セキュアコーディングの将来において、人的要素はどのような役割を果たすのでしょうか？
Da die Zahl der Cyber-Bedrohungen weiter zunimmt, müssen Unternehmen täglich Kompromisse zwischen Sicherheit, Praktikabilität und Geschwindigkeit eingehen - und setzen sich dabei Risiken aus. Deshalb hat Secure Code Warrior in Zusammenarbeit mit Evans Data Corp. eine Studie durchgeführt, die die Einstellung von Entwicklern zu sicherem Coding, sicheren Code-Praktiken und Sicherheitsabläufen untersucht hat (Download des Whitepapers hier).
Was dieser Bericht zeigt, ist, dass zwar immer noch reaktives Denken alter Schule" vorherrscht, aber das Bewusstsein für die Notwendigkeit proaktiverer Lösungen wächst, die die Entwickler selbst zur ersten Verteidigungslinie machen.
Jede Untersuchung der Einführung von sicheren Codierungspraktiken muss mit einem Verständnis der Menschen beginnen, die an der Implementierung beteiligt sind, ihrer Wahrnehmung davon und ihrer Fähigkeit, sie zu implementieren. Dies führt dann zum wichtigsten Teil des Puzzles - wie können sie befähigt werden, von Anfang an sicherer zu programmieren und qualitativ hochwertigen Code schneller und mit Zuversicht zu liefern?
Sicheres Kodieren - wo stehen wir heute, und was muss sich ändern? Herunterladen die Infografik 'The Human Element' jetzt.
Aktuelle Perspektiven - reaktiv vs. proaktiv
Als Entwickler und Entwicklungsleiter nach den Aktivitäten gefragt wurden, die sie mit sicherer Programmierung verbinden, waren die drei wichtigsten Antworten:
- Verwendung von Scan-Tools für installierte Anwendungen.
- Manuelles Überprüfen von Code auf Schwachstellen.
- Die aktive und fortlaufende Praxis, Software zu schreiben, die vor Sicherheitslücken geschützt ist.
Wie wir sehen können, konzentrierten sich zwei der drei Top-Antworten immer noch auf reaktive Ansätze - die erste abhängig von Tooling (Scannern) und die zweite auf den Entwickler (d.h. Menschen), der manuelle Prüfungen durchführt.
Gleichzeitig sind zwei der drei nominierten Aktivitäten auf das menschliche Element angewiesen. Dies deutet auf eine wachsende Wahrnehmung von Sicherheit als menschliches Problem hin. Aber von allen nominierten Aktivitäten ist die aufschlussreichste die Nr. 3, die den menschlichen Faktor beim Schreiben von Software identifiziert , die von vornherein vor Schwachstellen geschützt ist. Dies unterstreicht eine Verschiebung nach links - ein proaktiver und präventiver Ansatz, der Sicherheit von Beginn des SDLC an in die Software einbaut.
Wo passt die Sicherheit in den SDLC?
Wenn Entwickler und Entwicklungsmanager gefragt werden, wo sie die Integration von Secure Code-Praktiken in den SDLC sehen, gehen die Meinungen auseinander. 55 % der Manager glauben, dass sicheres Coding in den gesamten Entwicklungsprozess integriert ist, verglichen mit nur 43 % der Entwickler. Der Unterschied könnte auf die unterschiedlichen Rollen dieser beiden Gruppen innerhalb des SDLC zurückzuführen sein. Das Management ist in der Regel weniger in die eigentliche Arbeit der Kodierung involviert und hat eher eine übergeordnete Sichtweise, während sich die Entwickler eher mit den Details beschäftigen.
Aus der Sicht der allgemeinen Sicherheit und Codequalität ist es jedoch alarmierend, dass nur 13 % der Entwickler und 10 % der Manager sagen, dass sichere Code-Praktiken in die Designphasen integriert werden sollten - gleich zu Beginn des SDLC. Dies ist eine riesige und nicht realisierte Chance. Laut einer IBM-Studie ist es dreißigmal teurer, Schwachstellen in nachträglich veröffentlichtem Code zu beheben, als wenn sie von Anfang an gefunden und behoben werden.1 Das ist ein starker Anreiz für eine neue proaktive und menschengeführte Verteidigung der Softwaresicherheit, die Entwickler dazu befähigt, von Anfang an sicherer zu programmieren. Softwaresicherheit kann nicht allein durch den Einsatz von Werkzeugen gelöst werden - sie muss das menschliche Element mit einbeziehen.
Ist das menschliche Element vorbereitet?
