Möchten Sie, dass Entwickler beim Programmieren auf Sicherheit achten? Bieten Sie ihnen Schulungen an.

Der Softwareentwicklungslebenszyklus (SDLC) scheint völlig harmlos zu sein. Es handelt sich um einen Prozess, bei dem wir alle, die wir mit Software zu tun haben, zusammenkommen, um Magie zu vollbringen und alle digitalen Güter zu liefern, ohne die die Gesellschaft nicht leben kann.

ただし... ソフトウェア開発プロジェクトに参加したことがあれば、それは通常、征服すべきクエストと殺すべきドラゴンを殺すための挑戦であることをご存知でしょう。しばらくの間は楽しいですが、燃え尽き症候群は現実のものであり、ソフトウェアの需要により、私たち全員、特に開発チームは、最高のタイミングで光速で働いています。

Stellen Sie sich nun vor, dass ihnen eine weitere Aufgabe auferlegt wird: die Verantwortung für die Sicherheit der Projektelemente, an denen sie beteiligt sind. Im schlimmsten Fall könnte dies für einige Personen zum Einsturz ihres Kartenhauses führen, aber ein realistischeres Szenario wäre, dass Probleme, die nicht priorisiert wurden und deren Überschreitung als dringlicher angesehen wird, Vorrang erhalten. Wenn zudem die meisten Entwickler keine Schulung in sicherem Programmieren erhalten haben (insbesondere wenn Manager der Sicherheit keine Priorität einräumen),ist es nicht verwunderlich, dass es häufig zu Datenlecks kommt, fehlerhafte Apps veröffentlicht werden und die Flut von fehlerhaftem Code unter Sicherheitsexperten einen kritischen Punkt erreicht hat.

Entwickler brauchen Unterstützer von AppSec.

Wenn man das oben genannte Szenario berücksichtigt, wird klar, warum die Sicherheit während des Codierungsprozesses in die Kategorie „zu schwierig“ fällt und der Lösung durch das Sicherheitsteam überlassen wird. Es gibt zu viele konkurrierende Termine, die Schulungen sind unzureichend, und es gibt keinen wirklichen Grund, sich um die Sicherheit zu kümmern, wenn andere Dinge zu tun sind.Um diesen Status quo aufrechtzuerhalten, ist die Nachfrage nach Code jedoch zu hoch. Hier kommen die Elite-Entwickler ins Spiel, die sich von anderen Entwicklern abheben, neue Fähigkeiten erlernen und vor allem sichereren Code erstellen können.

Es ist jedoch wichtig zu beachten, dass nicht alle Aspekte der Softwaresicherheit in der Verantwortung der Entwickler liegen. Dies bleibt weiterhin Aufgabe des AppSec-Teams (in Zusammenarbeit mit sicherheitsbewussten Entwicklern kann so mit mehr Spielraum gearbeitet werden, anstatt häufig auftretende Fehler wiederholt beheben zu müssen). Ein funktionierender DevSecOps-Prozess erfordert, dass alle Teammitglieder die notwendige Unterstützung und die erforderlichen Tools erhalten, um ihre Verantwortung für die Sicherheit zu teilen. Die richtige Art von Schulungen hat dabei oberste Priorität. Um die richtige Balance zwischen geeigneten Tools und Schulungen zu finden, sind die Erkenntnisse von Anwendungssicherheitsexperten erforderlich, die eng mit den Entwicklern zusammenarbeiten, um diese zu motivieren und positive Veränderungen voranzutreiben.

Destruktives Training ist eher lästig als effektiv, und alles, was Entwickler als unangenehm empfinden, funktioniert nicht gut. Eine Lösung, die sich auf mundgerechte Wissenshäppchen konzentriert und eine IDE oder einen Issue-Tracker integriert, ist eine Option, um Entwicklern im richtigen Moment die richtigen Informationen zur Verfügung zu stellen.

Die tatsächliche Funktionsweise ist wie folgt.

Nicht „zur Sicherheit“, sondern genau zum richtigen Zeitpunkt.

Situationsbezogenes praktisches Lernen Da kleine Häppchen zum optimalen Zeitpunkt bereitgestellt werden können, ist dies die mit Abstand effektivste Trainingsmethode. Diese auch als „Just-in-Time“-Training (JIt) bezeichnete Methode ist für Entwickler, die sich mit sicherem Programmieren vertraut machen möchten, äußerst nützlich.

