Das Beste vom Brunch: Unsere führenden AppSec-Experten teilen ihr Wissen

Im Laufe meiner Karriere als AppSec-Experte hatte ich das Glück, einige der unglaublichsten Talente der Branche kennenzulernen und mit ihnen zu netzwerken. Alle haben ihren Beitrag zur Sicherung und Stärkung der ständig wachsenden Code-Netze der Welt geleistet. In dieser Phase meiner Reise (mit etwas mehr Wissen und viel weniger Haaren!) , ich werde oft gebeten, mit den zukünftigen Stars der Softwaresicherheit zu sprechen, und es ist ein Auftritt, den ich liebe. Ich verstehe aber auch, wie wichtig es ist, als Führungskraft und Mentor für diejenigen sichtbar zu sein, die sich behaupten und in ihre Rollen hineinwachsen wollen.

Vor Kurzem war ich in London mit einigen Sicherer Codekrieger Team, und wir veranstalteten eine Brunch-Veranstaltung mit dem Ziel, eine Handvoll AppSec-Superstars zum Networking, zu Einblicken und dem ein oder anderen Gebäck zusammenzubringen. Vor mehr als sechzig Eingeladenen gaben sie im Rahmen einer Expertenrunde ihren Erfahrungsschatz weiter und begeisterten alle für die Zukunft der Anwendungssicherheit.

Das Panel befasste sich mit wichtigen Themen wie der optimalen Nutzung des AppSec-Budgets eines Unternehmens sowie mit mehreren lockigen Fragen des Publikums und bot einen wahren Morgenzauber, der Sicherheitsmanagern, Spezialisten und ihren Entwicklern zweifellos dabei helfen wird, tragfähige Programme in ihren Organisationen zu entwickeln.

Wir hatten das Privileg, die folgenden Leiter für das Panel zu empfangen: Werkzeuge Vs. Mitarbeiter: Ist Ihr AppSec-Budget für beides angemessen?

• Vincent Gilbert, CISO, Société Générale
• C. Dric Levy-Bencheton, Geschäftsführer, Cetome
• Reena Shah, Leiterin der Abteilung Kultur und Sensibilisierung für Sicherheit und Datenschutz, M&G Prudential
• Lee Thurlow, Globaler AppSec-Direktor, Pearson
• Lewis Bramfitt, Geschäftsführer, Bramfitt-Labor.

Jeder Redner äußerte seine Gedanken zur AppSec-Tool-Landschaft (Spoiler: Angesichts der Tatsache, dass viele Unternehmen so viel Software entwickeln, kann es ein Minenfeld sein, Tools auszuwählen, die alle von Ihnen benötigten Funktionen ausführen. Schließlich kann kein einzelnes Tool alles abdecken).

Reena Shah hat auch einen interessanten Punkt angesprochen. In nur wenigen Jahren haben wir einen positiven Wandel in der Wahrnehmung von AppSec in großen Unternehmen erlebt, sodass ein entscheidendes Element allmählich Gestalt annahm — die Investition in Mitarbeiter zur Aufrechterhaltung der bewährten Sicherheitsmethoden und -kultur:

„Ich denke, es ändert sich. Als ich vor vier Jahren damit begann, war es wirklich schwierig, ein Budget und ein Team zu finden, wenn es um Sicherheitskultur und Sicherheitsbewusstsein geht. Und was ich jetzt feststelle, ist, dass das nicht mehr meine Herausforderung ist. Es fällt mir sehr leicht zu sagen: „Das ist das Budget, das ich brauche, das sind die Leute, die ich brauche, um Risiken zu reduzieren. Ich sehe eine massive Veränderung, und ich denke, das liegt daran, dass der Vorstand — und die C-Suite — verstehen, wie wichtig es ist, Finanzmittel bereitzustellen, um uns bei der Reduzierung von Sicherheitsvorfällen zu unterstützen.“ Sagte sie.

Sie können sich das gesamte Panel jetzt ansehen:

Für mich ist es unglaublich erfrischend zu sehen, dass die Zukunft von AppSec den Schwerpunkt auf der richtigen Ausbildung und dem richtigen Wissen für die Entwickler an vorderster Front legen wird, sodass sie sich solide gegen uralte Sicherheitslücken verteidigen können, die immer noch ihr hässliches Gesicht zeigen.

Tools bieten Unterstützung auf einer Ebene, aber es ist wirklich an der Zeit, dass wir uns den Fakten stellen. Wir müssen einfach aufhören, dieselben Fehler zu wiederholen.

Schließen der AppSec-Fehlerschleife

Im Rahmen des Leaders in AppSec-Brunchs hielt ich auch eine Präsentation darüber, wie wir das kostspielige, anhaltende Problem angehen können, dass dieselben Sicherheitslücken immer wieder auftauchen. Tools finden sie vielleicht, aber sie tun nicht viel, um sie zu verhindern. Entwickler müssen die richtige Schulung erhalten, um ihre Einführung von vornherein zu verhindern.

Und, naja, wir Entwickler sind ein lustiger Haufen. Einige Schulungen sind viel effektiver als andere, wenn es um Engagement und Bindung geht. Sie können meine Präsentation hier vollständig ansehen:

Ein Schwerpunkt auf Sicherheitsschulungsowie ein allgemeines Bewusstsein und eine positive Kultur zwischen Entwicklern und AppSec sind für einen Angreifer wie Kryptonit. Diese kleinen Hintertüren schließen sich, die einfachen Wege zu unseren Daten versiegen, und Sicherheits-Superhelden arbeiten zusammen, um Sicherheit zum Synonym für Softwarequalität zu machen.

Langsam, aber sicher kommen wir dahin.