97 % der befragten Entwickler sind der Meinung, dass sie ausreichend in sicherem Coding geschult wurden, und 95 % stimmten zu, dass die Schulung in sicherem Coding für ihre Karriere wertvoll gewesen sei. Doch bevor wir diese Behauptungen für bare Münze nehmen, müssen wir uns fragen: Warum sind Code-Schwachstellen immer noch so weit verbreitet? Sind die Behauptungen von Entwicklern über sicheres Code-Know-how nur ein Fall von menschlichem Ego? Die Beweise deuten sicherlich in diese Richtung. Ein bescheideneres Eingeständnis ist, dass mehr als 88 % der befragten Entwickler zugeben, dass sicheres Coding schwer zu erlernen ist, und 91 % der Entwicklungsleiter räumen ein, dass sichere Coding-Praktiken schwierig zu implementieren sind. Auf die Frage nach den größten persönlichen Bedenken im Zusammenhang mit der Implementierung von sicherem Code geben 28 % der Entwickler an, dass sie den Lernprozess als schwierig empfinden, während 24 % den Lernprozess als langweilig empfinden. Dies deutet darauf hin, dass die Entwicklerschulung verbessert werden muss.
Was braucht das menschliche Element?
Um den Faktor "Herausforderung" zu überwinden, erfordert ein lohnenswertes Sicherheitstraining einen "Gerüst"-Prozess, der den Entwickler dabei unterstützt, Schritt für Schritt sichere Codierungsfähigkeiten aufzubauen. Für maximale Relevanz und unmittelbare Anwendbarkeit sollte dieses Training in der spezifischen Sprache:Framework stattfinden, die sie jeden Tag benutzen.
Um den "Langeweile"-Faktor zu überwinden, müssen Schulungen zu sicherem Code auf praktische Art und Weise vermittelt werden - dies ist für Entwickler nachweislich weitaus fesselnder als veraltete Klassenzimmer- oder "Schau dir dieses Video an"-Modelle. Dazu sollten Live-Simulationen gehören, die es den Entwicklern ermöglichen, manchmal riskante Sicherheitsherausforderungen in einer sicheren Umgebung zu bewältigen. Das Ziel sollte sein, Entwicklern beizubringen, wie sie Schwachstellen im Code finden und beheben können, während sie arbeiten, und sicheres Coding zu einem Teil ihres täglichen Arbeitsablaufs zu machen. Ein weiterer wichtiger Faktor ist das Linting und Coaching innerhalb der IDE, das den Entwicklern hilft, während des Programmierens ständig dazuzulernen und Schwachstellen zu vermeiden und zu beseitigen.
Wenn Sie herausfinden möchten, wie Sie Ihren Entwicklern dieses neue Niveau an entwicklerzentrierten Tools und Schulungen bieten können, eine Demo buchen jetzt.
Sie können auch Ihr Exemplar herunterladen das Whitepaper Shifting from reaction to prevention: Das sich verändernde Gesicht der Anwendungssicherheit.
Secure Code Warrior macht sicheres Codieren zu einer positiven und attraktiven Erfahrung, während Entwickler ihre Fähigkeiten verbessern. Es führt jeden einzelnen Programmierer auf den von ihm gewünschten Lernpfad, damit Entwickler mit Sicherheitskenntnissen in unserer vernetzten Welt täglich zu Superhelden werden können.
Secure Code Warrior schützt Ihren Code während des gesamten Softwareentwicklungszyklus und hilft Ihnen dabei, eine Kultur zu schaffen, in der Cybersicherheit oberste Priorität hat. Ganz gleich, ob Sie Anwendungs-Sicherheitsmanager, Entwickler, CISO oder Sicherheitsbeauftragter sind – wir helfen Ihnen dabei, die mit unsicherem Code verbundenen Risiken zu minimieren.
デモを予約
Secure Code Warrior macht sicheres Codieren zu einer positiven und attraktiven Erfahrung, während Entwickler ihre Fähigkeiten verbessern. Es führt jeden einzelnen Programmierer auf den von ihm gewünschten Lernpfad, damit Entwickler mit Sicherheitskenntnissen in unserer vernetzten Welt täglich zu Superhelden werden können.
Dieser Artikel wurde vom Branchenexperten-Team von Secure Code Warrior verfasst. Er zielt darauf ab, Entwicklern das Wissen und die Fähigkeiten zu vermitteln, die sie benötigen, um von Anfang an sichere Software zu entwickeln. Dabei werden fundierte Fachkenntnisse über die Praxis des sicheren Codierens, Branchentrends und Einblicke aus der Praxis genutzt.
