Einblick in Sicherheitscodes

Sind Programmierer angesichts der zunehmenden Cyber-Bedrohungen einen Schritt voraus? Sind die wichtigsten Entwickler, die für sicheres Programmieren sorgen, bereit, ihren Beitrag zum Schutz der vernetzten Welt zu leisten? Um diese Frage zu beantworten, werfen wir einen Blick auf einige Erkenntnisse aus einer aktuellen Studie von Secure Code Warrior in Zusammenarbeit mit Evans Data Corp. zu den Einstellungen von Entwicklern in Bezug auf sicheres Programmieren, sichere Codierungspraktiken und sichere Betriebsabläufe. ‍

Sicherheitstechniken für Entwickler beim Programmieren – Wahrnehmung und Realität

In der bald erscheinenden Version : Der Wandel von der Reaktion zur Prävention: Die sich wandelnde Landschaft der Anwendungssicherheit. 97 % der an der Umfrage teilnehmenden Entwickler gaben an, ausreichend in sicherem Programmieren geschult worden zu sein, und 95 % stimmten zu, dass Schulungen zum sicheren Programmieren für ihre Karriere nützlich waren. Bevor man diese Behauptungen jedoch für bare Münze nimmt, sollte man zunächst einmal innehalten und sich einige wichtige Fragen stellen. Warum sind Code-Schwachstellen nach wie vor so weit verbreitet?Warum treten trotz ausreichender Schulungen der Entwickler zum Thema sicheres Programmieren immer noch dieselben Schwachstellen auf wie früher? Sind es dieselben zehn Software-Schwachstellen, die in den letzten 20 Jahren für die meisten Sicherheitsverletzungen verantwortlich waren?  

Was ist denn hier los?

Entwickler sagen, dass sie eine gute Sicherheitsschulung erhalten haben, aber ist das nicht zu viel Selbstvertrauen? Eines ist sicher: Diese positive Selbsteinschätzung steht im Widerspruch zu der Meinung der Entwickler selbst, dass sicheres Codieren schwierig ist. Die meisten Entwickler sagen, dass sie eine wertvolle und ausreichende Schulung erhalten haben, aber die meisten Entwickler und Entwicklungsmanager halten die Umsetzung sicherer Codierungspraktiken immer noch für etwas schwierig.

• Über 91 % der Entwicklungsmanager geben an, dass die Umsetzung von Sicherheitscode-Praktiken schwierig ist.
• Über 88 % der Entwickler halten sicheres Programmieren für schwierig. Da dies der wichtigste „menschliche Faktor” beim sicheren Programmieren ist, erhalten Entwickler nicht die erforderliche Schulung in sicherem Programmieren. Dies bedeutet, dass eine Schulung in sicherem Programmieren erforderlich ist. Durch eine bessere Schulung in sicherem Programmieren und eine verstärkte Sicherheit wird Sicherheit entsprechend der Denkweise der Kunden verinnerlicht.

Warum ist die Implementierung von Sicherheitscodes so schwierig?

Entwickler und Entwicklungsmanager wurden gebeten, die wichtigsten Bedenken hinsichtlich der Implementierung zu ermitteln, um zu verstehen, warum sie die Implementierung von Sicherheitscode als schwierig empfinden.

Das Ergebnis: 28 % empfanden den Lernprozess als schwierig, während 24 % angaben, dass der Lernprozess an sich langweilig sei.

Diese Hauptanliegen sind von Bedeutung. Da der Lernprozess schwierig ist, ist eine Ausbildung mit höherer Beteiligung erforderlich. Außerdem ist eine Ausbildung erforderlich, die wie folgt aussieht: Da der Lernprozess langweilig ist, eignet er sich besser für Entwickler. Dies unterstreicht die Notwendigkeit einer entwicklerzentrierten Erwachsenenbildung.

„Ich möchte etwas lernen, das gut funktioniert und sich auch auf andere Szenarien anwenden lässt. Das ist genau das, was Secure Code Warrior bietet.“
‍
Senior Staff Software Engineer @ ForgerOck

Der verschwundene Link

Secure Code Warrior, das die Veränderungen im Bereich der sicheren Programmierung vorantreibt, verfolgt einen menschenorientierten Ansatz, der den Aufbau von Fähigkeiten im Bereich der sicheren Programmierung zu einer positiven und lohnenden Erfahrung macht.Durch 100 % praxisorientierte, unterhaltsame und interaktive Schulungen, in denen Entwickler beim Programmieren Sicherheitsprobleme erkennen und beheben können, werden sie vollständig in die Praxis des sicheren Programmierens einbezogen. All diese Funktionen tragen dazu bei, Schwachstellen zu verhindern, bevor sie in den Nachrichten von morgen auftauchen, und so die Kosten und den Zeitaufwand für die Veröffentlichung zu reduzieren.

Aber glauben Sie uns nicht einfach.

„Das Secure Code Warrior®-Portal ist eine hervorragende Plattform, um mehr über Sicherheitslücken verschiedener Technologien zu erfahren. Es bietet interessante und interaktive Funktionen.“
‍
Sicherheitstester, kleiner Einzelhändler
Tweed: 5AC-3CA-F68

„Secure Code Warrior konnte mithilfe von Gamification auf sehr unterhaltsame und ansprechende Weise die Bedeutung von sicherem Programmieren hervorheben.“
‍
Softwareentwickler bei einem Global-500-Finanzdienstleistungsunternehmen
Tweed: B0D-73D-BE3

Und es gibt noch mehr davon. Wenn Sie also diesen neuen Ansatz für die Sicherheitsschulung aus nächster Nähe und persönlich kennenlernen und sehen möchten, wie Entwickler dadurch weiterkommen können, dann möchte ich Ihnen, den wahren Superhelden der Sicherheit, das gerne zeigen.

Der Oktober ist seit langem der Monat, in dem Unternehmen ihr Bewusstsein für Cybersicherheit verstärken. Doch im Jahr 2025 stehen ganz andere Dinge auf dem Spiel. KI-gestützte Softwareentwicklung ist kein Pilotprojekt mehr - sie ist Mainstream. Was als Kopiloten mit Autovervollständigung begann, hat sich zu agentenbasierten KI-Systemen entwickelt, die ganze Anwendungen erstellen. Entwickler sind nicht mehr nur Code-Autoren, sondern auch Prüfer, Redakteure und Verteidiger der von der KI erzeugten Ergebnisse.

Dieser Wandel ist sowohl eine Chance als auch ein Risiko. KI verspricht eine schnellere Bereitstellung, aber sie vergrößert auch die Gefährdung, den Druck auf die Einhaltung von Vorschriften und den Bedarf an robusten Sicherheitspraktiken für Entwickler. Der Monat des Bewusstseins für Cybersicherheit kann sich nicht länger auf die gleichen alten Phishing-Erinnerungen und Übungen zum Aufspüren von Betrügern verlassen. Er muss sich zu einer KI-bewussten Bereitschaft entwickeln, die Unternehmen in die Lage versetzt, Code mit der Geschwindigkeit der KI zu sichern.

Warum sich der Monat des Cybersecurity Awareness weiterentwickeln muss

Seit zwei Jahrzehnten folgt der Cybersecurity Awareness Month einem vertrauten Schema: Phishing- und Betrugs-E-Mails werden ins Rampenlicht gerückt, eine strengere Passworthygiene wird angemahnt, die Multi-Faktor-Authentifizierung wird gefördert, Mitarbeiter werden daran erinnert, Software zu aktualisieren, und es wird vor Social Engineering gewarnt. In manchen Jahren liegt der Schwerpunkt auf sicherem Surfen, Ransomware, Datenschutz oder der Sicherung von Fernarbeit. All dies ist wichtig, aber es handelt sich dabei um das gleiche alte Schema - eine Checkliste mit sich wiederholenden Themen, die nicht mehr die Risiken widerspiegeln, mit denen Unternehmen in einer KI-getriebenen Entwicklungswelt tatsächlich konfrontiert sind.

Um relevant zu bleiben, muss der Cybersecurity Awareness Month über die allgemeine Sensibilisierung hinausgehen und stattdessen Praktiken für Entwickler hervorheben - von Übungen zur sicheren Codierung bis hin zu KI-gestützter Codeüberprüfung -, die die Realitäten des heutigen Softwareentwicklungslebenszyklus widerspiegeln.

