„Sicherheit“ ist kein Schimpfwort: Wie ein positiver Ansatz Ihr Sicherheitsprogramm verändern wird

Ursprünglich veröffentlicht auf der DevSecCon-Blog.

Da ich auf beiden Seiten des Zauns war, weiß ich nur zu gut, welche Spannungen zwischen dem Entwicklungsteam und den AppSec-Spezialisten entstehen können, wenn es darum geht, bewährte Sicherheitsverfahren aufrechtzuerhalten.

Es ist schwierig; am Ende des Tages ist die Bereitstellung von Softwarefunktionen die Hauptpriorität eines Entwicklers. Sie müssen schön und funktionell sein und dazu beitragen, die Leistungsfähigkeit der Anwendung zur Geltung zu bringen. Da heutzutage in der Regel agile Entwicklungspraktiken im Einsatz sind, müssen diese Funktionen innerhalb strenger Fristen fertiggestellt werden... und Sicherheit steht selten ganz oben auf der Liste der Bedenken, wenn so viel anderes auf dem Spiel steht.

Sicherheit wird als Domäne des AppSec-Teams angesehen, das die wenig beneidenswerte Aufgabe hat, Code zu scannen (oder noch schlimmer: ihn manuell, Zeile für Zeile zu überprüfen) und dem Entwicklungsteam zu melden, dass sein Code unsicher oder sogar völlig unbrauchbar ist. Sie sind die Spielverderber, die ihre gute Arbeit auseinandernehmen, Innovationen zum Erliegen bringen und Entwicklern generell Kopfschmerzen bereiten. Letzten Endes lassen sich viele Sicherheitsprobleme ganz einfach lösen. „Vielleicht könnte nur eine einzige Codezeile eine anfällige Hintertür innerhalb von Minuten verstärken.

Aber hier ist das Problem. Da „Sicherheit“ so ein Synonym für eine negative Erfahrung ist, beschäftigen sich Entwickler einfach nicht so intensiv damit, wie sie sollten. Diese einzeiligen Korrekturen finden nicht statt: Schließlich stoßen die AppSec-Leute ständig auf dieselben Probleme. Es muss ziemlich verrückt für sie sein, immer noch auf SQL-Injection-Fehler hinzuweisen, mehr als zwanzig Jahre, nachdem wir sie zum ersten Mal entdeckt haben (und ihre anschließende Behebung).

Was wir bisher getan haben, funktioniert bei weitem nicht so effektiv, wie wir es uns erhofft hatten. Wir müssen uns darauf konzentrieren, die Brücke zwischen Entwicklern und AppSec-Spezialisten zu reparieren und eine positive Sicherheitskultur anzustreben, in der Entwickler die Tools und Schulungen erhalten, um in diesem Bereich wirklich etwas bewirken zu können.

Wer weiß? Vielleicht verlieben sie sich sogar in sie wie ich!

Positive Sicherheit ist der schnellste und einfachste Weg, die Anwendungssicherheit zu verbessern.

City „und nein, es geht nicht um irgendeinen Haufen um immaterielle Ergebnisse. Es ist ein absolut wichtiger Bestandteil des Erfolgsrezepts für sichere Codierung.

Entwickler haben den Schlüssel zur Verbesserung der Sicherheit von Beginn der Produktion an in der Hand, indem sie in erster Linie sicheren Code schreiben. Durch die Schaffung einer positiven Sicherheitskultur und die Begeisterung der Entwickler für die Anwendungssicherheit können häufig auftretende Sicherheitslücken behoben werden, bevor sie es im AppSec-Land überhaupt zu einem Scan oder einer manuellen Codeüberprüfung schaffen.

Es ist dreißigmal teurer, Sicherheitslücken in bereits festgeschriebenem Code zu behebenDaher ist die Suche nach Schulungen, die den Stärken der Entwickler gerecht werden, Interesse wecken und tatsächlich funktionieren, ein großer Schritt zur zukünftigen Kostensenkung bei der Identifizierung und Behebung dieser wiederkehrenden Sicherheitslücken.

Positive, entwicklerorientierte Initiativen fördern die richtige Sicherheitskultur.

Wenn alle mit den besten Sicherheitsmethoden auf derselben Wellenlänge sind, ist eine positive Sicherheitskultur ein glückliches, wichtiges Nebenprodukt.

Positive, skalierbare, auf Entwickler ausgerichtete Initiativen fördern die richtige Sicherheitskultur. Die Einbindung der problemlösenden, kreativen Köpfe der Entwickler ist unerlässlich, um sie für sich zu gewinnen und sicherzustellen, dass neue Mitarbeiter schnell mit den Sicherheitserwartungen des Teams Schritt halten können. Nehmen Sie Kontakt auf für einen Überblick darüber, wie sich die Beziehung zwischen Entwicklern im Bereich Sicherheit entwickelt hat, und Ideen zur Einführung eines erfolgreichen Sicherheitsbewusstseinsprogramms in Ihrem eigenen Unternehmen.