.avif)
.avif)
Da die Zahl der Cyber-Bedrohungen weiter zunimmt, müssen Unternehmen täglich Kompromisse zwischen Sicherheit, Praktikabilität und Geschwindigkeit eingehen - und setzen sich dabei Risiken aus. Deshalb hat Secure Code Warrior in Zusammenarbeit mit Evans Data Corp. eine Studie durchgeführt, die die Einstellung von Entwicklern zu sicherem Coding, sicheren Code-Praktiken und Sicherheitsabläufen untersucht hat (Download des Whitepapers hier).
Was dieser Bericht zeigt, ist, dass zwar immer noch reaktives Denken alter Schule" vorherrscht, aber das Bewusstsein für die Notwendigkeit proaktiverer Lösungen wächst, die die Entwickler selbst zur ersten Verteidigungslinie machen.
Jede Untersuchung der Einführung von sicheren Codierungspraktiken muss mit einem Verständnis der Menschen beginnen, die an der Implementierung beteiligt sind, ihrer Wahrnehmung davon und ihrer Fähigkeit, sie zu implementieren. Dies führt dann zum wichtigsten Teil des Puzzles - wie können sie befähigt werden, von Anfang an sicherer zu programmieren und qualitativ hochwertigen Code schneller und mit Zuversicht zu liefern?
Sicheres Kodieren - wo stehen wir heute, und was muss sich ändern? Herunterladen die Infografik 'The Human Element' jetzt.
Aktuelle Perspektiven - reaktiv vs. proaktiv
Als Entwickler und Entwicklungsleiter nach den Aktivitäten gefragt wurden, die sie mit sicherer Programmierung verbinden, waren die drei wichtigsten Antworten:
- Verwendung von Scan-Tools für installierte Anwendungen.
- Manuelles Überprüfen von Code auf Schwachstellen.
- Die aktive und fortlaufende Praxis, Software zu schreiben, die vor Sicherheitslücken geschützt ist.
Wie wir sehen können, konzentrierten sich zwei der drei Top-Antworten immer noch auf reaktive Ansätze - die erste abhängig von Tooling (Scannern) und die zweite auf den Entwickler (d.h. Menschen), der manuelle Prüfungen durchführt.
Gleichzeitig sind zwei der drei nominierten Aktivitäten auf das menschliche Element angewiesen. Dies deutet auf eine wachsende Wahrnehmung von Sicherheit als menschliches Problem hin. Aber von allen nominierten Aktivitäten ist die aufschlussreichste die Nr. 3, die den menschlichen Faktor beim Schreiben von Software identifiziert , die von vornherein vor Schwachstellen geschützt ist. Dies unterstreicht eine Verschiebung nach links - ein proaktiver und präventiver Ansatz, der Sicherheit von Beginn des SDLC an in die Software einbaut.
Wo passt die Sicherheit in den SDLC?
Wenn Entwickler und Entwicklungsmanager gefragt werden, wo sie die Integration von Secure Code-Praktiken in den SDLC sehen, gehen die Meinungen auseinander. 55 % der Manager glauben, dass sicheres Coding in den gesamten Entwicklungsprozess integriert ist, verglichen mit nur 43 % der Entwickler. Der Unterschied könnte auf die unterschiedlichen Rollen dieser beiden Gruppen innerhalb des SDLC zurückzuführen sein. Das Management ist in der Regel weniger in die eigentliche Arbeit der Kodierung involviert und hat eher eine übergeordnete Sichtweise, während sich die Entwickler eher mit den Details beschäftigen.
Aus der Sicht der allgemeinen Sicherheit und Codequalität ist es jedoch alarmierend, dass nur 13 % der Entwickler und 10 % der Manager sagen, dass sichere Code-Praktiken in die Designphasen integriert werden sollten - gleich zu Beginn des SDLC. Dies ist eine riesige und nicht realisierte Chance. Laut einer IBM-Studie ist es dreißigmal teurer, Schwachstellen in nachträglich veröffentlichtem Code zu beheben, als wenn sie von Anfang an gefunden und behoben werden.1 Das ist ein starker Anreiz für eine neue proaktive und menschengeführte Verteidigung der Softwaresicherheit, die Entwickler dazu befähigt, von Anfang an sicherer zu programmieren. Softwaresicherheit kann nicht allein durch den Einsatz von Werkzeugen gelöst werden - sie muss das menschliche Element mit einbeziehen.
Ist das menschliche Element vorbereitet?