Einige ausgereifte Unternehmen haben bereits damit begonnen, in diese Richtung zu gehen und Aktivitäten wie die OWASP Top 10-Schulungen oder auf Entwickler ausgerichtete Videomodule in ihre Sensibilisierungsmaßnahmen einzubeziehen. Doch selbst diese Ansätze müssen weiterentwickelt werden. Die Realität ist, dass KI die Art und Weise, wie Code erstellt, überprüft und bereitgestellt wird, grundlegend verändert. Die Sensibilisierung muss sich von oberflächlichen Erinnerungen hin zur Vorbereitung von Unternehmen auf eine Zukunft verlagern, in der KI-generierter Code die neue Angriffsfläche darstellt.

Wir von Secure Code Warrior sind der Meinung, dass Entwickler, die mit den richtigen KI-Sicherheitskenntnissen ausgestattet sind, 10-mal produktiver für das Unternehmen sein können - aber ohne diese Kenntnisse können sie 10-mal mehr Code, technische Schulden und Schwachstellen erzeugen.

Die Folgen für die Sicherheitsverantwortlichen in Unternehmen sind klar:

• Mehr Code, mehr Risiko: KI beschleunigt die Bereitstellung, aber ohne Aufsicht kann sie Schwachstellen und technische Schulden exponentiell erhöhen und damit das Unternehmensrisiko steigern.
• Governance, nicht nur Einhaltung der Vorschriften: Regierungen und Branchenverbände signalisieren, dass die heutigen Standards nicht ausreichen werden. So führt das KI-Gesetz der EU bereits Anforderungen an Transparenz, Risikoklassifizierung und Überwachung von KI-Systemen ein und schafft damit einen Präzedenzfall, dem andere Regionen folgen könnten. CISOs sollten künftige Vorschriften antizipieren und Schatten-KI proaktiv mit Transparenz und Governance-Kontrollen angehen. 
• Qualifikationslücken vergrößern sich: Entwickler müssen für den Umgang mit KI-spezifischen Angriffsflächen wie Prompt Injection und unsicheren APIs gerüstet sein. Der Thales Data Threat Report 2025 ergab, dass fast 70 % der Unternehmen die Geschwindigkeit der KI-Entwicklung als ihr größtes Sicherheitsproblem einstufen, was das wachsende Missverhältnis zwischen Akzeptanz und Bereitschaft unterstreicht.

CISOs können die Einführung von KI nicht länger als eine Nebeninitiative betrachten. Sie ist jetzt von zentraler Bedeutung dafür, wie Unternehmen Software entwickeln, bereitstellen und sichern.

Die Mission des Secure Code Warrior: Vom Bewusstsein zum Handeln

Wir von Secure Code Warrior glauben, dass das Bewusstsein nur der Ausgangspunkt ist. Unternehmen brauchen messbare Maßnahmen, um Entwicklerrisiken in großem Umfang zu verwalten. Unsere Plattform versetzt CISOs in die Lage, sicheres Coding in der Unternehmens-DNA zu verankern und so die Transparenz und die Ergebnisse zu liefern, die zur Risikominderung und Stärkung der Widerstandsfähigkeit erforderlich sind.

• Mehr als 10.000 Lektionen zur sicheren Programmierung, die mehr als 600 Schwachstellen in mehr als 70 Sprachen und Frameworks abdecken.
• KI-Herausforderungen, die reale KI-Workflows simulieren und Entwicklern realistische Übungen zur Überprüfung und Sicherung von KI-generiertem Code bieten.
• SCW Trust ^Score® Benchmarks , die CISOs einen objektiven Einblick in die Risikolage von Entwicklern und messbare Fortschritte ermöglichen.
• SCW-Vertrauensperson: AIDer SCW Trust Agent: AI, der Beobachtbarkeit und Governance auf die KI-gestützte Entwicklung ausdehnt, bringt Schatten-KI ans Licht, verbindet KI-generierten Code mit echten Risikomessungen und sorgt für eine verantwortungsvolle Übernahme. 

Dabei handelt es sich nicht einfach nur um Schulungsmodule, sondern um leistungsstarke Lern- und Governance-Tools, die das Unternehmensrisiko verringern, die Widerstandsfähigkeit gegenüber Vorständen und Aufsichtsbehörden demonstrieren und nachweislich Ergebnisse liefern - mit Kunden, die bis zu 53 % weniger Schwachstellen und eine bis zu dreimal schnellere MTTR erreichen.

Cybermon 2025: Das Zeitalter der KI

Um den Monat des Bewusstseins für Cybersicherheit greifbar zu machen, veranstaltet Secure Code Warrior den Cybermon, unser jährliches Oktober-Ereignis, das das globale Bewusstsein in unternehmerisches Handeln umsetzt.

Das diesjährige Thema " The Age of AI" (Das Zeitalter der künstlichen Intelligenz) spiegelt die seismischen Verschiebungen in der Softwareentwicklung wider. Der Cybermon 2025 beginnt am 6. Oktober und ermöglicht es Unternehmen,:

• Testen Sie die Fähigkeiten zur sicheren Codeüberprüfung in KI-gesteuerten Umgebungen.
• Starten Sie messbare, spielerische Kampagnen, die den Vorständen und Aufsichtsbehörden den Fortschritt aufzeigen.
• Förderung einer Kultur der sicheren Entwicklung im Einklang mit den Prioritäten des Risikomanagements des Unternehmens.

Cybermon hilft CISOs bei der Operationalisierung von Awareness und verwandelt sie von einem Slogan in messbare, unternehmensweite Auswirkungen.

Ein strategischer Aufruf zum Handeln für CISOs

Die KI-gesteuerte Entwicklung ist nicht mehr nur eine Frage der Zeit, sie ist schon da. Die Geschwindigkeit der Codebereitstellung nimmt zu, die Risiken vervielfachen sich, und die Verantwortung für die Sicherheit von KI-generiertem Code liegt nun ganz klar bei den Unternehmensleitern.

Der Auftrag ist klar:

• Schließen Sie die Lücke bei den KI-Sicherheitskompetenzen.
• Messen und reduzieren Sie das Entwicklerrisiko in großem Umfang.
• Setzen Sie sich proaktiv mit Schatten-KI auseinander, indem Sie Transparenz und Governance-Kontrollen einführen und die Wahrscheinlichkeit künftiger Regulierungen vorhersehen. 

Secure Code Warrior hat es sich zur Aufgabe gemacht, CISOs dabei zu unterstützen, diese neue Ära mit dem Fachwissen, der Transparenz und der Governance zu meistern, die für die Sicherheit von Software im Unternehmensmaßstab erforderlich sind. Mit Funktionen wie SCW Trust ^Score® und Trust Agent: AI können Unternehmen ihr Bewusstsein in messbare unternehmensweite Widerstandsfähigkeit umwandeln. Erfahren Sie mehr über SCW Trust Agent: AI - Sichtbarkeit und Governance für Ihren AI-gestützten SDLC.

In diesem Oktober wollen wir über das oberflächliche Bewusstsein hinausgehen und das Zeitalter der künstlichen Intelligenz mit Klarheit, Vertrauen und Widerstandsfähigkeit begrüßen - eine sichere Codezeile nach der anderen.

‍

Die Entdeckung einer raffinierten Software-Lieferkettenverletzung hat die Cybersicherheitsbranche erneut in höchste Alarmbereitschaft versetzt. Diese Schwachstelle, die die mit den wichtigsten Linux-Distributionen gelieferte Datenkomprimierungsbibliothek XZ Utils betrifft, ist unter der Nummer CVE-2024-3094 registriert und geht letztlich auf einen vertrauenswürdigen freiwilligen Systemadministrator zurück, der absichtlich eine Hintertür eingebaut hat. Bei erfolgreicher Ausnutzung kann dies unter Umständen zur Ausführung von Remote-Code führen (RCE) ermöglichen, was zu schwerwiegenden Schäden im bestehenden Software-Build-Prozess führen kann.

