Warum Gerüstlernen sicherheitsbewusste Entwickler hervorbringt

Nach nur wenigen Minuten, in denen Sie in technischen Nachrichten stöbern, wird schnell klar, wie gefährlich die Bedrohungslandschaft wird. Jeder Tag scheint einen Bericht über einen schwerwiegenden Verstoß, eine neue Sicherheitslücke oder die ernste Gefahr einer aktiven Ausnutzung durch Cyberangreifer und Kriminelle mit sich zu bringen. Und fast alle Branchenkennzahlen und Berichte zeigen eine zunehmend gefährliche Anzahl von Cyberbedrohungen, wobei die meisten Experten davon ausgehen, dass sich dieser Trend in den kommenden Jahren fortsetzen wird.

Gegen diese neuen Bedrohungen ist eine erschöpfte und unterbesetzte Frontlinie von IT-Sicherheitsmitarbeitern aufgestellt. Obwohl sie hohe Gehälter erhalten und für jedes Unternehmen oder jede Organisation fast unverzichtbar sind, gibt es nie genug Sicherheitspersonal, das für alle da ist. In einer aktuellen Umfrage In einer vom Center for Strategic and International Studies durchgeführten Studie gaben 82 Prozent der IT-Entscheidungsträger an, dass ihre Unternehmen unter einem Mangel an Cybersicherheitskompetenzen litten, und 71 Prozent gaben an, dass der Mangel zu direkten und messbaren Schäden für ihre Unternehmen geführt hat. Allein in den Vereinigten Staaten stellte der Bericht fest, dass es in einem Bereich, in dem nur etwa 940.000 Mitarbeiter beschäftigt sind, mehr als 520.000 unbesetzte Stellen im Bereich Cybersicherheit gab.

Weltweit gibt es derzeit ca. 3,5 Millionen Arbeitsplätze im Bereich Cybersicherheit, die nicht besetzt sind. Das bedeutet, dass selbst Unternehmen, die bereit sind, riesige Geldbeträge für die Einstellung und Bindung hochrangiger Fachkräfte zu zahlen, Schwierigkeiten haben, geeignete Kandidaten zu finden. Im Durchschnitt dauert es etwa 21 % länger, eine Stelle im Bereich Cybersicherheit zu besetzen als jede andere Stelle, wenn sie überhaupt besetzt werden kann.

Die Aktivierung durch Entwickler wurde zu lange ignoriert

Wir haben in vielen früheren Blogs darauf hingewiesen, dass Entwickler hinzugezogen werden können, um einige dieser kritischen Lücken in der Cybersicherheitsabwehr zu schließen. Es ist nur so, dass Entwickler traditionell nie im Bereich Cybersicherheit geschult wurden. Ihre Arbeitsleistung hing fast ausschließlich von der Geschwindigkeit und der Zeit bis zur Bereitstellung ab. Sicherheit war hingegen die Aufgabe der AppSec-Teams.

Leider geht es nicht nur darum, den Gang zu wechseln und Entwickler zu bitten, plötzlich damit zu beginnen, ihre Anwendungen und Programme sicherer zu machen. Auch wenn sie bereit sind, diese Änderungen vorzunehmen, und Umfragen haben ergeben, dass viele von ihnen das tun, müssen sie dennoch geschult werden, um dies zu erreichen. Sie brauchen auch Ermutigung und Unterstützung durch das obere Management, aber sinnvolles Lernen ist der erste und oft der größte Stolperstein.

Es gibt einen Grund dafür, dass Millionen hochbezahlter, hochsicherer IT-Sicherheitspositionen weltweit nach wie vor unbesetzt sind. Wenn es einfache Arbeit wäre, würde jeder in dieses Feld springen. Es ist schwierig zu lernen, wie man Bedrohungen bekämpft und Sicherheitslücken im Code beseitigt, und die Bedrohungslandschaft ändert sich ständig. Der Versuch, selbst technisch versierten Entwicklern Cybersicherheit beizubringen, kann nicht effizient mit statischen Schulungen durchgeführt werden, die schnell abgeschlossen sind, nicht einprägsam sind und nur minimale positive Auswirkungen haben werden, insbesondere wenn diese Anforderungen zu ihren ohnehin überlasteten Terminplänen hinzugefügt werden.

Baue ein Gerüst, um höher gelegene Gebiete zu erreichen.