97 % der befragten Entwickler sind der Meinung, dass sie ausreichend in sicherem Coding geschult wurden, und 95 % stimmten zu, dass die Schulung in sicherem Coding für ihre Karriere wertvoll gewesen sei. Doch bevor wir diese Behauptungen für bare Münze nehmen, müssen wir uns fragen: Warum sind Code-Schwachstellen immer noch so weit verbreitet? Sind die Behauptungen von Entwicklern über sicheres Code-Know-how nur ein Fall von menschlichem Ego? Die Beweise deuten sicherlich in diese Richtung. Ein bescheideneres Eingeständnis ist, dass mehr als 88 % der befragten Entwickler zugeben, dass sicheres Coding schwer zu erlernen ist, und 91 % der Entwicklungsleiter räumen ein, dass sichere Coding-Praktiken schwierig zu implementieren sind. Auf die Frage nach den größten persönlichen Bedenken im Zusammenhang mit der Implementierung von sicherem Code geben 28 % der Entwickler an, dass sie den Lernprozess als schwierig empfinden, während 24 % den Lernprozess als langweilig empfinden. Dies deutet darauf hin, dass die Entwicklerschulung verbessert werden muss.
Was braucht das menschliche Element?
Um den Faktor "Herausforderung" zu überwinden, erfordert ein lohnenswertes Sicherheitstraining einen "Gerüst"-Prozess, der den Entwickler dabei unterstützt, Schritt für Schritt sichere Codierungsfähigkeiten aufzubauen. Für maximale Relevanz und unmittelbare Anwendbarkeit sollte dieses Training in der spezifischen Sprache:Framework stattfinden, die sie jeden Tag benutzen.
Um den "Langeweile"-Faktor zu überwinden, müssen Schulungen zu sicherem Code auf praktische Art und Weise vermittelt werden - dies ist für Entwickler nachweislich weitaus fesselnder als veraltete Klassenzimmer- oder "Schau dir dieses Video an"-Modelle. Dazu sollten Live-Simulationen gehören, die es den Entwicklern ermöglichen, manchmal riskante Sicherheitsherausforderungen in einer sicheren Umgebung zu bewältigen. Das Ziel sollte sein, Entwicklern beizubringen, wie sie Schwachstellen im Code finden und beheben können, während sie arbeiten, und sicheres Coding zu einem Teil ihres täglichen Arbeitsablaufs zu machen. Ein weiterer wichtiger Faktor ist das Linting und Coaching innerhalb der IDE, das den Entwicklern hilft, während des Programmierens ständig dazuzulernen und Schwachstellen zu vermeiden und zu beseitigen.
Wenn Sie herausfinden möchten, wie Sie Ihren Entwicklern dieses neue Niveau an entwicklerzentrierten Tools und Schulungen bieten können, eine Demo buchen jetzt.
Sie können auch Ihr Exemplar herunterladen das Whitepaper Shifting from reaction to prevention: Das sich verändernde Gesicht der Anwendungssicherheit.
Da die Zahl der Cyber-Bedrohungen weiter zunimmt, müssen Unternehmen täglich Kompromisse zwischen Sicherheit, Praktikabilität und Geschwindigkeit eingehen - und setzen sich dabei Risiken aus. Deshalb hat Secure Code Warrior in Zusammenarbeit mit Evans Data Corp. eine Studie durchgeführt, die die Einstellung von Entwicklern zu sicherem Coding, sicheren Code-Praktiken und Sicherheitsabläufen untersucht hat (Download des Whitepapers hier).
Was dieser Bericht zeigt, ist, dass zwar immer noch reaktives Denken alter Schule" vorherrscht, aber das Bewusstsein für die Notwendigkeit proaktiverer Lösungen wächst, die die Entwickler selbst zur ersten Verteidigungslinie machen.
Jede Untersuchung der Einführung von sicheren Codierungspraktiken muss mit einem Verständnis der Menschen beginnen, die an der Implementierung beteiligt sind, ihrer Wahrnehmung davon und ihrer Fähigkeit, sie zu implementieren. Dies führt dann zum wichtigsten Teil des Puzzles - wie können sie befähigt werden, von Anfang an sicherer zu programmieren und qualitativ hochwertigen Code schneller und mit Zuversicht zu liefern?
Sicheres Kodieren - wo stehen wir heute, und was muss sich ändern? Herunterladen die Infografik 'The Human Element' jetzt.
Aktuelle Perspektiven - reaktiv vs. proaktiv
Als Entwickler und Entwicklungsleiter nach den Aktivitäten gefragt wurden, die sie mit sicherer Programmierung verbinden, waren die drei wichtigsten Antworten:
- Verwendung von Scan-Tools für installierte Anwendungen.
