeldungen mit fast 800 Spielern in den Arenen "Champion" und "Ultimate Warrior" und hat sich als großer Erfolg erwiesen, da sie Entwicklern aller Erfahrungsstufen geholfen hat, ihre Fähigkeiten im sicheren Programmieren zu verbessern. 

Während der 24-stündigen Veranstaltung tournament traten Entwickler aus der ganzen Welt in offensiven und defensiven Programmierwettbewerben in Programmiersprachen ihrer Wahl gegeneinander an. Die Entwickler hatten die Möglichkeit, sich mit Gleichgesinnten zu messen, wobei die Bandbreite der Fähigkeiten vom Hobbyprogrammierer bis zum Profi in den gewählten Sprachen reichte.

Gleichzeitig wurden Sicherheitsexperten in den Discord-Kanal des Secure Code Forums eingeladen, um live zu spielen, Feedback zu geben, Witze und Memes auszutauschen und mehr über Secure Code Warrior zu erfahren. 

Ressourcen für Ihren Erfolg 

Secure Code Warrior ist eines von vier Unternehmen, die im Gartner® Cool Vendors™ in Software Engineering genannt werden: Enhancing Developer Productivity" Bericht genannt. Neben dem Angebot innovativer Lösungen, die Unternehmen dabei helfen, die Produktivität von Entwicklern zu steigern und Sicherheitsrisiken zu minimieren, hat Secure Code Warrior eine Reihe von Ressourcen und Forschungsergebnissen zur Bedeutung von Developer Driven Security veröffentlicht. 

Ganz gleich, ob Sie ein AppSec-Manager sind, der um das Engagement und den Input Ihrer Entwicklerteams kämpft, oder ob Sie ein technischer Manager sind, der die Sicherheitshaltung Ihrer Teams verbessern möchte - wir haben die Leitfäden und Tools für Sie, die Sie benötigen, um sich für entwicklergesteuerte Sicherheit in Ihrem Unternehmen einzusetzen. 

• Secure Code Coach - eine Ressourcendrehscheibe für Entwickler, um mehr über sichere Programmierung zu erfahren und sich mit Mitgliedern ihrer Community auszutauschen
• Whitepaper: Der Stand der entwicklergesteuerten Sicherheit
• Whitepaper: Die Herausforderungen bei der Verbesserung der Software-Sicherheit
• Das Schulungskonzept für sicheren Code
• Schritte zur Sicherheitsreife des Entwicklungsteams
• Die Sicherheitsreifegradmatrix für Entwickler
• Die Bedeutung der Sicherheitsreife in Entwicklerteams
• Quiz zum Reifegrad der Sicherheit 
• Ihr Handbuch zur entwicklergesteuerten Sicherheit 

Möchten Sie Secure Code Warrior ausprobieren, haben aber noch kein Konto? Melden Sie sich noch heute für ein kostenloses Testkonto an, um loszulegen.

Sprechen Sie mit dem Vertrieb, um mehr zu erfahren. 

Folgen Sie Secure Code Warrior auf Twitter, um über die neuesten Versionen und Verbesserungen informiert zu werden.

Das war's für heute, wir sehen uns 2023!

‍

‍

Die Kosten von schlechtem Code 

Technologiesprünge machen es Entwicklern leichter als je zuvor, Code schneller als je zuvor bereitzustellen. Dies kann für die Innovation aufregend sein, aber auch entmutigend, wenn es darum geht, die Qualität und Sicherheit von Software zu erhöhen. Die Rechtfertigung der Kosten für zusätzliche Tools, Trainingsprogramme und Investitionen in die Weiterbildung von Entwicklern kann wie ein "Nice-to-have" gegenüber einer kritischen Geschäftsfunktion erscheinen, wenn die Geschwindigkeit des ausgelieferten Codes beibehalten wird.  