Glücklicherweise wurde diese Bedrohung von einem anderen Administrator entdeckt, bevor der Schadcode in eine stabile Linux-Version gelangte. Für Benutzer, die XZ Utils Version 5.6.0 und 5.6.1 als Teil von Fedora Rawhide ausführen, ist dies jedoch nach wie vor ein Problem, und für Unternehmen hat die Installation des Patches höchste Priorität.Wäre diese Entdeckung nicht rechtzeitig erfolgt, hätte sich dieser Vorfall angesichts des Risikoprofils wahrscheinlich als einer der zerstörerischsten Angriffe auf die Lieferkette erwiesen, der sogar SolarWinds übertrifft.

Dass wichtige Systeme von freiwilligen Community-Mitgliedern gewartet werden, ist zwar weithin bekannt, wird aber kaum diskutiert, bis ein so folgenschweres Problem wie dieses ans Licht kommt. Ihre unermüdlichen Bemühungen sind für die Wartung von Open-Source-Software unverzichtbar, aber sie unterstreichen auch die Notwendigkeit, den Fokus auf Sicherheitstechniken und -bewusstsein auf Entwicklerebene zu legen, ganz zu schweigen von einer strengeren Zugriffskontrolle für Software-Repositorys.

Was ist ein XZ Utils-Backdoor und wie kann man sie entschärfen?

Am 29. März veröffentlichte Red Hat eine dringende Sicherheitswarnung. Diese richtet sich an Nutzer von Fedora Linux 4.0 und Fedora Rawhide und informiert darüber, dass die neueste Version des Komprimierungswerkzeugs und der Bibliothek „XZ“ Malware enthält, die offenbar speziell dafür entwickelt wurde, unbefugten Zugriff durch Dritte zu ermöglichen. Wie dieser Schadcode eingeschleust wurde, wird Gegenstand intensiver Untersuchungen sein. Es handelt sich jedoch um eine ausgeklügelte und geduldige Social-Engineering-Praxis, die über Jahre hinweg von einem Angreifer unter einem Pseudonym betrieben wurde. Der Angreifer namens „Zia Tan” hat über zwei Jahre lang legitime Beiträge zum XZ Utils-Projekt und zur Community geleistet und unzählige Stunden damit verbracht, das Vertrauen anderer Maintainer zu gewinnen. Nachdem das Vertrauen in den Eigentümer des Freiwilligenprojekts, Lasse Collin, aufgrund mehrerer Sockpuppet-Konten geschwächt war, erlangte er schließlich den Status eines „vertrauenswürdigen Administrators”.

‍

‍

Dieses ungewöhnliche Szenario ist ein typisches Beispiel dafür, wie technisch versierte Personen Opfer von Taktiken werden, die normalerweise von Personen mit unzureichenden Kenntnissen angewendet werden, und verdeutlicht die Notwendigkeit einer präzisen, rollenbasierten Sicherheitsschulung. Dies war nur dank der Neugier und der schnellen Auffassungsgabe eines Microsoft-Softwareentwicklers und PostgreSQL-Administrators möglich. Andres Prowndbackwurde entdeckt und die Version zurückgesetzt, wodurch der möglicherweise zerstörerischste Angriff auf die Lieferkette in der jüngeren Geschichte verhindert werden konnte.

Die Hintertür selbst wird offiziell als die schwerwiegendste Schwachstelle eingestuft. NIST-Register. Zunächst wurde angenommen, dass sie eine Umgehung der SSH-Authentifizierung ermöglichen würde, doch weitere Untersuchungen ergaben, dass sie auf anfälligen Linux-Systemen, darunter Fedora Rawhide, Fedora 41, Kali Linux, OpenSUSE Micro OS, OpenSUSE Tumbleweed und einigen Debian-Versionen, die Ausführung von nicht authentifiziertem Remote-Code ermöglichen.

Jia Tan scheint viel Aufwand betrieben zu haben, um das bösartige Paket zu finden. Das bösartige Paket wird während des Build-Prozesses selbstständig konfiguriert und stört dann die SSHD-Authentifizierung über systemd. Wie Red Hat ausführlich beschreibt, kann ein Angreifer durch diese Störung unter bestimmten Umständen potenziell die SSHD-Authentifizierung umgehen und sich unbefugten Fernzugriff auf das gesamte System verschaffen.

마이크로소프트는 그 중에서도 포괄적인 지침 발표 시스템에서 익스플로잇 인스턴스를 검색하고 그 영향을 완화하는 것과 다음 기관에서 권장하는 즉각적인 조치에 대해 CISA 영향 받는 개발자와 사용자는 XZ Utils 5.4.6 Stable과 같은 손상되지 않은 버전으로 XZ Utils를 다운그레이드해야 한다는 것입니다.

이러한 유형의 공격을 방지하는 것은 매우 어렵습니다. Dies liegt insbesondere daran, dass bei der Verwendung von Open-Source-Komponenten in Software kaum Sicherheit und Transparenz hinsichtlich der Lieferkette gegeben ist. Wir haben bereits zufällige Fehler in der Software-Lieferkette behoben, aber es hat sich gezeigt, dass zu diesen Risiken auch Sicherheitslücken gehören, die absichtlich mit böswilliger Absicht eingebaut wurden, um die Open-Source-Sicherheit zu untergraben.

Die meisten Entwickler sind sehr sicherheitsbewusst, verfügen über umfangreiches Sicherheitswissen und sind nicht besonders paranoid, sodass sie Angriffe dieser Art nicht verhindern können. Dies erfordert fast schon die Denkweise eines Angreifers. Die wichtigste Überlegung sollte jedoch immer das Quellcode-Repository sein. Es wird intern kontrolliert (d. h. es handelt sich nicht um Open Source). Diese Informationen sollten nur Personen mit nachgewiesenen einschlägigen Sicherheitskenntnissen zugänglich sein. AppSec-Experten können Einstellungen wie Sicherheitskontrollen auf Branch-Ebene in Betracht ziehen, die es nur sicherheitsbewussten Entwicklern ermöglichen, Änderungen an den endgültigen Master-Branches vorzunehmen.

Freiwillige Maintainer sind Helden, aber es erfordert viel Aufwand, um Software sicher zu halten.

Für Menschen außerhalb des Bereichs der Softwareentwicklung ist es schwer zu verstehen, dass eine aktive Gemeinschaft von Freiwilligen in ihrer Freizeit wichtige Systeme instand hält. Dies ist jedoch ein Merkmal der Open-Source-Entwicklung und stellt für Sicherheitsexperten, die die Lieferkette schützen, nach wie vor ein ernstes Risiko dar.

Open-Source-Software spielt in fast allen digitalen Ökosystemen von Unternehmen eine wichtige Rolle. Zuverlässige Wartungsfachleute (die meist in guter Absicht handeln) sind wahre Helden, die selbstlos nach technologischem Fortschritt und Integrität streben, aber es ist unsinnig, sie weiterhin isoliert arbeiten zu lassen.In dieser von DevSecOps geprägten Zeit ist Sicherheit eine gemeinsame Verantwortung, und alle Entwickler müssen über das Wissen und die geeigneten Werkzeuge verfügen, um Sicherheitsprobleme zu lösen, die während ihrer Arbeit auftreten können. Sicherheitsbewusstsein und praktische Fähigkeiten müssen im Softwareentwicklungsprozess ein unverzichtbarer Bestandteil sein, und es ist die Aufgabe der Sicherheitsverantwortlichen, Veränderungen auf Unternehmensebene zu beeinflussen.
‍

Bauen Sie auf der Grundlage fundierter Informationen eine erfolgreiche Sicherheitskultur in Ihrem Unternehmen auf. Schulungskurs Von Secure Code Warrior.

Vor neun Jahren habe ich mehrfach mit Freunden, Familienangehörigen, ehemaligen Kollegen und potenziellen Investoren über meine Absicht gesprochen, ein Unternehmen zu gründen. Alle haben mich unterstützt, einige wurden zu Engeln, die für unser Überleben notwendig waren, andere handelten als Stimme der Vernunft. Ich zitierte die folgenden nüchternen Statistiken: 90 % aller Start-ups scheitern letztendlich. Das bedeutet, dass eines von fünf Unternehmeninnerhalb der ersten zwei Jahre aufgeben muss.

Die bisherige Reise war nicht frei von Hindernissen, unvorhersehbaren wirtschaftlichen Rückschlägen und erheblichen Risiken. Aber mit meinem Mitbegründer Matthias und dem großartigen Team an meiner Seite bin ich zuversichtlich, dass wir jede Kurve meistern können.

