Welche Rolle spielt das menschliche Element in der Zukunft der sicheren Codierung?

Da die Zahl der Cyberbedrohungen weiter zunimmt, gehen Unternehmen täglich Kompromisse zwischen Sicherheit, Praktikabilität und Geschwindigkeit ein und setzen sich dabei Risiken aus. Neue Ansätze für sichere Codierung sind erforderlich, also Secure Code Warrior arbeitete mit Evans Data Corp. zusammen, um grundlegende Untersuchungen zur Einstellung von Entwicklern zu sicherem Programmieren, sicheren Codepraktiken und Sicherheitsvorgängen durchzuführen (Whitepaper herunterladen) hier).

Dieser Bericht zeigte, dass reaktives Denken der „alten Schule“ zwar immer noch dominiert, aber das Bewusstsein für die Notwendigkeit proaktiverer Lösungen wächst, die die Entwickler selbst zur ersten Verteidigungslinie machen.

Jede Untersuchung der Einführung sicherer Codierungspraktiken muss mit einem Verständnis der an der Implementierung beteiligten Personen, ihrer Wahrnehmung davon und ihrer Fähigkeit, sie umzusetzen, beginnen. Dies führt dann zum wichtigsten Puzzleteil: Wie können sie in die Lage versetzt werden, von Anfang an sicherer zu programmieren und Qualitätscode schneller und mit Zuversicht zu versenden?

Sicheres Programmieren — wo stehen wir jetzt und was muss sich ändern? Herunterladen die Infografik „Das menschliche Element“ jetzt.

Aktuelle Perspektiven — reaktiv oder proaktiv

Als Entwickler und Entwicklungsmanager nach den Aktivitäten gefragt wurden, die sie mit sicherem Programmieren verbinden, lauteten die drei wichtigsten Antworten:

• Verwendung von Scan-Tools für bereitgestellte Anwendungen.
• Manuelles Überprüfen des Codes auf Sicherheitslücken.
• Die aktive und kontinuierliche Praxis, Software zu schreiben, die vor Sicherheitslücken geschützt ist.

Wie wir sehen können, konzentrierten sich zwei der drei häufigsten Antworten immer noch auf reaktive Ansätze — die erste hing von Tools (Scannern) ab, und die zweite davon, dass der Entwickler (d. h. ein Mensch) manuelle Prüfungen durchführt.

Gleichzeitig stützen sich zwei der drei nominierten Aktivitäten auf das menschliche Element. Dies deutet darauf hin, dass Sicherheit zunehmend als menschliches Problem wahrgenommen wird. Von allen nominierten Aktivitäten ist jedoch Nummer 3, die den Faktor Mensch identifiziert, am aussagekräftigsten beim Schreiben von Software, die in erster Linie vor Sicherheitslücken geschützt ist. Dies unterstreicht eine Verlagerung nach links — einen proaktiven und präventiven Ansatz, der Sicherheit von Beginn des SDLC an in die Software integriert.

Wo passt Sicherheit in den SDLC?

Wenn Entwickler und Entwicklungsmanager gefragt werden, welche Sicherheitscode-Praktiken ihrer Meinung nach in den SDLC integriert werden, gehen die Meinungen auseinander. 55% der Manager glauben, dass sicheres Programmieren in den gesamten Entwicklungsprozess integriert ist, verglichen mit nur 43% der Entwickler. Der Unterschied könnte die unterschiedlichen Rollen dieser beiden Gruppen innerhalb des SDLC widerspiegeln. Das Management ist in der Regel weniger in die eigentliche Codierungsarbeit involviert und hat tendenziell eine übergeordnete Sichtweise — wohingegen sich Entwickler möglicherweise mehr mit den Einzelheiten befassen.

Aus Sicht der allgemeinen Sicherheit und Codequalität ist jedoch alarmierend, dass nur 13 Prozent der Entwickler und 10 Prozent der Manager angeben, dass sichere Codepraktiken in die Entwurfsphasen integriert werden sollten — gleich zu Beginn des SDLC. Dies ist eine riesige und noch nicht realisierte Chance. Laut einer IBM-Studie ist es dreißig Mal teurer, Sicherheitslücken im Code nach der Veröffentlichung zu beheben, als wenn sie zu Beginn gefunden und behoben wurden.1 Das ist ein starker Anreiz für eine neue proaktive und von Menschen geleitete Verteidigung der Softwaresicherheit, die Entwickler in die Lage versetzt, von Anfang an sicherer zu programmieren. Softwaresicherheit lässt sich nicht allein durch Tools lösen — sie muss den Faktor Mensch berücksichtigen.

Ist das menschliche Element vorbereitet?

97% der befragten Entwickler sind der Meinung, dass sie ausreichend in sicherer Codierung geschult wurden, und 95% stimmten zu, dass Schulungen in sicherer Codierung für ihre Karriere wertvoll waren. Doch bevor wir diese Behauptungen für bare Münze nehmen, müssen wir uns fragen: Warum sind Code-Schwachstellen immer noch so häufig? Sind die Behauptungen der Entwickler, sie seien Experte im Bereich des sicheren Codes, nur ein Fall von menschlichem Ego? Die Beweise deuten sicherlich in diese Richtung. In einem bescheideneren Eingeständnis geben mehr als 88% der befragten Entwickler zu, dass sicheres Programmieren schwer zu erlernen ist, und 91% der Entwicklungsmanager räumen ein, dass sichere Programmierpraktiken schwierig zu implementieren sind. Auf die Frage nach ihren wichtigsten persönlichen Bedenken im Zusammenhang mit der Implementierung von sicherem Code empfanden 28% der Entwickler den Lernprozess als schwierig, während 24% den Lernprozess als langweilig empfinden. Dies deutet darauf hin, dass die Schulung der Entwickler verbessert werden muss.

Was braucht das menschliche Element?

Um den „herausfordernden“ Faktor zu überwinden, eine lohnende sichere Schulung erfordert einen „Gerüstbau“ -Prozess, der den Entwickler dabei unterstützt, Schritt für Schritt sichere Programmierkenntnisse aufzubauen. Um ein Höchstmaß an Relevanz und unmittelbarer Anwendbarkeit zu erreichen, sollte diese Schulung in dem spezifischen Sprache:Framework stattfinden, das sie täglich verwenden.

Um den Faktor „Langeweile“ zu überwinden, Sicherheitscode-Schulungen müssen praxisnah vermittelt werden — sie haben sich für Entwickler als weitaus ansprechender erwiesen als veraltete Modelle im Klassenzimmer oder „Schau dir dieses Video an“. Dazu sollten Live-Simulationen gehören, die es Entwicklern ermöglichen, manchmal riskante Sicherheitsherausforderungen in einer sicheren Umgebung zu bewältigen. Ziel sollte es sein, Entwicklern beizubringen, Sicherheitslücken im Code während der Arbeit zu finden und zu beheben und sicheres Programmieren zu einem Teil ihres täglichen Ablaufs zu machen. Ein weiterer wichtiger Faktor ist das Linting und Coaching innerhalb der IDE, das Entwicklern hilft, während des Programmierens ständig zu lernen und ihre Fähigkeiten zu verbessern und Sicherheitslücken zu verhindern und zu beseitigen.

Wenn Sie herausfinden möchten, wie Sie Ihren Entwicklern dieses neue Niveau an entwicklerzentrierten Tools und Schulungen zur Verfügung stellen können, eine Demo buchen jetzt.

Du kannst auch lade dein Exemplar herunter des Whitepapers Übergang von der Reaktion zur Prävention: Das sich wandelnde Gesicht der Anwendungssicherheit.

‍