- Manuelles Überprüfen von Code auf Schwachstellen.
- Die aktive und fortlaufende Praxis, Software zu schreiben, die vor Sicherheitslücken geschützt ist.
Wie wir sehen können, konzentrierten sich zwei der drei Top-Antworten immer noch auf reaktive Ansätze - die erste abhängig von Tooling (Scannern) und die zweite auf den Entwickler (d.h. Menschen), der manuelle Prüfungen durchführt.
Gleichzeitig sind zwei der drei nominierten Aktivitäten auf das menschliche Element angewiesen. Dies deutet auf eine wachsende Wahrnehmung von Sicherheit als menschliches Problem hin. Aber von allen nominierten Aktivitäten ist die aufschlussreichste die Nr. 3, die den menschlichen Faktor beim Schreiben von Software identifiziert , die von vornherein vor Schwachstellen geschützt ist. Dies unterstreicht eine Verschiebung nach links - ein proaktiver und präventiver Ansatz, der Sicherheit von Beginn des SDLC an in die Software einbaut.
Wo passt die Sicherheit in den SDLC?
Wenn Entwickler und Entwicklungsmanager gefragt werden, wo sie die Integration von Secure Code-Praktiken in den SDLC sehen, gehen die Meinungen auseinander. 55 % der Manager glauben, dass sicheres Coding in den gesamten Entwicklungsprozess integriert ist, verglichen mit nur 43 % der Entwickler. Der Unterschied könnte auf die unterschiedlichen Rollen dieser beiden Gruppen innerhalb des SDLC zurückzuführen sein. Das Management ist in der Regel weniger in die eigentliche Arbeit der Kodierung involviert und hat eher eine übergeordnete Sichtweise, während sich die Entwickler eher mit den Details beschäftigen.
Aus der Sicht der allgemeinen Sicherheit und Codequalität ist es jedoch alarmierend, dass nur 13 % der Entwickler und 10 % der Manager sagen, dass sichere Code-Praktiken in die Designphasen integriert werden sollten - gleich zu Beginn des SDLC. Dies ist eine riesige und nicht realisierte Chance. Laut einer IBM-Studie ist es dreißigmal teurer, Schwachstellen in nachträglich veröffentlichtem Code zu beheben, als wenn sie von Anfang an gefunden und behoben werden.1 Das ist ein starker Anreiz für eine neue proaktive und menschengeführte Verteidigung der Softwaresicherheit, die Entwickler dazu befähigt, von Anfang an sicherer zu programmieren. Softwaresicherheit kann nicht allein durch den Einsatz von Werkzeugen gelöst werden - sie muss das menschliche Element mit einbeziehen.
Ist das menschliche Element vorbereitet?
97 % der befragten Entwickler sind der Meinung, dass sie ausreichend in sicherem Coding geschult wurden, und 95 % stimmten zu, dass die Schulung in sicherem Coding für ihre Karriere wertvoll gewesen sei. Doch bevor wir diese Behauptungen für bare Münze nehmen, müssen wir uns fragen: Warum sind Code-Schwachstellen immer noch so weit verbreitet? Sind die Behauptungen von Entwicklern über sicheres Code-Know-how nur ein Fall von menschlichem Ego? Die Beweise deuten sicherlich in diese Richtung. Ein bescheideneres Eingeständnis ist, dass mehr als 88 % der befragten Entwickler zugeben, dass sicheres Coding schwer zu erlernen ist, und 91 % der Entwicklungsleiter räumen ein, dass sichere Coding-Praktiken schwierig zu implementieren sind. Auf die Frage nach den größten persönlichen Bedenken im Zusammenhang mit der Implementierung von sicherem Code geben 28 % der Entwickler an, dass sie den Lernprozess als schwierig empfinden, während 24 % den Lernprozess als langweilig empfinden. Dies deutet darauf hin, dass die Entwicklerschulung verbessert werden muss.
Was braucht das menschliche Element?
Um den Faktor "Herausforderung" zu überwinden, erfordert ein lohnenswertes Sicherheitstraining einen "Gerüst"-Prozess, der den Entwickler dabei unterstützt, Schritt für Schritt sichere Codierungsfähigkeiten aufzubauen. Für maximale Relevanz und unmittelbare Anwendbarkeit sollte dieses Training in der spezifischen Sprache:Framework stattfinden, die sie jeden Tag benutzen.
