Möchten Sie, dass Entwickler beim Programmieren sicherheitsbewusst vorgehen? Bieten Sie ihnen Schulungen an.

Der Softwareentwicklungslebenszyklus (SDLC) scheint völlig harmlos zu sein. Es handelt sich um einen einzigen Prozess, in dem wir Softwareentwickler alle unsere Kräfte bündeln, um etwas Magisches zu schaffen und der Gesellschaft unverzichtbare digitale Produkte zu präsentieren.

Wenn Sie jedoch schon einmal an einem Softwareentwicklungsprojekt teilgenommen haben, wissen Sie, dass es sich um ein schwieriges Projekt handelt, bei dem es Quests zu bewältigen und Drachen zu besiegen gilt. Eine Zeit lang macht es zwar Spaß, aber Burnout ist eine Tatsache. Aufgrund der Nachfrage nach Software arbeiten wir alle mit Höchstgeschwindigkeit, um das Beste aus unserer Zeit herauszuholen. Das gilt insbesondere für das Entwicklungsteam.

Stellen Sie sich nun vor, dass ihnen eine weitere Aufgabe übertragen wurde, die sie unbedingt erledigen müssen. Nämlich die Verantwortung für die Sicherheit der Projektelemente, mit denen sie in Berührung kommen. Dies könnte für einige Personen im schlimmsten Fall dazu führen, dass ihr Kartenhaus zusammenbricht. Ein realistischeres Szenario ist jedoch, dass Probleme, deren Lösung als dringlicher angesehen wird, Vorrang haben, da keine Prioritäten festgelegt wurden. Und wenn die meisten Entwickler nicht in sicherem Programmieren geschult sind (insbesondere wenn Manager der Sicherheit keine Priorität einräumen), ist es nicht verwunderlich, dass es aufgrund häufiger Datenlecks, fehlerhafter App-Veröffentlichungen und massiver Bugs zu einer ernsthaften Fluktuation unter Sicherheitsexperten kommt, die an ihre Grenzen stößt.

Entwickler brauchen AppSec-Unterstützer.

Wenn man sich das oben beschriebene Szenario ansieht, versteht man, warum Sicherheit im Codierungsprozess als „zu schwierig“ eingestuft und dem Sicherheitsteam überlassen wird. Es gibt zu viele konkurrierende Termine, die Schulungen sind unzureichend, und es gibt keinen Grund, sich um Sicherheit zu kümmern, während alle anderen Aufgaben erledigt werden müssen.Um diesen Status quo aufrechtzuerhalten, ist jedoch der Bedarf an Code zu groß. Genau hier können sich Spitzenentwickler von ihren Kollegen abheben, neue Technologien erlernen und vor allem sichereren Code erstellen.

Es ist jedoch zu beachten, dass die Verwaltung der Softwaresicherheit nicht Aufgabe der Entwickler ist. Dies bleibt weiterhin im Zuständigkeitsbereich des AppSec-Teams (in Zusammenarbeit mit sicherheitsbewussten Entwicklern können häufige Fehler wiederholt behoben und mehr Spielraum gewonnen werden). Ein gut funktionierender DevSecOps-Prozess erfordert, dass alle Teammitglieder die notwendige Unterstützung und die erforderlichen Tools erhalten, um ihre Verantwortung für die Sicherheit wahrzunehmen. Die richtige Art von Schulung ist dabei von entscheidender Bedeutung. Um die richtige Balance zwischen den richtigen Tools und Schulungen zu finden, ist die Expertise von AppSec-Spezialisten erforderlich, die eng mit den Entwicklern zusammenarbeiten, um sie zu inspirieren und positive Veränderungen voranzutreiben.

Destruktives Training ist eher nervig als effektiv, und Entwickler zu verärgern ist nicht sinnvoll. Eine Alternative sind IDE- oder Issue-Tracker-Integrationslösungen, die sich auf einfaches Wissen konzentrieren und den Benutzern genau dann die richtigen Informationen liefern, wenn sie diese benötigen.

Das Funktionsprinzip ist wie folgt.

Nicht „für alle Fälle“, sondern zur richtigen Zeit am richtigen Ort.

Situationsbezogene praktische Übungen sind zweifellos die effektivste Trainingsmethode, und sie werden genau dann bereitgestellt, wenn sie am besten geeignet sind. Dies wird auch als „Just-in-Time“-Training (Jit) bezeichnet und ist für Entwickler, die sichere Programmierung lernen, äußerst nützlich.

