Vertrauen aufbauen: Der Weg zu echten Sicherheitssynergieeffekten zwischen AppSec und Entwicklern

Eine Version dieses Artikels erschien in Cyber Defense Magazin. Es wurde hier aktualisiert und syndiziert.

Eine Beziehung, die auf den wackeligen Fundamenten des Misstrauens aufgebaut ist, naja, lässt sich am besten mit niedrigen Erwartungen angehen. Leider kann dies der Stand der Arbeitsbeziehung zwischen Entwicklern und dem AppSec-Team innerhalb einer Organisation sein. Im Allgemeinen frostig und durch die Tendenz, sich gegenseitig in die Quere zu kommen, ist die Situation nicht ideal und führt zu schlechten Ergebnissen in einer Welt, in der viele Risiken bestehen, von Technologieabhängigkeiten.

Entwickler lieben es, Probleme zu lösen, Funktionen zu entwickeln und Kreativität in ihrer Arbeit zu zeigen. AppSec hingegen hat die wenig beneidenswerte Aufgabe, Sicherheitslücken in ihrem Code zu finden, ihn zur Behebung zurückzuholen und Audits und Berichte bereitzustellen, die den Lieblingsprojekten des Ingenieurs den Glanz verderben. Es ist nicht fair, ausschließlich den Entwicklern die Schuld zu geben — Sicherheit ist weder ihre Priorität noch Teil ihrer KPIs — und das überlastete AppSec-Team kann auch nicht dafür bestraft werden, dass es einfach seinen Job macht. Für bewährte Cybersicherheitsmethoden und bessere Sicherheitsergebnisse auf Unternehmensebene müssen sie jedoch wirklich anfangen, nett zu spielen.

Und alles beginnt mit Vertrauen.

Das Image des „Bösewichts“ von AppSec steht der DevSecOps-Harmonie im Weg.

Wenn du nur mit jemandem interagierst, wenn er darauf hinweist, was du falsch gemacht hast, stehen die Chancen gut, dass sein Beitrag nicht positiv aufgenommen wird.

Die negativen Konnotationen der Anwesenheit des Sicherheitsteams werden selten gesehen, es sei denn, es liegt ein Problem vor. Sie sorgen für Reibung. Die Beziehung ist seit geraumer Zeit zerrüttet. Entwickler betrachten das AppSec-Team als Hemmnis für ihre Kreativität, ihren Prozess und die pünktliche Bereitstellung von Funktionen, während AppSec es langsam leid ist, ständig auf häufige Sicherheitslücken hinzuweisen, die es seit Jahrzehnten gibt (ebenso wie deren Abhilfemaßnahmen).

Angesichts immer unmöglicher Termine, unterbesetzter Teams und des starken Wunsches, Nacharbeiten zu vermeiden, warteten Entwickler oft bis zum letzten Moment, um ihren Code zu versenden, wodurch das Zeitfenster für AppSec-Überprüfungen und Interventionen so klein wie möglich wurde. Ein dysfunktionaler Prozess, der die inakzeptablen Auswirkungen eines zunehmenden Cybersicherheitsrisikos für das Unternehmen hat.

Für Sicherheitsspezialisten heißt es „Don't shoot the messenger“ — schließlich ist es ihre Aufgabe, Bugs zu finden und sie zu melden, damit sie behoben werden können — nichts Persönliches. Der Knackpunkt ist, dass sie oft Empfehlungen aussprechen können, die nicht optimal zum Technologie-Stack des Unternehmens passen und daher im Gesamtbild der internen Softwareentwicklung als wenig hilfreich angesehen werden können.

Die Vorstellung von AppSec als Bösewicht ist für die meisten Entwicklungsmethoden kontraintuitiv, aber für DevSecOps ist es eine Katastrophe. Der Goldstandard hat sich weit über Waterfall, Agile und sogar DevOps hinaus entwickelt und ist zu einem Prozess übergegangen, der Sicherheit von Beginn des SDLC an als eine wichtige Aufgabe betrachtet.

Damit DevSecOps funktioniert, müssen Softwareingenieure einen Grund haben, sich um Sicherheit zu kümmern, und das liegt daran, dass sie verstehen, warum es für sie so wichtig ist, ihren Beitrag zum Schutz der weltweiten Software zu leisten. Sicherheitsspezialisten, die sich die Mühe machen, den Olivenzweig zu verlängern, mit Entwicklungsmanagern zusammenarbeiten, um die Bedürfnisse des Teams zu erfüllen, und eher eine Mentorenrolle bei der Förderung des Sicherheitsbewusstseins übernehmen, ziehen in der Regel langfristige Vorteile aus ihren Bemühungen... und sie verbringen etwas weniger Zeit damit, sich über einen weiteren XSS-Fehler die Haare zu reißen.

Entwickler müssen in die Lage versetzt werden, bessere und sicherere Codierungsergebnisse zu erzielen.

Wenn es darum geht, im Tertiärbereich sicheres Programmieren zu lernen, ist für viele Ingenieure es ist nicht existent. Und das liegt nicht daran, dass sie alle damit beschäftigt waren, Beer Pong und WoW zu spielen — das gehört einfach nicht zu den meisten Informatik- und IT-Studiengängen.