Heute ist unser neunter Geburtstag. Angesichts der sich ständig rasch verändernden Lage bin ich nach wie vor sehr stolz und dankbar für unsere Erfolge und unsere anhaltende Position im Bereich der Cybersicherheit.

‍

Neue Kunden, neue Chancen

In diesem wirtschaftlichen Umfeld ist es nicht einfach, zu wachsen. Dennoch suchen wir weiterhin nach Möglichkeiten, unsere Geschwindigkeit und Effizienz zu verbessern und unseren wachsenden Kundenstamm mit noch mehr Wert zu versorgen. Im Jahr 2023 konnten wir zahlreiche Tier-1-Unternehmen zu unserer Kundenliste hinzufügen, aber der wahre Erfolg bestand darin, dass wir ihre Bereitschaft sahen, neue Ansätze für die Entwicklung von Sicherheitssoftware auszuprobieren. Und das sogar in Legacy-Umgebungen, in denen die Einführung noch viel schwieriger sein kann.

Diese Branchenriesen können eine wichtige Rolle bei der Vorantreibung des Wandels spielen. Wenn Sie Veränderungen im Bereich der Sicherheitsergebnisse beobachten möchten, sollten Sie dies unbedingt beachten.

Und im Jahr 2023 haben wir uns über folgende Tatsache gefreut:

>> Das jährliche Devlimpic Global Secure Coding Tournament ist um 100 % gewachsen. Merken Sie sich das Datum vor und registrieren Sie sich für Ihre Interessengebiete für das Turnier 2024, das am 15. Oktober beginnt!

>> Über 400.000 Entwickler nutzen die Secure Code Warrior-Lernplattform.

>> Eine Analyse der Daten von 30 % der Nutzer (ca. 75.000 Personen) ergab, dass Entwickler, die Secure Code Warrior nutzen, um sichere Codierungstechniken zu erlernen und anzuwenden, 53 % weniger Schwachstellen in ihre Organisation einschleusen als ihre Kollegen. Das ist großartig!

KI dominiert zwar die Schlagzeilen und den Vorstand, aber wir sind bereit.

Im vergangenen Jahr war der Hype um KI, maschinelles Lernen und Large Language Model (LLM)-Technologien unvermeidlich, und innerhalb von nur 12 Monaten begann die Flut von KI-Coding- und Sicherheitstools die Art und Weise zu verändern, wie viele Entwickler Code schreiben.

Die neuen Technologien, die den Zeitgeist einfangen und eine breite Akzeptanz erfordern, sind erstaunlich leistungsstark, und KI-gestützte Codierungswerkzeuge werden auch in Zukunft bestehen bleiben. Aber wie bisher hat die Diskussion über diese Technologien letztendlich die Kluft zwischen der Entwicklung von Sicherheitssoftware und der Effizienz vergrößert. Angesichts der Notwendigkeit für Unternehmen, ein Gleichgewicht zwischen Geschwindigkeit, Situationsbewusstsein und Schwachstellenerkennung zu finden, ist die Nachfrage nach Entwicklern mit Sicherheitskenntnissen größer denn je. Im letzteren Fall ist es am besten, wenn erfahrene Mitarbeiter die Aufsicht übernehmen. In gewisser Weise ist dies die Zukunft des Pair Programming, wobei die Tools selbst neue und einzigartige Horizonte in der Softwareentwicklung eröffnen.

Sie können die interaktive Herausforderung spielen. Erleben Sie selbst, wie sich KI-/LLM-Tools auf die Sicherheit auswirken, und verpassen Sie nicht die enorme Chance, sich schon bald auf die Verbesserung der Sicherheitstechnologien für Entwickler zu konzentrieren. Außerdem sind wir bereit, mit Unternehmen zusammenzuarbeiten, die Sicherheit an erste Stelle setzen und gleichzeitig Geschwindigkeit und Effizienz anstreben.

Gemeinsam mit Cybersicherheitsführern positive Sicherheitsergebnisse für Entwickler erzielen

Seit neun Jahren stellen wir Softwareentwickler in den Mittelpunkt unseres Sicherheitsprogramms, und das Jahr 2024, in dem wir unser zehnjähriges Jubiläum in diesem Bereich feiern, wird ein historisch innovatives Jahr werden.

Unsere Produkt-Roadmap steckt voller wirklich erstaunlicher neuer Funktionen, die wir gerne mit Ihnen teilen möchten. Wir wissen, dass Sie besonders daran interessiert sind, wie wir Ihnen helfen können, damit Ihre Sicherheitsbeauftragten die Entwicklungsziele erreichen können.

Vielen Dank, dass Sie uns weiterhin begleiten und mit uns gemeinsam den Weg gehen.

Agiles Lernen für SDLC-Sicherheitscodes trägt Früchte

Dieser Beitrag ist der dritte Teil einer dreiteiligen Blogserie, in der die Eigenschaften und Vorteile einer agilen Lernplattform für Sicherheitscodes erläutert werden. In Teil 1 wurden das Konzept des agilen Lernens und die Umsetzung einiger agiler Prinzipien durch die Plattform Secure Code Warrior vorgestellt. In Teil 2 wurde untersucht, wie eine agile Lernplattform herkömmliche, auf Compliance ausgerichtete Sicherheitsschulungen ersetzen kann.

Die agile Lernplattform bietet Lernenden eine Lernerfahrung, bei der sie neue Fähigkeiten durch praxisnahe Schulungen, die als Teil ihrer täglichen Arbeit wirklich integriert sind, effektiver verinnerlichen und anwenden können. Dieser Lernansatz, den SCW bei Entwicklern anwendet, die sichere Codierungstechniken erlernen, unterscheidet SCW von herkömmlichen Lernmethoden und hebt uns von anderen Anbietern ab.Im dritten und letzten Blogbeitrag dieser Reihe erfahren Sie, welchen ROI Unternehmen von einer agilen Lernplattform für sicheres Codieren erwarten können und wie Sie die Zahlen Ihres Unternehmens modellieren können.

Auswirkungen auf das Geschäft

Unternehmen, die einen agilen Ansatz zum Erlernen von Sicherheitscodes verfolgen, können in zwei Bereichen eine zwei- bis dreifache Steigerung ihrer Geschäftsergebnisse erzielen: schnellere Behebung von Schwachstellen und Vermeidung von Nachbesserungskosten. 

‍

‍

Je früher Schwachstellen im SDLC behoben werden, desto geringer sind die durch die Schwachstellen verursachten Schäden und die Kosten für deren Behebung. Laut Jim Routh, Sicherheitsexperte und ehemaliger Chief Security Officer bei Aetna sowie CISO bei MassMutual, steigen die Kosten pro Fehler auf über 14.000 US-Dollar, wenn die SDLC-Phasen im Wartungsmodus nach der Freigabe der Software für die Produktion durchgeführt werden.Wenn die Fehler während des Testens behoben werden, können die Kosten um die Hälfte reduziert werden, und wenn sie in der Codierungsphase behoben werden, können die Kosten um das 14-fache gesenkt werden.

‍

‍

Je besser Entwickler in der Lage sind, Schwachstellen schneller zu beheben oder vollständig zu verhindern, desto geringer sind die Kosten und Risiken, die Unternehmen mit ihren Softwareprodukten und internen Anwendungen eingehen müssen. Unternehmen, die in die Prävention von Schwachstellen und die Softwarequalität investieren möchten, bieten ihren Entwicklern eine agile Lernplattform, die ihnen flexible Erfahrungen und verschiedene Lernpfade bietet, die speziell darauf ausgelegt sind, unmittelbare Auswirkungen auf das Geschäft zu erzielen.

‍

Forschungsquelle NIST Die zur Behebung von Schwachstellen erforderliche Zeit variiert, aber die Schätzungen in der folgenden Tabelle wurden in realen Szenarien mit Großkunden bestätigt.

‍

‍

SCW-Kunden haben festgestellt, dass Entwickler nach der Einführung neuer Sicherheitscodierungstechnologien Schwachstellen um bis zu 50 bis 60 % schneller beheben und 50 % weniger hochriskante Schwachstellen im Produktionscode erzeugen. Die Erfahrungen der einzelnen Unternehmen variieren, aber diese Ergebnisse wurden in einem großen Unternehmen mit mehr als 5.000 Entwicklern beobachtet. Die gesteigerte Produktivität der Entwickler wirkte sich positiv auf den Gewinn aus.