Um den "Langeweile"-Faktor zu überwinden, müssen Schulungen zu sicherem Code auf praktische Art und Weise vermittelt werden - dies ist für Entwickler nachweislich weitaus fesselnder als veraltete Klassenzimmer- oder "Schau dir dieses Video an"-Modelle. Dazu sollten Live-Simulationen gehören, die es den Entwicklern ermöglichen, manchmal riskante Sicherheitsherausforderungen in einer sicheren Umgebung zu bewältigen. Das Ziel sollte sein, Entwicklern beizubringen, wie sie Schwachstellen im Code finden und beheben können, während sie arbeiten, und sicheres Coding zu einem Teil ihres täglichen Arbeitsablaufs zu machen. Ein weiterer wichtiger Faktor ist das Linting und Coaching innerhalb der IDE, das den Entwicklern hilft, während des Programmierens ständig dazuzulernen und Schwachstellen zu vermeiden und zu beseitigen.
Wenn Sie herausfinden möchten, wie Sie Ihren Entwicklern dieses neue Niveau an entwicklerzentrierten Tools und Schulungen bieten können, eine Demo buchen jetzt.
Sie können auch Ihr Exemplar herunterladen das Whitepaper Shifting from reaction to prevention: Das sich verändernde Gesicht der Anwendungssicherheit.
Klicken Sie auf den folgenden Link, um die PDF-Datei dieser Ressource herunterzuladen.
Secure Code Warrior schützt Ihren Code während des gesamten Softwareentwicklungszyklus und hilft Ihnen dabei, eine Kultur zu schaffen, in der Cybersicherheit oberste Priorität hat. Ganz gleich, ob Sie Anwendungs-Sicherheitsmanager, Entwickler, CISO oder Sicherheitsbeauftragter sind – wir helfen Ihnen dabei, die mit unsicherem Code verbundenen Risiken zu minimieren.
Bericht anzeigenデモを予約
Secure Code Warrior macht sicheres Codieren zu einer positiven und attraktiven Erfahrung, während Entwickler ihre Fähigkeiten verbessern. Es führt jeden einzelnen Programmierer auf den von ihm gewünschten Lernpfad, damit Entwickler mit Sicherheitskenntnissen in unserer vernetzten Welt täglich zu Superhelden werden können.
Dieser Artikel wurde vom Branchenexperten-Team von Secure Code Warrior verfasst. Er zielt darauf ab, Entwicklern das Wissen und die Fähigkeiten zu vermitteln, die sie benötigen, um von Anfang an sichere Software zu entwickeln. Dabei werden fundierte Fachkenntnisse über die Praxis des sicheren Codierens, Branchentrends und Einblicke aus der Praxis genutzt.
Da die Zahl der Cyber-Bedrohungen weiter zunimmt, müssen Unternehmen täglich Kompromisse zwischen Sicherheit, Praktikabilität und Geschwindigkeit eingehen - und setzen sich dabei Risiken aus. Deshalb hat Secure Code Warrior in Zusammenarbeit mit Evans Data Corp. eine Studie durchgeführt, die die Einstellung von Entwicklern zu sicherem Coding, sicheren Code-Praktiken und Sicherheitsabläufen untersucht hat (Download des Whitepapers hier).
Was dieser Bericht zeigt, ist, dass zwar immer noch reaktives Denken alter Schule" vorherrscht, aber das Bewusstsein für die Notwendigkeit proaktiverer Lösungen wächst, die die Entwickler selbst zur ersten Verteidigungslinie machen.
Jede Untersuchung der Einführung von sicheren Codierungspraktiken muss mit einem Verständnis der Menschen beginnen, die an der Implementierung beteiligt sind, ihrer Wahrnehmung davon und ihrer Fähigkeit, sie zu implementieren. Dies führt dann zum wichtigsten Teil des Puzzles - wie können sie befähigt werden, von Anfang an sicherer zu programmieren und qualitativ hochwertigen Code schneller und mit Zuversicht zu liefern?
Sicheres Kodieren - wo stehen wir heute, und was muss sich ändern? Herunterladen die Infografik 'The Human Element' jetzt.
Aktuelle Perspektiven - reaktiv vs. proaktiv
Als Entwickler und Entwicklungsleiter nach den Aktivitäten gefragt wurden, die sie mit sicherer Programmierung verbinden, waren die drei wichtigsten Antworten:
- Verwendung von Scan-Tools für installierte Anwendungen.
- Manuelles Überprüfen von Code auf Schwachstellen.
- Die aktive und fortlaufende Praxis, Software zu schreiben, die vor Sicherheitslücken geschützt ist.