Die schnellere Bereitstellung von Code mag einfacher geworden sein, die Bereitstellung von sicherem Code ist es leider nicht - und so sind Unternehmen anfälliger für Bedrohungen als je zuvor. Die Kosten der Cyberkriminalität sind weltweit schwindelerregend und steigen rapide an. Tatsächlich beliefen sich die Kosten der Cyberkriminalität im Jahr 2020 auf etwa 1 Billion Dollar. Im Durchschnitt belaufen sich die Kosten einer Datenschutzverletzung auf 4,35 Millionen Dollar - verteilt auf entgangene Geschäfte mit aktuellen und potenziellen Kunden sowie auf die Ressourcen, die für die Aufdeckung, Eskalation und Nacharbeit aufgewendet werden. 

Trotz dieser astronomischen Kosten verlangen mehr als die Hälfte der Unternehmen von ihren Entwicklern nicht, dass sie jährlich eine formelle Schulung zu sicherem Code absolvieren.

Sicherheitsexperten wissen, dass das Aufspüren und Beheben von Schwachstellen manchmal wie ein Spiel mit dem Maulwurf erscheint. Selbst wenn Sie bereits über ein Sicherheitsprogramm mit einer Abhilfestrategie verfügen, gibt es immer eine Möglichkeit zur Verbesserung. Die meisten Unternehmen stellen fest, dass ihr Sicherheitsansatz nicht so stabil ist, wie sie dachten, wenn ihre Disaster Recovery- oder Backup-Fähigkeiten auf die Probe gestellt werden. Wenn die Stärkung der Widerstandsfähigkeit Ihres Unternehmens gegenüber Cyberangriffen eine Ihrer obersten Prioritäten ist, sollte ein Perspektivwechsel bei Ihren Entwicklern zu Ihren Plänen gehören, um Ihre Sicherheitslage weiter zu verbessern. Ein qualifiziertes, befähigtes Entwicklerteam, das von Anfang an sicheren Code erstellt und über das nötige Wissen verfügt, um Schwachstellen schnell zu finden und zu beheben, ist das kostengünstigste Mittel zur Risikominderung.   

Ein Irrglaube, wenn es um die Ausbildung von Entwicklern geht, ist, dass es sich dabei einfach um Kosten für das Unternehmen oder sogar um eine Versicherungspolice handelt. Laut Klaus Klaus Klinger, DevSec Awareness Evangelist bei der Allianz, "muss das Ganze in den Köpfen des Managements beginnen. Die Investition in die Schulung von Entwicklern ist keine verlorene Investition, sondern eine Investition in Qualität, Produktivität und den Ruf des Unternehmens".

Der ROI ist in diesem Bereich oft schwer zu beziffern, aber letztendlich sollten Unternehmen darüber nachdenken, wie ihre Sicherheitsmaßnahmen ihnen helfen, Risiken zu reduzieren, ihre Vorgehensweise zu rationalisieren und Zeit und Produktivität für ihre Entwicklerteams zu sparen. 

Wie kann man den ROI der Cybersicherheitskosten quantifizieren?

Wenn es um den ROI geht, ist es wichtig, ihn in zwei verschiedenen Rahmen zu betrachten: die Kosteneinsparungen durch Risikominderung und die Auswirkungen Ihrer Sicherheitsschulung.

Betrachten wir dieses allzu häufige Beispiel: Eine Sicherheitslücke oder ein Sicherheitsverstoß führt dazu, dass eine E-Commerce-Website mehrere Tage lang offline ist, während die Teams nach dem Problem und dessen Behebung suchen. Die Kosten für das Versäumnis, das Problem zu beheben, lassen sich anhand der entgangenen Einnahmen während des Ausfalls, der Auswirkungen gestohlener Zugangsdaten, des Vertrauensverlusts der Kunden (der langfristig zu Umsatzeinbußen führt) und des allgemeinen Produktivitätsverlusts während der Behebung des Problems beziffern. 