Betriebskosten senken: Schwachstellen schneller beheben

Um die finanziellen Auswirkungen eines sichereren Softwareentwicklungsprozesses zu verstehen und zu erkennen, wie Investitionen in agile Lernplattformen Entwicklern helfen, Schwachstellen schneller zu beheben, verwenden Sie das unten stehende Modell und ersetzen Sie die blau markierten Variablen durch Ihre eigenen Werte.

 Baseline:

‍

Voraussichtliche Vorteile einer agilen Lernplattform auf Basis von MTTR (durchschnittliche Verbesserungszeit)

‍

Präventionswert: Vermeidung von Nacharbeitskosten

Die agile Lernplattform hilft Entwicklern, von Anfang an sicheren Code zu schreiben. Nachstehend finden Sie ein Modell zur Ermittlung dieser finanziellen Auswirkungen.

‍

Der agile Lernansatz macht den Unterschied.

Die agile Lernplattform von SCW für Sicherheitscodes ist anderen Methoden zur Sicherheitsschulung für Entwickler überlegen. SCW-Kunden haben hervorragende Ergebnisse erzielt, die natürlich von den individuellen Kosten und Schwachstellenindikatoren der jeweiligen Situation abhängen können. Ein großes Finanzdienstleistungsunternehmen, Investnet, stellte fest, dass Entwickler, die eine SCW-Schulung absolviert hatten, 2,7-mal mehr Schwachstellen behoben hatten als ihre Kollegen. Außerdem steigerte eine Gruppe von 1.200 Entwicklern, die eine SCW-Schulung absolviert hatten, die Lösungsrate für ausstehende Probleme um 120 %.

Wie bei allen Investitionen in Geschäftslösungen ist es wichtig, die individuelle Situation zu bewerten. Unser Team kann gemeinsam mit Ihrem Unternehmen die aktuelle Lage bewerten und einen maßgeschneiderten Business Case entwickeln. Wenn Sie die Auswirkungen selbst bewerten möchten, können Sie das in diesem Blog beschriebene Modell verwenden, um Folgendes zu untersuchen: In einem kürzlich mit Sage durchgeführten Kunden-Webinarberichtet ein in Großbritannienansässiges, 2 Milliarden Dollar schweres Unternehmen für Buchhaltungs- und ERP-Software, dass es im Rahmen eines umfassenden Programms zum Aufbau einer Sicherheitskultur die MTTR für Schwachstellen um 82 % reduzieren konnte.

Einführung in Secure Code Warrior

Secure Code Warrior bietet Entwicklern die Möglichkeit, sichere Codes zu schreiben. Unsere Lernplattform ist die effektivste Lösung für sicheres Codieren, da sie agile Lernmethoden einsetzt, mit denen Entwickler die Prinzipien der Softwaresicherheit erlernen, anwenden und aufrechterhalten können. Über 600 Unternehmen vertrauen auf Secure Code Warrior, um agile Lernprogramme für Sicherheit zu implementieren und schnelle Bereitstellung sicherer Software und Schaffung einer entwicklerorientierten Sicherheitskultur. Sind Sie bereit, mehr zu erfahren? Fordern Sie eine Demo an.

Zeit ist Geld. Aber warum verschwenden wir dann Zeit?

Engineering Manager – Jetzt ist es an der Zeit, dass dies Realität wird. Wie viel Zeit verbringen Entwickler mit dem Programmieren? Nein, wir wollen nicht, dass Sie glauben, dass Entwickler den ganzen Tag in ihren Pyjamas herumliegen, Chips essen und Netflix schauen. Aber fragen Sie sich stattdessen: Wie viele Stunden pro Tag verbringt Ihr Team Ihrer Meinung nach mit sinnvollen Aufgaben?

Betrachten wir nun die Zeit, die Entwickler pro Woche für das Codieren aufwenden. Wie viel davon wird für die Überarbeitung von Legacy-Code, das Auffinden und Beheben von Fehlern und die Lösung technischer Probleme verwendet? Wahrscheinlich eine ganze Menge.

Wir kennen dieses Gefühl. Entwickler sind heute oft frustriert, weil sie keine Fortschritte erzielen können, wenn sie mit unüberwindbaren Schwierigkeiten und Lücken im Softwareentwicklungszyklus konfrontiert sind.

• Im Durchschnitt überarbeitet ein Softwareentwicklungsteam vor der Veröffentlichung etwa 26 % des Codes.
• Entwickler verbringen durchschnittlich 13,5 Stunden pro Woche nur mit technischen Schulden. Das bedeutet, dass sie jährlich mehr als 700 Stunden damit verbringen, Fehler aus der Vergangenheit zu beheben.
• Entwickler verbringen wöchentlich vier Stunden mit der Arbeit an „schlechtem Code”. Dies entspricht einem Opportunitätskostenverlust von 85 Milliarden Dollar pro Jahr.
• 41 % der Entwickler gaben an, dass Funktionalität und Sicherheit in ihrem Unternehmen gleichermaßen wichtig sind.
• 63 % der Entwickler sind der Meinung, dass es sehr schwierig ist, Sicherheitscode ohne Schwachstellen zu schreiben.

Quelle: Stripe Report, Entwickler-Koeffizient; Umfrage zur Entwickler-gesteuerten Sicherheit 2022

Denken Sie an die letzte Überprüfung des Codes durch das AppSec-Team zurück, bei der dieser als unsicher eingestuft wurde. Überlegen Sie, wie viele Schwierigkeiten das Team hatte, diese Schwachstelle zu beheben. Es musste wahrscheinlich mehr Zeit investieren, um eine praktikable Lösung für das Problem zu finden, und zusätzlich Zeit aufwenden, um herauszufinden, was genau das Problem verursacht hatte, bevor es behoben werden konnte.

Quelle: Stripe Report, Entwickler-Koeffizient

Diese endlosen Unterbrechungen und Nacharbeiten sind nicht nur destruktiv, sondern verringern auch die Produktivität und senken die Arbeitsmoral.

Es gibt eine bessere Möglichkeit, sicher zu programmieren und Prozesszeit zu sparen.

Wir alle wünschen uns, mehr Zeit für die Erledigung unserer täglichen Aufgaben zu haben. Aber manchmal müssen wir nicht nur hart mit der uns zur Verfügung stehenden Zeit arbeiten, sondern auch nach Möglichkeiten suchen, intelligenter zu arbeiten.

Anstatt Zeit damit zu verschwenden, Code, der möglicherweise nicht einmal Ihrer ist, nach Fehlern oder Schwachstellen zu durchsuchen, wäre es nicht einfacher, den Code von Anfang an besser zu schreiben?

Die heutige Technologie steht vor einer Herausforderung, da Ingenieursmanager versuchen, Kosten auf jede erdenkliche Weise zu senken. Softwarelizenzen, variable Kosten und sogar Gehälter bereiten Schwierigkeiten. Aber was wäre, wenn das nicht nötig wäre? Die Ineffizienz des Softwareentwicklungsprozesses ist schwer zu quantifizieren, aber letztendlich kostspielig und schwer zu beheben.

Durch entwicklerzentrierte Sicherheit können Entwickler in jeder Phase des Prozesses die Verantwortung für die Sicherheit übernehmen und so die Effizienz und Produktivität innerhalb des SDLC steigern.

Die Reduzierung des Zeitaufwands für die Überarbeitung anfälliger Codes ist nicht nur eine Möglichkeit zur Kosteneinsparung, sondern auch eine Chance für die betreffende Abteilung, diese Zeit anderweitig zu nutzen. Die eingesparte Zeit kann für die Entwicklung innovativer neuer Funktionen oder für sinnvolle Verbesserungen der Anwendung genutzt werden. Entwickler, die zuvor aufgrund mangelnder Fortschritte frustriert waren, werden durch diese Möglichkeit, einen Mehrwert zu schaffen, motiviert.

Entwickler sind der Meinung, dass Arbeitsüberlastung, Code-Verwerfung aufgrund von Prioritätsänderungen oder Zeitverschwendung sowie unzureichende Zeit für die Korrektur von Code mit geringer Qualität die größten negativen Auswirkungen auf die Arbeitslast haben. Hinzu kommen mangelndes Wissen und Patchwork-Lösungen zur Behebung von Schwachstellen, was zu noch mehr Zeitverschwendung und sprunghaft steigenden Kosten führt.