Aus diesem Grund ist eine Schulung am Arbeitsplatz oft der erste Kontakt, den ein Entwickler mit der Kunst der Softwaresicherheit erhält, und es setzt seine Welt selten aus den Angeln. Stundenlange langweilige Videos sind eine gängige Trainingsmethode, ebenso wie Compliance-Übungen zum Ankreuzen, die viel zu selten sind, um Entwicklern wirklich beizubringen, wie man sicher programmiert, oder um Fortschritte bei der Reduzierung häufiger Sicherheitslücken in der Software eines Unternehmens zu erzielen.

Sowohl das AppSec-Team als auch die Entwicklungskohorte sind wahnsinnig beschäftigt, daher sollte jede Schulung aussagekräftig, ansprechend und praxisnah sein. Da wir einen Entwicklungshintergrund haben, lieben wir es, Probleme zu lösen und uns an die Tools zu gewöhnen. Daher gehen die meisten statischen Schulungen einfach an uns vorbei, während wir uns auf etwas Dringenderes (oder, seien wir ehrlich, Interessantes) konzentrieren.

AppSec-Spezialisten haben Einfluss und können eine langfristige Win-Win-Situation schaffen, indem sie sich für die Interessen der Entwickler einsetzen. Die Suche nach tragfähigen Schulungen, die berufsrelevant sind und in ihren bevorzugten Sprachen und Frameworks angeboten werden, ist ein großer Schritt, um die Initiative zu wechseln und eine positive Sicherheitskultur an der Basis innerhalb eines Unternehmens zu fördern. Wir haben jahrzehntelang dasselbe versucht, und es ist klar, dass der Schulungsansatz „eine Größe für alle“ nicht funktioniert. Indem wir Entwicklern helfen, die richtigen Tools und Kenntnisse an die Hand zu geben, können sie sich erfolgreich im Bereich der sicheren Codierung weiterbilden, mit einem gesteigerten Sicherheitsbewusstsein agieren und einen höheren Codestandard entwickeln.

Die Bemühungen, auf dieselbe Seite zu kommen, müssen von beiden Seiten kommen.

Menschen mit unterschiedlichen Zielen können sich leicht missverstehen oder schlimmstenfalls etwas misstrauisch werden. AppSec hat das Ziel, mit dem Ansturm an Code Schritt zu halten und alle Sicherheitsprobleme zu finden, die zur Kompromittierung von Daten, unbefugtem Zugriff und böswilligen Angriffen führen können, die das Potenzial haben, die positive Kundenstimmung jahrelang zu zerstören.

Entwickler erstellen unter anderem Funktionen fristgerecht. Sie haben die Aufgabe, Software funktionsfähig und schön zu machen und einzigartige digitale Erlebnisse zu schaffen, die Kunden an sich binden. Sie haben bereits eine Menge zu bewältigen, und ihnen einen Curveball in Form von Sicherheitsverantwortung anzubieten, ist eine entmutigende Aussicht. Es wird als das Problem von AppSec angesehen, den Code zu sichern, und obwohl das in den 90ern einigermaßen machbar war (Sie wissen schon, früher unsere Autos könnten gehackt werden, und unser ganzes Leben könnte in einem Taschen-Supercomputer, einem sogenannten Smartphone, herumgetragen werden) es gibt einfach zu viel Code und nicht genug Leute, um ihn durch den Sicherheitsrutenlauf laufen zu lassen.

Mit einer gesunden Portion Empathie und der Fähigkeit, Sicherheit von Beginn des Softwareerstellungsprozesses an zu einer Priorität zu machen, können AppSec und Entwickler Wege finden, ihre Ziele aufeinander abzustimmen. Schließlich hängt eine positive Sicherheitskultur davon ab, und sicherheitsbewusste Entwickler sind die geheime Zutat, um häufig auftretende Sicherheitslücken zu schließen, selbst wenn ständig wachsender Fachkräftemangel im Bereich Cybersicherheit.

Gegenseitiger Respekt vor der Zeit hat immense Vorteile.

Wie ich schon sagte, jeder ist sehr beschäftigt, wenn es darum geht, Magie (auch bekannt als tolle Software) Wirklichkeit werden zu lassen. Entwickler benötigen eine zugewiesene Arbeitszeit, um praktikable, praktische Schulungen durchzuführen, in denen ihre Fähigkeiten im sicheren Programmieren verbessert werden. Jedes Schulungsprogramm sollte von Anfang an hochrelevant sein.

AppSec hat ihre Zeit damit verschwendet, dasselbe zu reparieren OWASP Top 10 Immer wieder werden Sicherheitslücken beseitigt, und Entwickler werden durch Übungen mit geringem Engagement beseitigt, die in ihren Köpfen die Vorstellung bekräftigen, dass Sicherheit eine lästige Pflicht ist.

Kuratierte Lernerfahrungen sind unerlässlich und helfen, auf den Punkt zu kommen kontextuelle, kompakte Durchführung relevanter Schulungen, genau im Moment wird es benötigt.

Durch die Kuratierung eines maßgeschneiderten Kurses zur sicheren Programmierung, der auf die gewünschten Ergebnisse und internen Lernpfade zugeschnitten ist, werden die Zeit und der Arbeitsablauf des Entwicklers respektiert und gleichzeitig auf eine messbare Reduzierung der Sicherheitslücken und Cybersicherheitsrisiken für das Unternehmen hingearbeitet. Es ist ein schneller Gewinn bei dem Bestreben, sanfte Rivalitäten zu beenden und als Einheitsfront in den Wilden Westen der Cybersicherheit vorzudringen.

Die neueste kontextuelle Lernfunktion von Secure Code Warrior, Lehrveranstaltungen, ist ab sofort verfügbar.

‍