Dies läuft im Grunde auf eine Kosten-Nutzen-Analyse hinaus. Die wichtigsten Bereiche, die Sie bewerten sollten, sind der Reifegrad der Sicherheit in Ihrem Unternehmen, die Risikoakzeptanz Ihres Unternehmens und die Bereiche in Ihrem Code, die gewartet oder verbessert werden müssen.

Die Menschen konzentrieren sich oft auf die falschen Messgrößen, um Erfolg und Wert zu bestimmen. Vielleicht sollten wir uns weniger um die Rendite der Anfangsinvestition des Programms kümmern und stattdessen die Auswirkungen des Programms selbst messen. 

Maßnahme zum Nachweis der Wirkung

Um den ROI zu ermitteln, müssen Sie messbare Ziele festlegen. Dies beginnt damit, dass Sie die sicheren Programmierkenntnisse Ihrer Entwickler bewerten und feststellen, wo sie ihre Fähigkeiten ausbauen müssen. 

Ein erster Ansatzpunkt wäre die Messung des Engagements, um strategische Entscheidungen über die Gestaltung besserer Schulungsprogramme treffen zu können. Am wichtigsten ist es, die Auswirkungen zu messen. Beginnen Sie damit, die Anzahl der Schwachstellen zu ermitteln, die im Lebenszyklus der Softwareentwicklung durch Codeanalyse, Bug Bounties oder klassische Schwachstellentests aufgedeckt werden, bevor Sie das Programm in jedem Team starten. Eine der einfachsten Möglichkeiten, um festzustellen, ob Ihr Schulungsprogramm den gewünschten Erfolg hat, ist die Messung des Rückgangs der Schwachstellen, die in Ihre Codebasis insgesamt eingeführt werden.

‍

Die wichtigsten Fragen zur Bewertung des ROI:

1. Rationalisieren wir unseren Ansatz?

Werfen Sie mehr Tools auf das Problem oder lösen Sie es an der Wurzel? Das Hinzufügen weiterer Tools zu Ihrem Tech-Stack führt zu einem "Schweizer Käse"-Ansatz bei der Suche und Behebung von Schwachstellen. Außerdem erhöhen sie die Betriebskosten, ohne die Quelle vieler Schwachstellen zu beeinflussen - den Code. Obwohl Scanning- und Pentesting-Tools unbedingt zu Ihrem Arsenal gehören sollten, sollten sie nicht Ihre letzte Verteidigungslinie sein.

2. Verbessern wir Effizienz und Produktivität?

Die Zeit, die für erschöpfende Codeüberprüfungen und Überarbeitungen des von AppSec zurückgesandten Codes aufgewendet wird, kann zu einem erheblichen Produktivitätsverlust führen. Die Verringerung von "Fire Drills" durch die Ermächtigung und Befähigung von Entwicklerteams, bei der Schulung für sicheren Code selbst Hand anzulegen, sollte ein guter Maßstab für die Bewertung der positiven Auswirkungen Ihres Sicherheitsprogramms sein. ‍

3. verringern wir die Risiken?

Eine Schwachstelle zu finden und zu beheben kann wie das Lösen eines großen Puzzles sein, das manchmal Tage, Wochen oder sogar Monate dauern kann, um es mit einer robusten Lösung abzuschließen. Wenn Entwickler in die Lage versetzt werden, die Fehlerbehebung an der Quelle selbst durchzuführen, kann sich AppSec auf die Risikoüberwachung und die Stärkung der Sicherheitslage des Unternehmens konzentrieren.

4. Erhöhen wir die Geschwindigkeit (bei gleichbleibender Qualität)?

Die schnelle Bereitstellung von Code ist nicht immer eine gute Sache. Wenn man an der falschen Stelle spart und Schwachstellen in den Code einbaut, kann das in der Zukunft viel Kopfzerbrechen bereiten und technische Schulden anhäufen. Kurzfristiges Denken ist hier nicht die Lösung. Man kann das Risiko mindern, indem man seinen Code von Anfang an absichert, so dass sich das Problem in der Zukunft nicht verschlimmert.

