Welchen Stellenwert hat der sichere Code auf der Prioritätenliste des Entwicklungsteams?

Die steigende Zahl von Cyberangriffen und deren zunehmende Raffinesse haben weltweit Veränderungen in allen Branchen und Industriezweigen vorangetrieben. Alle versuchen, „nach links abzubiegen“ und Sicherheit so schnell wie möglich in alle ihre Prozesse und Verfahren zu integrieren. Die Situation hat sogar völlig neue Bewegungen zur Verbesserung der Cyberabwehr hervorgebracht, wie beispielsweise DevSecOps, bei dem Sicherheit Teil der Struktur der Entwicklung neuer Software und Anwendungen ist.

Viele dieser Änderungen erreichen die Entwickler-Community. Da sie es sind, die neue Programme und Anwendungen erstellen, schreiben und programmieren, scheint es eine gute Idee zu sein, sie zu bitten, sicherere Programmierpraktiken anzuwenden. Schließlich kann man nicht weiter nach links gehen, als wenn man zum ersten Mal neue Anwendungen erstellt.

Aber wie steht die Entwickler-Community zu dieser Verantwortung? Nachdem sie traditionell fast ausschließlich danach bewertet wurden, wie schnell sie programmieren konnten, was denken Entwickler nun über ihre neue Rolle als Verfechter der Sicherheit? Und glauben sie, dass die Unternehmensleitung diese Bemühungen mit hochwertigen Schulungen, besseren Vergütungen und der Anerkennung unterstützt, die sie für die Übernahme dieser neuen grundlegenden Verantwortung verdienen?

Zum zweiten Mal haben wir uns mit Evans Data Corp. zusammengetan, um eine umfassende Umfrage unter der weltweiten Entwicklergemeinschaft zu ihren Fähigkeiten, Wahrnehmungen und Verhaltensweisen in Bezug auf sichere Codierungspraktiken und deren wahrgenommene Auswirkungen und Relevanz für den Softwareentwicklungslebenszyklus (SDLC) durchzuführen. Die Ergebnisse waren in vielerlei Hinsicht ziemlich überraschend.

Der Stand der von Entwicklern initiierten Sicherheitsumfrage 2022

Evans Data Corp führte Secure Code Warrior Dezember 2021 die von Secure Code Warrior initiierte Umfrage zum Stand der Sicherheit durch. 1200 aktive Softwareentwickler aus dem asiatisch-pazifischen Raum, Europa und Nordamerika wurden zu Themen wie Software-Codierung, Sicherheitsbewusstsein, Schulungen, Support, Motivationen und anderen Fragen befragt. Die Umfrage wurde in englischer Sprache durchgeführt und bei Bedarf übersetzt, um ein genaues Gesamtbild zu erhalten. Zu den Befragten gehörten Entwickler, die neue Anwendungen erstellen, sowie Administratoren der Entwickler-Community.

Einige überraschende Erkenntnisse

Am Montag, dem 11. April, werden ein detailliertes technisches Dokument (Herausforderungen (und Chancen) zur Verbesserung der Softwaresicherheit) und ein Bericht (Der Stand der entwicklergetriebenen Sicherheit, 2022) veröffentlicht, der alle Aspekte der Umfrage vertieft. Das technische Dokument enthält unsere Analyse der Schlussfolgerungen und Bedenken der Community in Bezug auf sichere Codierungspraktiken sowie Empfehlungen für Unternehmen zur Schulung ihrer Entwicklerteams zur Verbesserung der Softwaresicherheit.

Es ist wahrscheinlich, dass einige dieser Herausforderungen bei allen, die mit Entwicklern in ihren Organisationen zusammenarbeiten, sowie bei den Mitgliedern der Entwickler-Community selbst Zweifel aufkommen lassen – bei uns war das jedenfalls der Fall.

Beispielsweise nannten nur 14 % der Befragten die Anwendungssicherheit als eine der derzeit wichtigsten Prioritäten. Stattdessen blieben traditionellere Kennzahlen wie Anwendungsleistung und Priorisierung von Funktionen und Merkmalen ihr übergeordnetes Ziel.

Die Sicherheit hatte eine so geringe Priorität, dass 67 % der befragten Entwickler zugaben, dass sie routinemäßig bekannte Schwachstellen und Exploits in ihrem Code belassen haben. Sie taten dies, weil die Fristen sehr knapp waren, weil sie Funktionalität gegenüber Sicherheit priorisierten oder einfach weil sie nicht über die erforderliche Ausbildung oder das notwendige Wissen verfügten, um Sicherheitsprobleme zu beheben.

In vielen Fällen gaben die Entwickler an, dass ihre Unternehmen nicht definiert hätten, was sicheren Code ausmacht, und keine angemessene Schulung oder Unterstützung angeboten hätten, um diese Situation zu ändern.

Trotz einiger negativer Ergebnisse wurde jedoch auch deutlich, dass sich die Einstellungen ändern. Die große Mehrheit der Entwickler (66 %) ging davon aus, dass Sicherheit in den nächsten 12 bis 18 Monaten zu einer höheren Priorität werden würde, während 82 % der Personalverantwortlichen, die an der Umfrage teilnahmen, ihr Interesse bekundeten, Entwickler einzustellen, die sich mit Sicherheit auskennen, anstatt solche, die keine Kenntnisse in diesem Bereich haben.

Die Umfrageergebnisse machen zwar deutlich, dass die Entwickler-Community und die Organisationen, mit denen sie zusammenarbeiten, mit einer Vielzahl von Veränderungen konfrontiert sind, doch glücklicherweise nehmen auch die Pläne für die nahe und ferne Zukunft rasch Gestalt an.

Beachten Sie das technische Dokument und den Bericht, in denen die vollständigen Ergebnisse der Umfrage sowie die Kommentare der Experten zu den Herausforderungen im Zusammenhang mit den aktuellen Praktiken der sicheren Codierung und den Möglichkeiten, die Unternehmen nutzen können, um die Sicherheitskompetenzen der Entwickler und letztlich die Softwaresicherheit zu verbessern, detailliert beschrieben werden.

Werfen Sie einen Blick auf den Secure Code Warrior Blog-Seiten, um mehr über Cybersicherheit und die zunehmend gefährliche Bedrohungslage zu erfahren und um zu erfahren, wie Sie innovative Technologien und Schulungen einsetzen können, um Ihr Unternehmen und Ihre Kunden besser zu schützen.

‍