Der Ursprung liegt in den Lean-Manufacturing-Prinzipien von Toyota. Das JiT-Training ist so konzipiert, dass es je nach Situation zu den wichtigsten Zeitpunkten absolviert werden kann, wenn das Wissen benötigt wird.Haben Sie jemals etwas geschrieben, das Ihrer Meinung nach unangemessene Berechtigungen enthält? Was würde passieren, wenn eine kleine Hintertür geöffnet würde, durch die Angreifer aus der Ferne Code ausführen könnten? Es wäre viel einprägsamer, wenn Entwickler bei Bedarf sofort auf das erforderliche Wissen zugreifen könnten, anstatt Confluence-Dokumente zu durchsuchen oder bei Google nach Begriffen aus dem Training zu suchen.

Just-in-Time-Lernen ist das genaue Gegenteil von „Lernen für den Fall der Fälle“. Letzteres ist zwar die gängigere Methode zur Wissensvermittlung, aber einfach nicht effizient. Entwickler müssen besser in der Lage sein, die Best Practices für sicheres Codieren zu befolgen, sich auf ihre aktuellen Hauptziele zu konzentrieren und gleichzeitig die Vorteile einer beruflichen Weiterentwicklung besser zu verstehen.

Entwickler sollten nicht gezwungen werden, Schulungen zu absolvieren.

Es ist bereits bekannt, dass es zu viele Aufgaben gibt, die an einem Tag erledigt werden müssen. Müssen Entwickler dann wirklich in Eile zum Unterricht gehen und fünf Schritte durchlaufen, um an statischen, theoriegeleiteten Schulungen teilzunehmen, bei denen sie den Kontext wechseln müssen?

Der allgemeine Konsens lautet, dass die meisten Unternehmen unabhängig vom Ausmaß der Schwachstellen, die zu Datenverletzungen führen, keine besonders wirksamen Maßnahmen ergreifen. Der Bericht von Verizon über Datenverletzungen im Jahr 2020 stellt Folgendes klar: 43 % der Datenlecks sind möglicherweise auf Schwachstellen im Web zurückzuführen. Entwickler erhalten keine wirksame Schulung. Weder im Rahmen der Hochschulausbildung noch als Teil der Weiterbildungsmaßnahmen am Arbeitsplatz. Wenn dies der Fall wäre, wären es allgemeine Schwachstellen wie SQL-Injection und andere altbekannte Schwachstellen. Pastraversal wird nicht missbraucht, um hohe Datenumsätze zu erzielen, und es kommt auch nicht zu einem unkontrollierbaren Mangel an Cybersicherheitskompetenzen.

Warum sind wir dann überrascht über die negativen Folgen, obwohl wir wissen, dass Entwickler geschult werden und sich in der aktuellen Umgebung mit Sicherheit auskennen? Eine reibungslosere, stärker integrierte und weniger aufwändige Schulungserfahrung, die von den tatsächlich genutzten Arbeitsbereichen wie Jira, GitHub und IDE aus zugänglich ist, könnte sich sowohl für Entwickler als auch für Unternehmen positiv auswirken.Die Branche muss in einer Umgebung, die kein Luxus mehr ist, voranschreiten und das Sicherheitsbewusstsein deutlich vereinfachen.

Sind Sie bereit, Ihren Entwicklungs-Workflow zu schützen?

Entwickler mit hohem Sicherheitsbewusstsein werden aufgrund ihrer Fähigkeiten und des Schutzes, den sie dem Unternehmen bereits in der Code-Entwicklungsphase bieten können, hoch geschätzt. Sicherheit ist keine Option mehr. Insbesondere angesichts der Strafen gemäß DSGVO, der PCI-DSS-Compliance-Vorschriften, der NIST-Governance ... und der Möglichkeit, in millionenschwere Sammelklagen (wie im Fall Equifax) verwickelt zu werden, ist Sicherheit keine Option mehr.

Ein integrativer Ansatz kann dazu beitragen, Entwickler für ein übersichtliches Lernumfeld zu gewinnen, den Weg für detailliertere Kurse ebnen, Security Champions schulen und die gemeinsame Verantwortung fördern, die für die Sicherheit und Integrität der Daten weltweit erforderlich ist.

Laden Sie die Integrationstools für Jira und GitHub herunter. Teilen Sie uns Ihre Meinung mit.