Empfohlene Metriken zur Überwachung:  

• Engagement - wie viel Zeit planen Sie für die Schulung ein und wie engagieren sich die Entwickler? Nehmen sie an courses, an Bewertungen und an tournaments teil? 
• Fähigkeiten - wo liegen die Stärken? Welche Bereiche sind verbesserungsbedürftig? 
• Verringerung der Schwachstellen - haben Sie bei der Codeüberprüfung einen messbaren Rückgang der Schwachstellen festgestellt? Erleben Sie, dass weniger Nacharbeit von AppSec zurückkommt? 
• Produktivität - wie lange dauert es, ein Problem zu beheben? Haben Sie eine Steigerung der Produktivität oder Geschwindigkeit bei der Reduzierung von Schwachstellen festgestellt? 

Wert schaffen durch Linksverschiebung

Sicherheitsverletzungen und Schwachstellen nehmen jedes Jahr rapide zu. Es ist wichtig, proaktiv einen ganzheitlichen Ansatz für die Sicherheit zu entwickeln - angefangen bei Ihrem Code. Dies wird dazu beitragen,: 

• Reduzieren Sie die Komplexität, indem Sie in Ihre wertvollsten Ressourcen - Ihre Mitarbeiter - investieren, anstatt Geld für Tools auszugeben, die nur einen Teil des Problems lösen. 
• Verbessern Sie die Effizienz und Gesamteffektivität, indem Sie Nacharbeiten oder Fehlerbehebungen einschränken, die normalerweise von AppSec nach der Bereitstellung des Codes identifiziert werden würden. 
• Risikominimierung und Einhaltung von Vorschriften, um kostspielige Bußgelder, den Verlust des Kundenvertrauens oder - noch schlimmer - die Kosten einer Datenschutzverletzung zu vermeiden 

Vermeiden Sie kurzfristiges Denken und schnelle Lösungen. Sie können nur zu technischen Schulden und weiteren Kosten führen. Planen Sie langfristig, indem Sie Ihre Entwickler weiterbilden und befähigen, Ihre beste Verteidigungslinie gegen Schwachstellen und Cyberkriminalität zu sein, und überzeugen Sie sich selbst von den Auswirkungen und Kosteneinsparungen.

‍

Als Reaktion auf große Sicherheitsverletzungen wie die SolarWinds-Kampagne, bei der über 18.000 Benutzer der beliebten Orion-Verwaltungssoftware, darunter viele führende Unternehmen und Regierungsbehörden, über einen Software-Update-Prozess infiziert wurden, werden zunehmend effektivere, von den Entwicklern gesteuerte Sicherheitsmaßnahmen gefordert. Unternehmen aller Größenordnungen beginnen, ihre "Software-Lieferkette" zu hinterfragen, und verlangen, dass die Entwickler ihrer Software über nachgewiesene Sicherheitskenntnisse und -bewusstsein verfügen.

Sogar die Regierung der Vereinigten Staaten fordert bessere Sicherheitspraktiken unter der Leitung von Entwicklern und eine Stärkung der Software-Lieferkette. Diese Konzepte sind ein wesentlicher Bestandteil einer von Präsident Biden erlassenen Durchführungsverordnung zur Verbesserung der Cybersicherheit der Nation.

Insgesamt ist die Entwicklergemeinschaft offen für die Idee, die Sicherheit durch Programme und Bewegungen wie DevSecOps an einen früheren Punkt im Softwareentwicklungszyklus (SDLC) zu verlagern, und in einer kürzlich durchgeführten Umfrage gaben die Entwickler an, dass sie die Sicherheitsschulungen, die sie zur Unterstützung dieser Bemühungen erhalten, sehr schätzen.

