Was raubt den Entwicklungsteams den Schlaf, wenn es um die Sicherheit der Programmierung geht?

Unsichere Codes kosten Unternehmen Millionen. Was hindert sie also daran, sichere Codierungspraktiken einzuführen?

In einer Welt, in der fast alles auf Software basiert, ist es unerlässlich, die Sicherheit des Codes zu gewährleisten. Der Ruf der Marke und ihre finanzielle Lebensfähigkeit hängen davon ab. Allerdings gibt es im Zusammenhang mit sicherer Programmierung zahlreiche Bedenken und Hindernisse, die einer vollständigen und effektiven Umsetzung im Wege stehen. Mehr denn je ist eine neue Arbeitsweise erforderlich. Daher Secure Code Warrior im Jahr 2020 mit Evans Data Corp. zusammengetan, um Primärforschung* über die Einstellung von Entwicklern und ihren Managern zu sicherer Codierung, sicheren Codierungspraktiken und Sicherheitsmaßnahmen durchzuführen (Whitepaper herunterladen). hier).

Derzeit haben Unternehmen Schwierigkeiten bei der Umsetzung sicherer Codierungspraktiken. Sowohl Entwickler als auch Manager sind besonders besorgt über das Management von Schwachstellen und die Verantwortung für den Code.

Es liegt auf der Hand, dass eine bessere Ausbildung und ein Programm zur Förderung sicherer Codierungspraktiken erforderlich sind. Diese Notwendigkeit wird deutlich, wenn wir Entwickler und ihre Vorgesetzten zu ihren Bedenken hinsichtlich der sicheren Codierung befragen. Unsere Untersuchung* hat gezeigt, dass beide Gruppen die gleichen grundlegenden Bedenken teilen. Aufgrund ihrer unterschiedlichen Rollen unterscheiden sie sich jedoch darin, welche dieser Bedenken am dringlichsten sind.

Das Hauptanliegen der Entwickler ist es, „Code einzubauen, der frühere Schwachstellen reproduziert”. Da Entwickler an der Qualität ihres Codes gemessen werden, ist dies kaum überraschend. Kein Entwickler möchte für unsicheren Code verantwortlich sein oder für Code, der überarbeitet werden muss und sein Team ausbremst.

Das zweitwichtigste Anliegen der Entwickler ist der Umgang mit Fehlern, die von Kollegen verursacht werden. Die Einhaltung von Fristen und die Verantwortung für den Code stehen ebenfalls ganz oben auf der Liste, ebenso wie die Tatsache, dass das Erlernen von sicherem Code eine Herausforderung darstellt, was einmal mehr die Notwendigkeit eines neuen Ansatzes für die Ausbildung in sicherem Code bestätigt.

Manager hingegen verfolgen eher einen Top-down-Ansatz.

Als Teamleiter und Teamchefs ist es ihre Hauptaufgabe, für den Code verantwortlich zu sein. Wenn ein Team schlechten Code produziert, liegt die Verantwortung dafür beim Manager.

Der Code, der die oben genannten Schwachstellen reproduziert, steht an zweiter Stelle. Die Tatsache, dass der Lernprozess schwierig ist, steht an dritter Stelle. Da die derzeitigen Ansätze zur Schulung in sicherem Programmieren nicht die gewünschten Ergebnisse liefern, erkennen die Verantwortlichen, dass ein neuer Ansatz erforderlich ist. ‍

Hindernisse für die Einführung sicherer Codierungspraktiken

Als wir die Verantwortlichen zu den Hindernissen für die Einführung sicherer Codierungspraktiken in ihren Organisationen befragten, wurden zwei Dinge deutlich: Kommunikation und Schulung.

45 % nannten die mangelnde Kommunikation zwischen den Beteiligten und der Geschäftsleitung als großes Hindernis. 42 % beklagten den Mangel an Kompetenzen im Bereich der sicheren Codierung bei neuen Mitarbeitern. Gleichzeitig gaben 40 % an, dass die Zeit und die Ressourcen für Schulungen unzureichend seien.

Es gibt Hindernisse in Bezug auf Prozesse und Personal, die einer erfolgreichen Einführung sicherer Codierungspraktiken in allen Organisationen im Wege stehen.

Aber trotz dieser unlösbaren Probleme können Sie immer noch Fortschritte erzielen. Es ist einfacher, den Mangel an sicheren Programmierkenntnissen bei neuen Mitarbeitern und die unzureichende Ausbildung und Ressourcen zu beheben.

Entwickler stehen an vorderster Front, wenn es darum geht, Sicherheitslücken zu schließen. Aber erhalten sie die Unterstützung, die Tools und die Schulungen, die sie benötigen, um ihren Teil des Sicherheitsvertrags zu erfüllen?

Angesichts ihrer Bedenken lautet die kurze Antwort „nein“.

Eigentlich sollte eine gute Schulung nicht wie eine Konferenz aussehen.

Als Vorreiter für Veränderungen im Bereich der sicheren Programmierung Secure Code Warrior einen menschenorientierten Ansatz, der Entwickler aktiv dazu anregt, ihre Kenntnisse im Bereich der sicheren Programmierung zu erweitern und auszubauen. Unsere bewährte Lernplattform bietet Entwicklungs- und Sicherheitsteams kontextbezogene und hochrelevante Lerninhalte im Rahmen ihres bevorzugten Arbeitsablaufs. Dadurch können sie Schwachstellen nicht nur erkennen, sondern auch verhindern, dass sie auftreten.

Diese Art der praktischen Schulung ist eine Gelegenheit zur Verbesserung der Kompetenzen und eine berufliche Weiterentwicklung, die für Entwickler, die ernsthaft Schwachstellen beseitigen und mit dem Rest des Teams zusammenarbeiten möchten, um qualitativ hochwertigeren Code zu erstellen, nur Vorteile mit sich bringt.

Wenn Sie mehr erfahren und sehen möchten, wie sich dies auf die Fähigkeit Ihrer Teams auswirken könnte, „früh loszulegen“ und sicheren Code schneller zu versenden, ohne die Sicherheit zu beeinträchtigen, buchen Sie jetzt eine Demo.

Von der Reaktion zur Prävention: Das neue Gesicht der Anwendungssicherheit. Secure Code Warrior Evans Data Corp. 2020