Quelle: Umfrage zur aktuellen Sicherheitslage unter Entwicklern 2022

Technologien entwickeln sich sehr schnell weiter, daher ist es wichtig, Entwicklern Tools zur Verfügung zu stellen, mit denen sie Schritt halten können, ohne zurückzufallen. Wenn Entwickler von Anfang an das Wissen erhalten, um sicher zu programmieren und Schwachstellen schnell zu beheben, kann das Team langfristig davon profitieren, wenn es darum geht, Probleme wie Code-Überarbeitungen und technische Schulden zu lösen.

Unternehmen müssen schneller agieren, ihre Flexibilität bewahren und neue Trends nutzen zu können, müssen die vorhandenen Entwickler besser mobilisiert werden. Die Motivation der Entwickler, sich stärker auf die Sicherheit zu konzentrieren, sollte sich nicht nur auf Kosten und Ergebnisse beschränken. Die Stärkung und Integration der Sicherheit in allen Phasen des SDLC ist nicht nur im Interesse des Teams, sondern auch im beruflichen Interesse der einzelnen Entwickler. Entwickler, die über die Fähigkeiten zum sicheren Codieren verfügen, werden in den kommenden Jahren hoch geschätzt werden. Denn sicheres Programmieren reduziert die Anzahl der Probleme, die in Zukunft gelöst werden müssen.

Links zu beginnen bedeutet nicht nur, schnell voranzukommen, sondern auch, dass Entwickler ohne Geschwindigkeitsverlust Verantwortung für die Sicherheit übernehmen können. Wenn Entwickler mit Sicherheitskenntnissen richtig eingesetzt werden, können sie Schwachstellen reduzieren, die zu Nacharbeiten führen, ohne die Innovation zu behindern. Außerdem können sie die Geschwindigkeit der Softwareveröffentlichung aufrechterhalten, die Codequalität sicherstellen und so die Produktivität steigern.

Intelligenteres, schnelleres und sichereres Codieren

Secure Code Warrior fördert eine sicherheitsorientierte Entwicklerkultur, indem es Technologien für sicheres Codieren bereitstellt. Unsere zentrale Lernplattform bietet relevante technologiebasierte Lernpfade, praktische Aufgaben und kontextbezogene Tools, mit denen Entwickler die für das schnelle Schreiben sicherer Codes erforderlichen Fähigkeiten erlernen, aufbauen und anwenden können.

Ob Absolvent oder Veteran, es gibt Fragen, die sich jeder Entwickler stellen muss. Und die Antworten darauf sind wichtig. In einer agilen Welt gewinnt dies zunehmend an Bedeutung, da es einen direkten Einfluss darauf hat, wie erfolgreich man in der Softwareentwicklung sein kann und wie wertvoll man für den nächsten Arbeitgeber sein wird.

Das ist eine Millionen-Dollar-Frage. Eigentlich ist es sogar eine Millionen-Dollar-Frage!

Haben Sie versprochen, mir zu helfen, damit ich sicher programmieren kann?

Die durchschnittlichen Kosten aufgrund von Datenverletzungen belaufen sich derzeit auf 3,6 Millionen Dollar. Die Wahrscheinlichkeit, dass ein Unternehmen in diesem Jahr Opfer einer Datenverletzung wird, liegt bei einem Viertel. Angesichts dieser Tatsachen äußern viele Menschen Unzufriedenheit darüber, dass Entwickler ihr Studium nicht mit Sicherheitscodierung und Sicherheitskompetenzen in ihrer DNA abschließen.

Warum? Softwareentwicklung ist noch ein relativ junger Beruf. Der Schwerpunkt lag darauf, Menschen beizubringen, wie man schnell Code schreibt und ihn elegant und funktional gestaltet, aber es wurde kaum Wert auf die Sicherheit des Codes gelegt. Die Geschwindigkeit, mit der sich Methoden, Technologien, Sprachen und Möglichkeiten ändern, verschärft diese erhebliche technologische Lücke nur noch weiter.

Wir werden das Bildungssystem nicht schnell ändern, daher müssen sowohl Entwickler als auch Unternehmen davon ausgehen, dass Entwickler die Fähigkeiten des sicheren Programmierens am Arbeitsplatz erlernen müssen. In manchen Berufen kann man aus Fehlern lernen, in anderen ist dies jedoch nicht möglich. Das Gleiche gilt für die Cybersicherheit.

Es ist offensichtlich, dass auch die Sicherheitsschulungen für Entwickler in der Praxis nicht ordnungsgemäß durchgeführt wurden. Die meisten schwerwiegenden Sicherheitsverletzungen weltweit sind auf Programmierfehler zurückzuführen, die es Hackern ermöglichen, sich Zugriff auf Computernetzwerke zu verschaffen und wertvolle Daten abzurufen und zu sammeln. Laut dem Verizon Data Breach Investigation Report (DBIR) 2017sind 30 % aller Sicherheitsverletzungen direkt auf Schwachstellen in der Sicherheit von Webanwendungen zurückzuführen. Diese Schlussfolgerung gilt seit 2013 auch für die DBIR-Berichte.

Die globale DevOps-Kompetenzumfrage 2017 Dieser im August 2017 veröffentlichte Bericht bestätigte, was wir bereits wussten. 65 % der DevOps-Experten halten es für sehr wichtig, bei Einstieg in die IT über Kenntnisse im Bereich DevOps zu verfügen, während 70 % der Meinung sind, dass sie nicht die erforderliche Ausbildung durch reguläre Schulungen erhalten, um in der heutigen DevOps-Welt erfolgreich zu sein.

Fast 40 % der an der Umfrage teilnehmenden Personalverantwortlichen gaben an, dass es am schwierigsten sei, vielseitige, hochqualifizierte Entwickler zu finden, die über ausreichende Kenntnisse im Bereich Sicherheitstests verfügen. 70 % der Befragten gaben an, dass die Sicherheitsschulungen, die sie erhalten haben, für ihre derzeitige Position nicht geeignet sind. Tatsächlich gaben weniger als 4 % an, dass ihnen überhaupt keine Möglichkeiten geboten wurden.

Ich habe fast zehn Jahre lang mit verschiedenen Teams aus professionellen White-Hat-Hackern zusammengearbeitet und diese Tatsache mit eigenen Augen gesehen. In dieser tragischen Zeit haben wir uns Zugang zu großen Unternehmen, Start-ups und Regierungsbehörden verschafft und immer wieder dieselben Schwachstellen entdeckt.

Genau aus diesem Grund sollten Entwickler bei ihrer Einstellung ihre Stimme erheben. Wenn ein potenzieller Arbeitgeber die Sicherheitsschulung für Entwickler nicht ernst nimmt, sollten Sie sich überlegen, bei welchem Unternehmen Sie sich bewerben möchten.

Die zweite Frage, die Sie stellen sollten, ist, wie die Lieferung geplant ist. Kann man sie selbst erleben und interaktiv durchführen? Animationen, Videos oder abstrakte Diskussionen über Schwachstellen, die mit anklickbaren Animationen oder abstrakten Diskussionen vermittelt werden, sind möglicherweise keine direkte Hilfe für die Programmierung. anklickbaren Animationen oder abstrakten Diskussionen über Schwachstellen kann es sein, dass die Entwicklersicherheitsschulung nicht direkt beim Programmieren hilft. Bekommst du regelmäßig die neuesten Infos zu aktuellen Schwachstellen? Gibt es eine Sicherheitsgilde oder Community, wo du lernen kannst? Gibt es Sicherheitsexperten, die dir helfen können, wenn du Hilfe brauchst?

Um sichere Codierungstechniken zu erlernen, muss man kontinuierlich anhand von praktischen Übungen in bestimmten Codierungsframeworks lernen und sich mit verschiedenen Schwachstellen in unterschiedlichen Szenarien auseinandersetzen. Ein Beispiel: Man kann nicht nur anhand eines einzigen Beispiels etwas über SQL-Injection lernen. Um diese gefährlichen Codierungsmuster zu erkennen, muss man sich mehrfach mit verschiedenen Arten von Beispielen auseinandersetzen.