Software-Schwachstellen werden weiterhin ausgenutzt, und selbst Entwickler geben zu, dass sie manchmal Schwachstellen in ihrem Code hinterlassen.

Und warum?

Die Umfrage bestätigte, dass das Schreiben von Qualitätscode für die Entwicklergemeinschaft höchste Priorität hat. In der Umfrage wurden jedoch auch mehrere Gründe genannt, warum die Schulungen für Entwickler zwar als wertvoll angesehen werden, aber dennoch weit hinter dem Ziel zurückbleiben, zur Sicherheit der Software-Lieferkette beizutragen. 33 % gaben an, dass sie immer noch Schwachstellen in ihrem Code hinterlassen, weil sie auch nach der Schulung nicht wissen, wie sie bekannte Schwachstellen erkennen oder beheben können. Und überwältigende 92 % gaben an, dass sie zumindest ein gewisses Maß an zusätzlicher Schulung im Bereich Sicherheit benötigen, während 50 % sagten, dass sehr viel mehr Schulung erforderlich sei.

Es liegt auf der Hand, dass die Entwicklergemeinschaft jede Schulung, die sie erhält, zu schätzen weiß. Auf die Frage nach den Hindernissen für die Einführung sicherer Programmierpraktiken wurde jedoch Zeitmangel als wichtigster Grund genannt, gefolgt von einem Fünftel der Befragten, die das Fehlen eines einheitlichen Ansatzes als Schuldigen nannten. Schulungen wurden eher als einmaliges Ereignis angesehen, anstatt als Teil einer fortlaufenden strategischen Anstrengung, Sicherheit in die Arbeitsabläufe der Entwickler zu integrieren und täglich zu nutzen.

Daher sind die Entwickler nicht in der Lage, sichere Programmierkenntnisse als Teil eines zusammenhängenden und fortlaufenden Programms in ihren Unternehmen aufzubauen und zu erhalten. Wir können auch zu dem Schluss kommen, dass die derzeitige Schulung nicht besonders effektiv oder umfassend ist, wenn man bedenkt, dass viele Entwickler sagen, dass sie immer noch nicht in der Lage sind, allgemeine Schwachstellen zu erkennen und zu beheben.

92 % der Entwickler gaben an, dass sie zumindest ein gewisses Maß an zusätzlicher Schulung im Bereich Sicherheit benötigen, während 92 50 % sagten, dass sehr viel mehr Schulung erforderlich sei.

Was können Organisationen tun, um die Situation zu verbessern?

Interessant ist, dass die Entwickler mit überwältigender Mehrheit angaben, dass sie mehr Sicherheitsschulungen benötigen. Und obwohl sie die Schulungen, die sie erhalten haben, zu schätzen wussten, könnte dies eine Situation sein, in der sie einfach mit allem zufrieden sind, was sie bekommen können.

Als sie gebeten wurden, sich zu Möglichkeiten der Verbesserung ihrer Schulungen zu äußern, kamen ihre wahren Gedanken zu diesem Thema zum Vorschein. Im Allgemeinen waren die meisten Schulungen, die Entwickler erhielten, begrenzt, nicht interaktiv, nur bedingt auf ihre Aufgaben ausgerichtet und nicht Teil eines umfassenden oder fortlaufenden Plans zur Verbesserung der Sicherheitskompetenz und des Sicherheitsbewusstseins in ihrem Unternehmen. Darüber hinaus hatten die Entwickler spezifische Wünsche, um ihre Schulungen noch wertvoller zu machen. Einer der populärsten Vorschläge war, mehr Anwendungsfälle und praktische Beispiele von Situationen einzubeziehen, denen sie aus der Sicherheitsperspektive wahrscheinlich begegnen würden. Eine weitere beliebte Antwort zur Verbesserung der Effektivität war, dass die Ausbildung schließlich immer komplexere oder schwierigere Szenarien abdecken sollte - ein Schritt, der wahrscheinlich auch einen kohärenteren Ansatz und einen langfristigen Plan für kontinuierliches Lernen und die Entwicklung von Fähigkeiten erfordern würde.Die Entwickler betonten auch die Notwendigkeit von mehr Interaktivität und vielleicht sogar die Hinzufügung eines Wettbewerbselements. Im Allgemeinen werden Schulungen, bei denen sich die Benutzer lediglich ein Video ansehen oder einen Vortrag anhören und keine Gelegenheit zum praktischen, kontextbezogenen Lernen haben, nicht als effektiv oder besonders wertvoll angesehen, wenn es darum geht, eine komplexe und (vermeintlich) schwierige Fähigkeit wie die sichere Verschlüsselung zu vermitteln.