Wie wir sehen können, konzentrierten sich zwei der drei Top-Antworten immer noch auf reaktive Ansätze - die erste abhängig von Tooling (Scannern) und die zweite auf den Entwickler (d.h. Menschen), der manuelle Prüfungen durchführt.
Gleichzeitig sind zwei der drei nominierten Aktivitäten auf das menschliche Element angewiesen. Dies deutet auf eine wachsende Wahrnehmung von Sicherheit als menschliches Problem hin. Aber von allen nominierten Aktivitäten ist die aufschlussreichste die Nr. 3, die den menschlichen Faktor beim Schreiben von Software identifiziert , die von vornherein vor Schwachstellen geschützt ist. Dies unterstreicht eine Verschiebung nach links - ein proaktiver und präventiver Ansatz, der Sicherheit von Beginn des SDLC an in die Software einbaut.
Wo passt die Sicherheit in den SDLC?
Wenn Entwickler und Entwicklungsmanager gefragt werden, wo sie die Integration von Secure Code-Praktiken in den SDLC sehen, gehen die Meinungen auseinander. 55 % der Manager glauben, dass sicheres Coding in den gesamten Entwicklungsprozess integriert ist, verglichen mit nur 43 % der Entwickler. Der Unterschied könnte auf die unterschiedlichen Rollen dieser beiden Gruppen innerhalb des SDLC zurückzuführen sein. Das Management ist in der Regel weniger in die eigentliche Arbeit der Kodierung involviert und hat eher eine übergeordnete Sichtweise, während sich die Entwickler eher mit den Details beschäftigen.
Aus der Sicht der allgemeinen Sicherheit und Codequalität ist es jedoch alarmierend, dass nur 13 % der Entwickler und 10 % der Manager sagen, dass sichere Code-Praktiken in die Designphasen integriert werden sollten - gleich zu Beginn des SDLC. Dies ist eine riesige und nicht realisierte Chance. Laut einer IBM-Studie ist es dreißigmal teurer, Schwachstellen in nachträglich veröffentlichtem Code zu beheben, als wenn sie von Anfang an gefunden und behoben werden.1 Das ist ein starker Anreiz für eine neue proaktive und menschengeführte Verteidigung der Softwaresicherheit, die Entwickler dazu befähigt, von Anfang an sicherer zu programmieren. Softwaresicherheit kann nicht allein durch den Einsatz von Werkzeugen gelöst werden - sie muss das menschliche Element mit einbeziehen.
Ist das menschliche Element vorbereitet?
97 % der befragten Entwickler sind der Meinung, dass sie ausreichend in sicherem Coding geschult wurden, und 95 % stimmten zu, dass die Schulung in sicherem Coding für ihre Karriere wertvoll gewesen sei. Doch bevor wir diese Behauptungen für bare Münze nehmen, müssen wir uns fragen: Warum sind Code-Schwachstellen immer noch so weit verbreitet? Sind die Behauptungen von Entwicklern über sicheres Code-Know-how nur ein Fall von menschlichem Ego? Die Beweise deuten sicherlich in diese Richtung. Ein bescheideneres Eingeständnis ist, dass mehr als 88 % der befragten Entwickler zugeben, dass sicheres Coding schwer zu erlernen ist, und 91 % der Entwicklungsleiter räumen ein, dass sichere Coding-Praktiken schwierig zu implementieren sind. Auf die Frage nach den größten persönlichen Bedenken im Zusammenhang mit der Implementierung von sicherem Code geben 28 % der Entwickler an, dass sie den Lernprozess als schwierig empfinden, während 24 % den Lernprozess als langweilig empfinden. Dies deutet darauf hin, dass die Entwicklerschulung verbessert werden muss.
Was braucht das menschliche Element?
Um den Faktor "Herausforderung" zu überwinden, erfordert ein lohnenswertes Sicherheitstraining einen "Gerüst"-Prozess, der den Entwickler dabei unterstützt, Schritt für Schritt sichere Codierungsfähigkeiten aufzubauen. Für maximale Relevanz und unmittelbare Anwendbarkeit sollte dieses Training in der spezifischen Sprache:Framework stattfinden, die sie jeden Tag benutzen.
