Verlagerung des Schwerpunkts von reaktiv auf proaktiv, mit menschengeführter sicherer Codierung

Die gleichen 10 Software-Sicherheitslücken haben in den letzten über 20 Jahren mehr Sicherheitslücken verursacht als alle anderen. Dennoch entscheiden sich viele Unternehmen immer noch für Abhilfemaßnahmen nach Sicherheitslücken und Ereignissen und wursteln dabei die menschlichen und geschäftlichen Auswirkungen des Ganzen durch. Doch jetzt weist eine neue Forschungsstudie auf eine neue, von Menschen geleitete Richtung hin.

‍Im Folgenden werden Erkenntnisse aus einer von Secure Code Warrior mit Evans Data Corp durchgeführten Studie mit dem Titel „Shifting from reaction to prevention: The changing face of application security“ (2021) erörtert, in der die Einstellung von Entwicklern zu sicherer Codierung, sicheren Codepraktiken und Sicherheitsabläufen untersucht wurde. Laden Sie das Whitepaper herunter hier.

‍‍In der Studie, die bald veröffentlicht wird, wurden Entwickler und Entwicklungsmanager zu den Aktivitäten befragt, die sie mit sicherer Codierung verbinden. Die drei wichtigsten Antworten waren:

• Verwendung von Scan-Tools für bereitgestellte Anwendungen.
• Manuelles Überprüfen des Codes auf Sicherheitslücken.
• Die aktive und kontinuierliche Praxis, Software zu schreiben, die vor Sicherheitslücken geschützt ist.
  ‍

Also, was sagt uns das? Zwei der drei häufigsten Antworten konzentrieren sich immer noch auf reaktive Ansätze. Die erste hängt von den Tools (Scannern) ab und die zweite davon, dass der Entwickler (d. h. der Mensch) manuelle Überprüfungen durchführt — in beiden Fällen nach der Code ist geschrieben. Sicherheitslücken, die mit diesen Methoden entdeckt wurden, müssen zur Überarbeitung an das Entwicklungsteam zurückgeschickt werden, was sich auf die Projektzeitpläne und Projektkosten auswirkt.

Gleichzeitig stützen sich zwei der drei nominierten Aktivitäten auf die menschliche Komponente — ein Hinweis darauf, dass Sicherheit zunehmend als menschliches Problem wahrgenommen wird. Von allen nominierten Aktivitäten ist jedoch Nr. 3, in der der Faktor Mensch identifiziert wird, am aussagekräftigsten beim Schreiben von Software, die in erster Linie vor Sicherheitslücken geschützt ist. Dies unterstreicht eine Verlagerung nach links — einen proaktiven und präventiven Ansatz, bei dem Sicherheit von Anfang des Softwareentwicklungszyklus an in die Software integriert wird.

Reaktiv kann TEUER bedeuten

Laut einer IBM-Studie* ist es dreißigmal teurer, Sicherheitslücken im Post-Release-Code zu beheben, als wenn sie zu Beginn gefunden und behoben würden. Das ist ein starker Anreiz für einen neuen proaktiven und menschlicheren Ansatz zur Verteidigung der Softwaresicherheit, der es Entwicklern ermöglicht, von Anfang an sicherer zu programmieren.

Das könnte man einen nennen von Menschen geführte Verteidigung. Aber um Entwickler dazu zu bringen, sich um Sicherheit zu kümmern, muss sie Teil ihrer täglichen Denk- und Programmierweise werden. Dies ist ein Ruf nach neuen Trainingsansätzen, die für die tägliche Arbeit der Entwickler von großer Bedeutung sind und sie dazu anregen, zu lernen — von den aktuellen Schulungsmodellen kann man nichts behaupten.

Um eine proaktive Sicherheitskultur zu schaffen, sind neue Schulungen erforderlich, die:

• macht sicheres Programmieren zu einer positiven und ansprechenden Erfahrung für Entwickler, da sie ihre Fähigkeiten im Bereich Softwaresicherheit erweitern
• ermutigt Entwickler, ihre täglichen Programmieraufgaben aus Sicherheitsgründen zu betrachten
• macht sicheres Programmieren zu einem festen Bestandteil ihres täglichen Workflows
  

Wenn diese Threads zusammenkommen, wird das Auftreten von Sicherheitslücken von vornherein verhindert, sodass Teams versenden können Qualitätscode schneller, mit Zuversicht. Die gute Nachricht ist, dass es bereits eine Lernplattform gibt, die im Softwareentwicklungsprozess „links“ beginnt — eine Plattform, die Entwicklern bereits von Anfang an die Fähigkeiten und Tools an die Hand gibt, um Qualitätscode zu erstellen.
‍‍

‍

*IBM Software Group; Minimierung von Codefehlern zur Verbesserung der Softwarequalität und Senkung der Entwicklungskosten
https://docplayer.net/11413245-Minimizing-code-defects-to-improve-software-quality-and-lower-development-costs.html