Die Entwickler betonten auch die Notwendigkeit von mehr Interaktivität und vielleicht sogar die Hinzufügung eines Wettbewerbselements.

Welche anderen Elemente sind bei der Einführung eines kohärenten Sicherheitsansatzes wichtig?

Schulungen sind natürlich von entscheidender Bedeutung, wenn es darum geht, das Sicherheitsbewusstsein und die Fähigkeiten der Entwicklergemeinschaft eines Unternehmens zu verbessern. Und es muss sichergestellt werden, dass das Lernen kontinuierlich, interaktiv, relevant und kontextbezogen erfolgt. Aber ein wirklich kohärenter Ansatz zur Verbesserung des Sicherheitsbewusstseins geht noch darüber hinaus.

Ein wirklich kohärenter Ansatz muss berücksichtigen, was erforderlich ist, um eine echte entwicklergeführte Sicherheitskultur zu fördern. Es kann erforderlich sein, den Schwerpunkt von den typischen Methoden der Verwaltung und des Aufbaus von Entwicklerteams abzuweichen. Beispielsweise wurden Entwickler traditionell danach beurteilt, wie schnell sie programmieren konnten. Ein kohärentes Sicherheitskonzept könnte jedoch bedeuten, dass man diese lange Zeit geltenden Maßstäbe und Werte ändern muss. Stattdessen könnte bei der Bewertung der Schwerpunkt weg von der Belohnung der reinen Geschwindigkeit verlagert werden und stattdessen diejenigen Entwickler belohnt werden, die qualitativ hochwertigen Code erstellen können, der auch sicher ist, d. h. frei von Sicherheitslücken.

Auch die Entwicklergemeinschaft selbst könnte in diese Bemühungen einbezogen werden. Anstatt den Entwicklern einfach nur Sicherheit vorzuschreiben, sollte man in Erwägung ziehen, aus der Gemeinschaft Sicherheitsbeauftragte zu ernennen oder zu schaffen, bei denen es sich um talentierte und sicherheitsbewusste Entwickler handelt, die sich entweder in der Ausbildung oder im Rahmen der neu ausgerichteten Metrikbewertungen auszeichnen. Sie sollten auch bereit sein, anderen Entwicklern zu helfen, ihre Fähigkeiten zu verbessern und so die Entwicklergemeinschaft von innen heraus zu stärken.

Ein wirklich kohärenter Ansatz muss berücksichtigen, was erforderlich ist, um eine echte entwicklergeführte Sicherheitskultur zu fördern. Es kann erforderlich sein, den Fokus von der typischen Art und Weise der Verwaltung und des Aufbaus von Entwicklerteams zu verändern.

Für weitere Lektüre

Whitepaper: Die Herausforderungen (und Möglichkeiten) zur Verbesserung der Software-Sicherheit

Whitepaper: Der präventive, entwicklergesteuerte Ansatz zur Softwaresicherheit

Whitepaper: Die DevSecOps-Superbowl: Wie Sicherheits-Champions Ihr Team bei der Bekämpfung von Sicherheitslücken in der Spätphase unterstützen können

Bericht: Der Stand der entwicklergesteuerten Sicherheit 2022