Ein Kunde forderte die Entwickler auf, zwei Monate lang täglich eine einzige Herausforderung (5 Minuten) zu spielen.Vor und nach der Schulung wurden die Fähigkeiten getestet, und es wurde festgestellt, dass sich die Fähigkeiten im Bereich sicheres Codieren bei einer Gruppe von mehreren hundert Entwicklern um 60 % verbessert hatten. Das bedeutet, dass weniger Ressourcen für die Suche und Behebung von Sicherheitsfehlern in der späten Lebensphase eines Produkts aufgewendet werden müssen, was langfristig zu erheblichen Kosteneinsparungen führt. Das bedeutet, dass Hacker den Code nicht dazu nutzen können, um Unternehmensdaten zu beschädigen.

Laut einer IDC-Studie gab es 2014 weltweit 11 Millionen professionelle Entwickler. 2015 stellte Burning Glass fest, dass es 7 Millionen Berufe gibt, die Programmierkenntnisse erfordern, und dass der Markt für Programmierer um durchschnittlich 12 % schneller wächst als der Gesamtmarkt.

Es gibt viele Berufe im Bereich Software. Wählen Sie daher einen Arbeitgeber, der seine Position beibehält und sein Bestes tut, um für Ihre Sicherheit, die Sicherheit des Unternehmens und die Sicherheit der Kunden zu sorgen. Wählen Sie darüber hinaus ein Unternehmen, das in Sie investiert.

Ob Absolvent oder Veteran, es gibt Fragen, die sich jeder Entwickler stellen muss. Und die Antworten darauf sind wichtig. In einer agilen Welt gewinnt dies zunehmend an Bedeutung, da es einen direkten Einfluss darauf hat, wie erfolgreich man in der Softwareentwicklung sein kann und wie wertvoll man für den nächsten Arbeitgeber sein wird.

Das ist eine Millionen-Dollar-Frage. Eigentlich ist es sogar eine Millionen-Dollar-Frage!

Haben Sie versprochen, mir zu helfen, damit ich sicher programmieren kann?

Der Meister des armseligen Codes

Dank technologischer Fortschritte können Entwickler Code schneller als je zuvor veröffentlichen. Das mag für Innovationen interessant sein, kann jedoch eine Herausforderung für die Qualität und Sicherheit der Software darstellen. Die Kosten für zusätzliche Tools, Schulungsprogramme und die Verbesserung der Entwicklerfähigkeiten zu rechtfertigen, mag angesichts der Geschwindigkeit der Codeveröffentlichung wie ein „nice to have“ erscheinen, kann jedoch als wichtige Geschäftsfunktion angesehen werden.

Schnellere Liefercodes mögen einfacher geworden sein, aber leider gilt das nicht für sichere Codes. Unternehmen sind heute mehr denn je Bedrohungen ausgesetzt. Die Kosten durch Cyberkriminalität sind weltweit enorm und steigen rapide an.Tatsächlich beliefen sich die Kosten durch Cyberkriminalität im Jahr 2020 auf etwa 1 Billion US-Dollar. Im Durchschnitt belaufen sich die Kosten durch Datenverletzungen auf 4,35 Millionen US-Dollar, die sich über die Kosten für den Verlust bestehender und potenzieller Kunden sowie die Ressourcen für die Erkennung, Eskalation und Nachbearbeitung verteilen.

Trotz dieser astronomischen Kosten verlangt mehr als die Hälfte der Unternehmen von ihren Entwicklern keine jährliche formelle Schulung zum Thema Sicherheitscode.

Sicherheitsexperten wissen, dass das Aufspüren und Beheben von Schwachstellen sich manchmal wie ein Katz-und-Maus-Spiel anfühlen kann. Selbst wenn Sie bereits über ein Sicherheitsprogramm mit Korrekturstrategien verfügen, gibt es immer Raum für Verbesserungen. Die meisten Unternehmen stellen beim Testen ihrer Disaster-Recovery- oder Backup-Funktionen fest, dass ihr Sicherheitsansatz nicht so robust ist, wie sie gedacht hatten.Wenn die Stärkung der Widerstandsfähigkeit Ihres Unternehmens gegenüber Cyberangriffen eine Ihrer obersten Prioritäten ist, sollten Sie die Verantwortung für die kontinuierliche Verbesserung Ihrer Sicherheitsvorkehrungen an Ihre Entwickler übertragen. Ein Team aus erfahrenen und kompetenten Entwicklern, die über ausreichende Kenntnisse verfügen, um von Anfang an sicheren Code zu schreiben und Schwachstellen schnell zu finden und zu beheben, ist die kostengünstigste Methode zur Risikominderung.

Ein häufiges Missverständnis in Bezug auf Entwicklerschulungen ist, dass es sich dabei lediglich um Geschäftskosten oder Kosten für Versicherungspolicen handelt. Klaus Klinger, DevSecAware-Evangelist bei Allianz, sagt dazu: „Alles muss bei der Geschäftsleitung beginnen. Die Investition in Entwicklerschulungen ist kein Verlust, sondern eine Investition in Qualität, Produktivität und den Ruf des Unternehmens.“

In diesem Bereich ist es oft schwierig, den ROI zu quantifizieren, aber letztendlich muss das Unternehmen berücksichtigen, wie die Sicherheitsmaßnahmen dazu beitragen, Risiken zu reduzieren, den Ansatz zu vereinfachen und Zeit und Produktivität des Entwicklerteams zu sparen.

Wie lässt sich der ROI von Cybersicherheitskosten quantifizieren?

In Bezug auf den ROI ist es wichtig, zwei Rahmenbedingungen zu berücksichtigen: Kosteneinsparungen durch Risikominderung und die Auswirkungen von Sicherheitsschulungen.

Betrachten wir ein sehr häufiges Beispiel. Aufgrund einer Schwachstelle oder einer Sicherheitsverletzung muss eine E-Commerce-Website für mehrere Tage offline genommen werden, während das Team nach dem Problem und einer Lösung sucht. Die Kosten, die durch das Scheitern der Problemlösung entstehen, lassen sich quantifizieren als Umsatzverluste aufgrund des Betriebsausfalls, Auswirkungen durch den Diebstahl von Zugangsdaten, Verlust des Kundenvertrauens (was zu langfristigen Umsatzrückgängen führt) und allgemeine Produktivitätsverluste aufgrund der Problemlösung.

Dies lässt sich letztlich auf eine Kosten-Nutzen-Analyse zurückführen. Die wichtigsten zu bewertenden Bereiche sind der Reifegrad der Unternehmenssicherheit, die Risikobereitschaft des Unternehmens und die Bereiche des Codes, die gewartet oder verbessert werden müssen.

Menschen konzentrieren sich oft auf falsche Indikatoren, um Erfolg und Wert zu bestimmen. Vielleicht sollten wir uns weniger um die anfängliche Kapitalrendite eines Programms kümmern und stattdessen Folgendes messen: die Wirkung des Programms selbst.

Maßnahmen zum Nachweis der Auswirkungen

Um den ROI zu ermitteln, müssen messbare Ziele festgelegt werden. Dies beginnt mit der Bewertung der Kenntnisse der Entwickler im Bereich sicheres Codieren und dem Verständnis, in welchen Bereichen die Entwickler ihre Fähigkeiten verbessern müssen.

Der Ausgangspunkt ist die Messung der Beteiligung, um strategische Entscheidungen darüber zu treffen, wie ein reichhaltigeres Schulungsprogramm aufgebaut werden kann. Das Wichtigste ist die Messung der Wirksamkeit. Beginnen Sie zunächst damit, die Anzahl der Schwachstellen, die im Softwareentwicklungszyklus gefunden werden, durch Code-Analyse, Bug-Bounty-Programme oder bestehende Schwachstellentests zu ermitteln, bevor Sie das Programm in den einzelnen Teams starten.Eine der einfachsten Methoden, um festzustellen, ob das Schulungsprogramm die gewünschten Ergebnisse erzielt, ist die Messung des allgemeinen Rückgangs der Schwachstellen, die in die Codebasis gelangen.

‍

Wichtige Fragen für die ROI-Bewertung:‍

1. Vereinfachen Sie den Zugangsweg?

Verwenden Sie mehr Tools für das Problemoder beheben Sie die Ursache des Problems? Durch Hinzufügen weiterer Tools zu Ihrem Technologie-Stack können Sie einen „Schweizer Käse“-Ansatz entwickeln, bei dem Schwachstellen gefunden und behoben werden. Außerdem steigen die Betriebskosten, ohne dass dies nennenswerte Auswirkungen auf den Code hat, der die Ursache vieler Schwachstellen ist. Scan- und Penetrationstest-Tools sollten unbedingt zu Ihrem Arsenal gehören, aber sie sollten nicht Ihre letzte Verteidigungslinie sein.