Cybersicherheitsfähigkeiten mit traditionellen Methoden zu vermitteln, ist wie der Versuch, einen Wolkenkratzer zu bauen, ohne jemals den Fuß vom Boden zu nehmen. Das ist nicht möglich, weil die Studierenden nicht über die notwendigen Grundlagen verfügen, um die vielen übergeordneten Konzepte eines komplexen Fachgebiets wie Cybersicherheit zu beherrschen. Um dies zu kompensieren, wurde das Konzept von Lernen auf einem Gerüst kann angestellt werden.

Wenn bei der Weiterbildung ein Gerüst oder ein „mehrschichtiger“ Ansatz verwendet wird, werden größere Themen in der Regel in einzelne Lernerfahrungen oder Konzepte unterteilt. Auf diese Weise wird sichergestellt, dass die Studierenden in der Lage sind, jedes Konzept mithilfe geeigneter Übungen und Anweisungen zu beherrschen, und bietet die gesamte Unterstützung, die für jede Komponente erforderlich ist. Neuere, fortgeschrittenere Konzepte werden zusätzlich zu den bereits erlernten Konzepten geschichtet, genau wie ein physisches Gerüst gebaut wird, wenn ein Gebäude höher wird. Auf diese Weise sind die Schüler in der Lage, ein höheres Maß an Verständnis und Fertigkeiten zu erreichen, als sie es ohne Unterstützung schaffen könnten.

Und genau wie bei physischen Gerüsten wird diese Stütze schrittweise entfernt, wenn sie nicht mehr benötigt wird, sodass die Schüler mehr Verantwortung tragen, wenn sie immer kompetenter werden.

Gerüstlernen wird in erster Linie verwendet, um die negativen Emotionen und Selbstwahrnehmungen zu reduzieren, die Schüler erleben können, wenn sie frustriert, eingeschüchtert oder entmutigt werden, wenn sie eine schwierige Aufgabe ohne Hilfe lösen. Es kann aber auch von großem Wert sein, wenn es darum geht, ein extrem schwieriges Konzept wie moderne Cybersicherheit in Angriff zu nehmen. Weit davon entfernt, Entwickler wie Kinder zu behandeln, ist es ungemein hilfreich, wenn ihre Erfahrung mit dem Sicherheitsteam den gleichen Effekt haben kann, nämlich frustrierend und entmutigend, vor allem, wenn ihre harte Arbeit mit Bugfixes und einer erneuten Portion Kritik zurückgedrängt wird.

Wenn Entwicklern Tools an die Hand gegeben werden, mit denen sie die Grundlagen der sicheren Codierung verstehen können (normalerweise beginnend mit OWASP Top 10), können sie selbst sehen, wie Sicherheitslücken entstehen, warum sie gefährlich sind und wie sie behoben werden können, bevor sie in die Produktion gelangen. Von dort aus können sie ihr Wissen erweitern, indem sie komplexere Sicherheitslücken angehen und praktische Erfahrung in der Anwendung guter Fixes sammeln. Die Ebenen wachsen Stück für Stück, und wenn es dann um fortgeschrittene Sicherheitsprobleme wie unsichere Softwarearchitektur oder die Erstellung von Bedrohungsmodellen geht, scheinen diese Sprünge nicht so einschüchternd zu sein und können präzise angegangen werden.

Als Branche sollten wir niemals erwarten, dass Entwickler zu Sicherheitsexperten werden, aber Unternehmen können neue Standards für die Unterstützung von Entwicklern einführen, um qualitativ hochwertigere Software zu entwickeln. Als zusätzlicher Bonus für Unternehmen mit technischen Fähigkeiten, die sich weiterbilden, wird sich jeder Schritt auf diesem Weg oder jede Stufe des Gerüsts im Laufe des Lernens direkt in einer besseren Cybersicherheit niederschlagen. Sie müssen nicht bis zum Ende eines Kurses warten, um Ergebnisse zu sehen.

Es ist schwierig, etwas über Cybersicherheit zu lernen, und ohne die richtige Hilfe und Anleitung ist es fast unmöglich, sie zu beherrschen. Die Einführung eines Sicherheitsprogramms mit Lerngerüsten kann dabei helfen, das Beste daraus herauszuholen, wobei die Vorteile fast sofort offensichtlich werden. Verbesserungen beginnen fast sofort und werden im Laufe der Zeit immer besser.

Beginnen Sie mit uns, sicherheitsbewusste Entwickler aufzubauen. Schauen Sie sich an:

Lehrveranstaltungen
Missionen
Schulung für Entwickler

... und mehr!