Die JIT-Schulung, die Toyotas Lean-Produktionsprinzipien einschließlich der Herkunftsorte umfasst, wurde so konzipiert, dass sie je nach Situation zum wichtigsten Zeitpunkt und nach Bedarf aktiviert wird. Hat ein Entwickler gerade etwas geschrieben, das auf unangemessene Berechtigungen hindeutet? Was wäre, wenn eine kleine Hintertür geöffnet wäre und ein Angreifer aus der Ferne Code ausführen könnte?Es wäre viel einprägsamer, wenn Entwickler bei Bedarf direkt auf das Wissen zugreifen könnten, anstatt in Confluence nach Dokumenten zu suchen oder Inhalte aus Schulungen zu googeln.

Just-in-Time ist das genaue Gegenteil von „für alle Fälle“ lernen. Letzteres ist zwar die gängigere Methode zur Wissensvermittlung, aber nicht besonders effizient. Wir müssen Entwicklern den Zugang zu Best Practices für sicheres Codieren erleichtern und ihnen die Vorteile aufzeigen, die sie im Laufe ihrer Karriere erzielen können, während sie sich weiterhin auf ihre aktuellen Hauptziele konzentrieren.

Entwickler sollten nicht gezwungen werden, sich um ihre Ausbildung zu kümmern.

Wir wissen bereits, dass die Arbeitszeiten zu lang sind. Welche Anreize sind also erforderlich, damit Entwickler in den Hörsaal eilen oder fünf Schritte durchlaufen, um durch einen Kontextwechsel Zugang zu statischer, theoriegeleiteter Ausbildung zu erhalten?

Es ist allgemein bekannt, dass die meisten Unternehmen, egal wie viele Schwachstellen sie haben, die zu Datenverletzungen führen, nicht wirklich effektiv sind. Der Datenverletzungsbericht 2020 von Verizon sagt Folgendes : 43 % der Datenverletzungen könnten auf Web-Schwachstellen zurückzuführen sein. Entwickler bekommen keine effektive Schulung. Sie erhalten weder eine Hochschulausbildung noch Maßnahmen zur Verbesserung ihrer Fähigkeiten am Arbeitsplatz. Dann gibt es noch allgemeine Schwachstellen wie SQL-Injection, Old School usw. Pfadauswertung wird nicht zu erheblichen Datenverlusten führen, und der Mangel an Cybersicherheitstechnologien wird nicht außer Kontrolle geraten.

Warum sind die Entwickler überrascht, dass die Ergebnisse nicht gut sind, obwohl sie wissen, dass sie geschult werden und sich mit Sicherheit auskennen? Eine nahtlosere, integrierte und weniger störende Schulungserfahrung, die in der tatsächlichen Arbeitsumgebung wie Jira, GitHub und IDE zugänglich ist, kann sich positiv auf Entwickler und Unternehmen auswirken. Die Branche muss nur noch einen Schritt weitergehen und das Sicherheitsbewusstsein in einer Umgebung fördern, die kein Luxus mehr ist.

Sind Sie bereit, Ihren Entwicklungs-Workflow zu schützen?

Entwickler, die sich mit Sicherheit gut auskennen, werden aufgrund ihrer Fähigkeiten und Schutzfunktionen, die sie bereits in der Phase der Codeerstellung für das Unternehmen bereitstellen können, hoch geschätzt. Sicherheit ist keine Option mehr. Dies gilt insbesondere angesichts der hohen Strafen gemäß DSGVO, der PCI-DSS-Compliance-Vorschriften, der NIST-Governance ... und der erhöhten Wahrscheinlichkeit, in eine Millionenklage wie im Fall Equifax verwickelt zu werden.

Ein integrierter Ansatz kann als Katalysator dienen, um das Interesse von Entwicklern für ein störungsarmes Lernen zu wecken. Er kann Wege für vertiefende Kurse schaffen, Sicherheitsexperten ausbilden und das allgemeine Bewusstsein für die gemeinsame Verantwortung schärfen, die für den sicheren Schutz globaler Daten erforderlich ist. Laden Sie die integrierten Tools für

herunter. Teilen Sie uns Ihre Meinung mit.