Der Aufstieg von DevSecOps — und was „Linksverlagerung“ wirklich für Ihr Unternehmen bedeutet.

Wie ist das für eine ernüchternde Statistik? 60% der KMUs gehen innerhalb von sechs Monaten nach einem erfolgreichen Cyberangriff* aus dem Geschäft. Große Unternehmen verlieren Millionen (oder Milliarden!) während der Ruf einer Marke ausblutet. Da Unternehmen zunehmend sichere Codierungspraktiken anwenden, findet eine „Verschiebung nach links“ statt. Mit dem Aufkommen von DevSecOps rückt der sichere Code von Beginn des SDLC an in den Mittelpunkt. Um die realen Auswirkungen dieses Trends zu untersuchen, hat Secure Code Warrior mit Evans Data Corp*** kürzlich eine Studie über die Einstellung von Entwicklern zu sicherem Programmieren, sicheren Codepraktiken und Sicherheitsabläufen in Auftrag gegeben.

Shifting Left — ein Wandel auf vielen Ebenen

Da Unternehmen erkennen, dass es 30-mal mehr kostet, Sicherheitslücken im Nachhinein zu beheben, sind Präventivmaßnahmen zum neuen Goldstandard geworden*. Damit solche Maßnahmen jedoch wirksam sind, jedermann im SDLC müssen sicherheitsbewusst sein, insbesondere Entwickler.

‍Schicht Eins — also, wer ist jetzt verantwortlich?

Mit dem Aufstieg von DevSecOps, Unternehmen setzen auf sichere Codierungspraktiken. Infolgedessen ist eine der ersten Veränderungen, die unsere Untersuchungen hervorgehoben haben, eine Verlagerung der Verantwortung für die Codesicherheit hin zur operativen Ebene.

Als wir Entwickler und Entwicklungsmanager fragten: „Wer sollte die ultimative Verantwortung für die Codesicherheit tragen?“ , gaben 46% an, der Projekt-/Teamleiter — fast doppelt so viele wie diejenigen, die meinten, dass die Verantwortung weiterhin beim Anwendungssicherheitsteam bleiben sollte.

Dies ist ein klarer Hinweis auf eine Verlagerung der Sicherheitsverantwortung weg von traditionellen Anwendungssicherheitsteams hin zu Leitern der Entwicklungsteams.

Schicht Zwei — Die wechselnden Rollen von Managern  

Der Druck, Schulungen zum sicheren Code einzuführen, lastet auf Managern aus verschiedenen Richtungen.

41% geben an, dass der organisatorische Imperativ für sicheres Codetraining stammt aus der obersten Führungsebene. Steigende Anforderungen an die Einhaltung gesetzlicher Vorschriften sind ebenfalls ein Faktor.

Manager spielen eine entscheidende Rolle bei der Unterstützung des Übergangs von der traditionellen Entwicklung zu DevSecOps und entwickeln sich zu wichtigen Entscheidungsträgern bei Schulungs- und Tool-Kaufentscheidungen.

‍Schicht Drei — Entwickler treten auf

Wir sehen jedoch auch, dass der Veränderungsdruck von unten steigt. 24% der Manager geben an, dass sie aufgrund von Vorschlägen und Empfehlungen ihrer Entwickler sichere Codierungspraktiken implementieren. Dieser Punkt unterstreicht die zunehmend wichtige Rolle von Entwicklern als Mitwirkende an den Sicherheitsprogrammen ihrer Unternehmen. Die Umstellung auf DevSecOps, bei dem der Schwerpunkt neuerdings auf präventiven Verfahren zur sicheren Codierung liegt, versetzt Entwickler in die Rolle der „ersten Verteidigungslinie“.

Schicht Vier — Verbesserte Teamdynamik  

Die Implementierung sicherer Code-Praktiken hat zwar erhebliche Auswirkungen auf die Softwarequalität, verändert aber auch die Art und Weise, wie Teams arbeiten, zum Besseren. 60% der befragten Entwickler glauben, dass der Einsatz von sicheren Code-Praktiken ihre Kommunikation mit anderen Entwicklern verbessert hat — aber die Vorteile hören hier nicht auf.

Die Hälfte aller befragten Entwickler und Manager waren sich einig, dass sichere Programmierpraktiken zu einer stärkeren Zusammenarbeit zwischen Entwicklern und ihren Führungskräften führen. 46% gaben an, dass Entwickler und Interessengruppen besser zusammenarbeiten. Gleichzeitig sprachen sich 41% für eine stärkere Zusammenarbeit zwischen Führungskräften und Interessenvertretern aus.

DevSecOps bringt Teams, Führungskräfte und Interessenvertreter auf neue Weise zusammen und verbessert so die Zusammenarbeit zwischen verschiedenen Rollen und Phasen des Softwareentwicklungszyklus.

62% der befragten Manager geben an, dass sichere Codepraktiken dazu beitragen, die Geschwindigkeit der Codeveröffentlichungen zu erhöhen. Diese eine Tatsache in Kombination mit all diesen anderen Veränderungen verdeutlicht die klaren Vorteile der Umstellung auf einen DevOps-Ansatz. Damit solche Maßnahmen jedoch wirksam sind, müssen, wie bereits in diesem Artikel erwähnt, jedermann im SDLC muss sicherheitsbewusst sein. Diese Erkenntnis hat entscheidende Auswirkungen darauf, wie Unternehmen ihre Entwickler schulen. Teams müssen sich mit kürzlich identifizierten Sicherheitslücken vertraut machen und in der spezifischen Sprache, den Frameworks, lernen, in der sie programmieren. Kurz gesagt, sie müssen verstehen, wie sie bekannte Sicherheitslücken im Code in dem Kontext, in dem sie täglich arbeiten, lokalisieren, identifizieren und beheben können. Ein solches Training macht Ihre Teams von Ihrer ersten Risikolinie zur ersten Verteidigungslinie.

Als Verfechter des Wandels im Bereich der sicheren Codierung verfolgt Secure Code Warrior einen von Menschen geleiteten Ansatz, um Ihrem Unternehmen zu helfen, „nach links zu wechseln“ — und Ihren gesamten Sicherheitsansatz von reaktiv zu proaktiv zu ändern.

Wenn Sie mehr über praxisnahe, äußerst ansprechende und bewährte Sicherheitscode-Schulungen erfahren möchten, die die Bedürfnisse von Managern, Entwicklern und der Organisation in Einklang bringen, um eine DevSecOps-Zukunft zu erreichen, jetzt eine Demo buchen.

‍

*60 Prozent der kleinen Unternehmen schließen innerhalb von 6 Monaten, nachdem sie gehackt wurden.
‍https://cybersecurityventures.com/60-percent-of-small-companies-close-within-6-months-of-being-hacked/

**IBM Software Group; Minimierung von Codefehlern zur Verbesserung der Softwarequalität und Senkung der Entwicklungskosten.
‍https://docplayer.net/11413245-Minimizing-code-defects-to-improve-software-quality-and-lower-development-costs.html

***Übergang von der Reaktion zur Prävention: Das sich wandelnde Gesicht der Anwendungssicherheit 2021. Secure Code Warrior und Evans Data Corp.
https://scw.buzz/3169uzS