2. Werden Effizienz und Produktivität verbessert?

Die Zeit, die für die gründliche Überprüfung und Überarbeitung des von AppSec übermittelten Codes aufgewendet wird, kann die Produktivität erheblich beeinträchtigen. Durch die Erteilung von Berechtigungen und die Unterstützung des Entwicklerteams, damit dieses selbstständig üben kann, lassen sich Notfallmaßnahmen reduzieren. Die Schulung zum Thema Sicherheitscode sollte als guter Maßstab für die Bewertung der positiven Auswirkungen des Sicherheitsprogramms dienen.‍

3. Reduzieren Sie das Risiko?

Das Aufspüren und Beheben von Schwachstellen kann mit dem Lösen eines riesigen Puzzles vergleichbar sein. Manchmal kann es Tage, Wochen oder Monate dauern, bis eine leistungsstarke Lösung gefunden ist. AppSec ermöglicht es Entwicklern, Korrekturmaßnahmen direkt an der Quelle zu ergreifen, sodass sie sich auf die Risikoüberwachung und die Stärkung der Sicherheitslage des Unternehmens konzentrieren können.

4. Ist die Geschwindigkeit erhöht, aber die Qualität bleibt erhalten?

Schnelle Liefercodes sind nicht immer gut. Wenn Probleme behoben werden und Schwachstellen in den Code eingebaut werden, kann dies in Zukunft zu vielen Schwierigkeiten führen und technische Schulden anhäufen. Hier ist kurzfristiges Denken nicht die Lösung. Durch den Schutz des Codes von Anfang an können Risiken gemindert werden, indem verhindert wird, dass sich Probleme später verschlimmern.
‍

Empfohlene Indikatoren zur Nachverfolgung:

• Teilnahme – Wie viel Zeit wird für die Schulung eingeplant und wie hoch ist die Beteiligung der Entwickler? Nehmen sie an Schulungen teil, werden sie bewertet und nehmen sie an Turnieren teil?
• Technologie – Wo liegen Ihre Stärken? In welchen Bereichen sehen Sie Verbesserungsbedarf?
• Reduzierung der Schwachstellen – Haben Sie während der Codeüberprüfung eine deutliche Verringerung der Schwachstellen festgestellt? Gibt es weniger Nacharbeiten im Bereich AppSec?
• Produktivität – Wie lange dauert es, Probleme zu lösen? Haben Sie jemals beobachtet, dass sich die Produktivität oder Geschwindigkeit durch die Reduzierung von Schwachstellen verbessert hat?

Nach links bewegen und Wert schaffen

Sicherheitsverletzungen und Schwachstellen nehmen jedes Jahr rapide zu. Es ist wichtig, zunächst mit dem Code zu beginnen und vorab einen ganzheitlichen Ansatz für die Sicherheit zu entwickeln. Dadurch lassen sich folgende Vorteile erzielen:

• Anstatt Geld in Tools zu investieren, die nur einen Teil des Problems lösen, reduzieren Sie die Komplexität, indem Sie in die wichtigste Ressource investieren: Ihre Mitarbeiter.
• AppSec에서 일반적으로 식별할 수 있는 재작업이나 수정을 제한하여 효율성과 전반적인 효과를 개선합니다. 후 코드가 배포되었습니다
• Durch die Minderung von Risiken und die Einhaltung von Vorschriften können Sie hohe Geldstrafen, den Verlust des Kundenvertrauens oder im schlimmsten Fall Kosten aufgrund von Datenverletzungen vermeiden.

Vermeiden Sie kurzfristiges Denken und schnelle Korrekturen. Dies führt nicht nur zu technischen Schulden, sondern kann auch zu höheren Kosten in der Zukunft führen. Nutzen Sie die Kraft der technologischen Weiterentwicklung, um langfristige Pläne zu erstellen, damit Entwickler die beste Verteidigungslinie gegen Schwachstellen und Cyberkriminalität bilden können. Überprüfen Sie selbst die Auswirkungen und Kosteneinsparungen.

‍

Angesichts der zunehmenden Datenverletzungen und der damit verbundenen Kosten ist die Menge an Code, die weltweit generiert wird, für Sicherheitsexperten allein nicht mehr zu bewältigen. Unternehmen benötigen Entwickler mit Kenntnissen im Bereich sicheres Codieren. Entwickler wissen, dass sie Sicherheitscodierungstechniken benötigen, um ihre Karriere voranzutreiben. Die derzeitigen Schulungen zum Thema Sicherheitscodierung enttäuschen sie jedoch. Was wünschen sich Entwickler also in Bezug auf Schulungen zum Thema Sicherheitscodierung? Um diese Frage zu beantworten, werfen wir einen Blick auf einige Erkenntnisse aus einer aktuellen Studie von Secure Code Warrior in Zusammenarbeit mit Evans Data Corp* zur Einstellung von Entwicklern gegenüber Sicherheitscodierung, Sicherheitscodierungspraktiken und Sicherheitsmaßnahmen. (Whitepaper herunterladen Hier).

Die Antwort auf die Frage, welche Art von Schulung Entwickler wünschen, ist ganz klar. 75 % der Entwickler bevorzugen systematische Praxisschulungen als effektivste und zufriedenstellendste Lernmethode. Und in Bezug auf die Inhalte, die in die Schulung aufgenommen werden sollten, stellen die Entwickler einige sehr klare und konkrete Fragen.

• 65 % gaben an, dass Schulungen zu sprachspezifischen Schwachstellen erforderlich sind.
• 65 % wünschen sich mehr Schulungen zu den OWASP-Top-10-Sicherheitsrisiken.
• Darüber hinaus möchten viele Kunden den Fokus auf Compliance-Sicherheitsframeworks wie NIST (58 %), CIS (52 %) und PCI DSS (50 %) legen.
• 78 % wünschen sich informelles Coaching und Mentoring durch Kollegen als Teil der Ausbildung.
  

Entwickler bevorzugen jedoch strukturierte Lehrpläne gegenüber unstrukturiertem Lernen, aber die Art und Weise, wie der Lehrplan vermittelt wird, ist entscheidend. Dies wirft natürlich eine weitere wichtige Frage auf.

Wie lernen Entwickler gerne?

Entwickler möchten nicht nur sitzen und den Ausführungen des Dozenten zuhören. Sie möchten selbst Hand anlegen. Sie möchten sich auf die praktische Anwendung konzentrieren, was in den aktuellen Schulungsprogrammen völlig zu kurz kommt. Auf die Frage, wie die vom Unternehmen angebotenen Schulungen verbessert werden könnten, gaben 30 % der Befragten an, dass sie sich Schulungen wünschen, die sich auf die praktische Anwendung konzentrieren, insbesondere auf reale Arbeitsszenarien.

Die Entwicklerausbildung erfordert einen menschenorientierten Ansatz, der einen geführten Lernpfad mit praktischen Übungen und „gamifizierten” Programmieraufgaben für verschiedene Sprachen und Frameworks umfasst. Rollenspezifische „gamifizierte” Schulungen steigern die Beteiligung der Entwickler durch konfigurierbare Lernmodule, mit denen Unternehmen bestimmte Schwachstellen gezielt angehen können.

Um zu erfahren, wie Sie Software-Sicherheit zu einem wesentlichen Bestandteil des Entwicklungsprozesses machen können, indem Sie einen systematischen, technologiebasierten Pfad mit den von Entwicklern gewünschten Schulungen bereitstellen, Demo anfordern jetzt.

„Durch interaktive Simulationen können Sie Sicherheitslücken im Code identifizieren, kritisch denken und eine oder mehrere Lösungen finden. Es hat mir wirklich Spaß gemacht, den Code aus einer neuen Perspektive zu betrachten und selbst auszuprobieren!“
‍Softwareentwickler, Finanzdienstleistungen‍

*Von der Reaktion zur Prävention: Die sich wandelnde Landschaft der Anwendungssicherheit. Secure Code Warrior und Evans Data Corporation 2020