Um den "Langeweile"-Faktor zu überwinden, müssen Schulungen zu sicherem Code auf praktische Art und Weise vermittelt werden - dies ist für Entwickler nachweislich weitaus fesselnder als veraltete Klassenzimmer- oder "Schau dir dieses Video an"-Modelle. Dazu sollten Live-Simulationen gehören, die es den Entwicklern ermöglichen, manchmal riskante Sicherheitsherausforderungen in einer sicheren Umgebung zu bewältigen. Das Ziel sollte sein, Entwicklern beizubringen, wie sie Schwachstellen im Code finden und beheben können, während sie arbeiten, und sicheres Coding zu einem Teil ihres täglichen Arbeitsablaufs zu machen. Ein weiterer wichtiger Faktor ist das Linting und Coaching innerhalb der IDE, das den Entwicklern hilft, während des Programmierens ständig dazuzulernen und Schwachstellen zu vermeiden und zu beseitigen.
Wenn Sie herausfinden möchten, wie Sie Ihren Entwicklern dieses neue Niveau an entwicklerzentrierten Tools und Schulungen bieten können, eine Demo buchen jetzt.
Sie können auch Ihr Exemplar herunterladen das Whitepaper Shifting from reaction to prevention: Das sich verändernde Gesicht der Anwendungssicherheit.
目次
Secure Code Warrior macht sicheres Codieren zu einer positiven und attraktiven Erfahrung, während Entwickler ihre Fähigkeiten verbessern. Es führt jeden einzelnen Programmierer auf den von ihm gewünschten Lernpfad, damit Entwickler mit Sicherheitskenntnissen in unserer vernetzten Welt täglich zu Superhelden werden können.
Secure Code Warrior schützt Ihren Code während des gesamten Softwareentwicklungszyklus und hilft Ihnen dabei, eine Kultur zu schaffen, in der Cybersicherheit oberste Priorität hat. Ganz gleich, ob Sie Anwendungs-Sicherheitsmanager, Entwickler, CISO oder Sicherheitsbeauftragter sind – wir helfen Ihnen dabei, die mit unsicherem Code verbundenen Risiken zu minimieren.
デモを予約[ダウンロード]Ressourcen für den Einstieg
Themen und Inhalte der Secure-Code-Schulung
Unsere branchenführenden Inhalte werden unter Berücksichtigung der Aufgaben unserer Kunden ständig weiterentwickelt, um mit der sich ständig verändernden Softwareentwicklungsumgebung Schritt zu halten. Sie decken alle Themen von KI bis hin zu XQuery-Injection ab und sind für verschiedene Aufgabenbereiche konzipiert, von Architekten und Ingenieuren bis hin zu Produktmanagern und Qualitätssicherungsfachleuten. Werfen Sie einen Blick auf die Inhalte unseres Content-Katalogs, sortiert nach Themen und Aufgabenbereichen.
Die Kamer van Koophandel setzt Maßstäbe für entwicklergesteuerte Sicherheit in großem Maßstab
Die Kamer van Koophandel berichtet, wie sie sicheres Codieren durch rollenbasierte Zertifizierungen, Trust Score-Benchmarking und eine Kultur der gemeinsamen Verantwortung für Sicherheit in die tägliche Entwicklungsarbeit integriert hat.
%20(1).avif)
.avif)
Bedrohungsmodellierung mit KI: So wird jeder Entwickler zum Bedrohungsmodellierer
Sie werden besser gerüstet sein, um Entwicklern dabei zu helfen, Ideen und Techniken zur Bedrohungsmodellierung mit den KI-Tools zu kombinieren, die sie bereits verwenden, um die Sicherheit zu erhöhen, die Zusammenarbeit zu verbessern und von Anfang an widerstandsfähigere Software zu entwickeln.
Ressourcen für den Einstieg
Cybermon ist zurück: Die KI-Mission zum Besiegen des Bosses ist jetzt auf Abruf verfügbar.
「Cybermon 2025 Beat the Boss」 kann nun das ganze Jahr über bei SCW gespielt werden. Führen Sie anspruchsvolle AI/LLM-Sicherheitsherausforderungen ein, um die sichere AI-Entwicklung in großem Maßstab zu stärken.
Erläuterung des Cyber-Resilience-Gesetzes: Bedeutung für die Entwicklung sicherer Software
Erfahren Sie, was das EU-Gesetz zur Cyberresilienz (CRA) verlangt, für wen es gilt und wie sich Ingenieurteams auf Secure-by-Design-Praktiken, Schwachstellenprävention und die Kompetenzentwicklung von Entwicklern vorbereiten können.
Enabler 1: Definierte und messbare Erfolgskriterien
Enabler 1 ist der erste Teil der zehnteiligen Reihe „Enablers of Success“ und zeigt, wie sichere Programmierung mit geschäftlichen Ergebnissen wie Risikominderung und Geschwindigkeit verknüpft werden kann, um Programme langfristig zu optimieren.
