Entwickler stärken, Risiken minimieren Developer-Trainings für mehr IT-Sicherheit

Anbieter zum Thema

FAST LTA GmbH

SEPPmail - Deutschland GmbH

Onapsis Europe GmbH

Obwohl Unternehmen nachweislich schnell ins Visier von Cyberkriminellen geraten können, wird das Thema Sicherheit vielerorts vernachlässigt. Insbesondere Developer können eine wichtige Rolle bei der Verbesserung der IT-Security spielen. Doch wie befähigen Unternehmen sie dazu?

Zuletzt hat die inzwischen berüchtigte Zero-Day-Schwachstelle in Log4j 2.x deutlich gezeigt, wie schnell sich Software-Schwachstellen entwickeln und welche potenziellen Risiken damit für Organisationen und Endnutzer einhergehen können. Die Ursache dieser Schwachstelle war eine Sicherheitslücke in einer beliebten Library eines Drittanbieters, die von Entwicklern weltweit genutzt wird.

Wie schlecht es um die Update-Mentalität steht, zeigt der „State of Software Security (SoSS) v11: Open Source Edition“-Report von Veracode aus dem vergangenen Jahr: fast 80 Prozent der Bibliotheken von Drittanbietern werden nach der Aufnahme in eine Codebasis von den Entwicklern nie aktualisiert. Dabei sind mehr als zwei Drittel der Fehlerbehebungen geringfügig und beeinträchtigen die Funktionalität selbst komplexer Softwareanwendungen nicht im Geringsten.

Man sollte sich immer bewusst sein: Open-Source-Bibliotheken entwickeln sich ständig weiter. Was heute noch sicher erscheint, kann es morgen schon nicht mehr sein und ein erhebliches Risiko für Software-Anbieter und Anwender darstellen.

Laut dem Bundesamt für Sicherheit in der Informationstechnik führte die oben genannte Log4j 2.x Schwachstelle im Dezember 2021 zeitweilig zu einer „extrem kritischen Bedrohungslage“. Diese hat sich zwar entspannt, jedoch sollten Unternehmen die Bedeutung einer umfassenden Sicherheitsstrategie und einem noch weitgehenden Shift Left in der Softwareentwicklung nicht unterschätzen.

Der Druck steigt, die Sicherheit nimmt ab

Angesichts des zunehmenden Ausmaßes der Bedrohungen und der wachsenden Zahl von Angriffen benötigen Unternehmen nicht nur die richtigen Tools, sondern auch die richtigen Fähigkeiten, um sich besser zu schützen. Doch vor allem letzteres erweist sich derzeit als große Herausforderung. So bezifferte der ITK-Branchenverband die Anzahl freier IT-Stellen in Deutschland unlängst auf 96.000, wobei der Bedarf im Bereich IT-Sicherheit besonders groß ist.

Entsprechend schwierig gestaltet es sich für Unternehmen, Fachkräfte mit den benötigten Sicherheitsfähigkeiten einzustellen. Daher verwundert es auch nicht, dass die in der Stackoverflow Developer Survey 2022 befragten Security-Experten durchschnittlich sieben weitere Rollen übernehmen – der höchste Wert unter den befragten Entwicklern, den nur noch Datenbankadministratoren und Produktmanager erreichen.

Die Sicherheit zahlt oft den Preis für diesen Mangel an qualifizierten Mitarbeitern. Die Folge: Aufgrund von Zeitdruck, aber auch dem Fehlen kontextbezogener Informationen werden beispielsweise Bibliotheken von Drittanbietern nicht regelmäßig aktualisiert und ihre Schwachstellen behoben, wie der Veracode State of Software Security v12 Report zeigt.

Drei Viertel dieser Schwachstellen (77 Prozent) sind demnach auch drei Monate nach ihrer Entdeckung noch nicht beseitigt. Und nach etwas über einem Jahr (397 Tagen) ist die Hälfte von ihnen noch immer vorhanden. Developer stehen zunehmend unter Druck, Software so schnell wie möglich zu entwickeln und bereitzustellen, doch dies darf nicht auf Kosten gründlicher Sicherheitspraktiken gehen.

Automatisierung und Training verbessern die IT Security

Doch es gibt Möglichkeiten, mit denen Unternehmen ihre Entwickler besser unterstützen können, um die Sicherheit ihres Codes zu gewährleisten, ohne dabei ihre Aufgabenliste zu verlängern. So wird etwa die Überprüfung der Codesicherheit im Einklang mit modernen Softwarearchitekturen und Entwicklungspraktiken immer stärker automatisiert. Im Zeitraum zwischen September 2020 und Oktober 2021 stellte Veracode beispielsweise einen Anstieg von 133 Prozent bei automatisierten Scans fest, die über APIs statt manuell durchgeführt wurden.

Eine weitere Option sind spezifische Sicherheitstrainings, um Developern das Wissen und die Tools an die Hand zu geben, mit denen sie potenzielle Schwachstellen in Echtzeit erkennen können. So können sie Probleme beheben, solange sie noch präsent sind, ohne den Entwicklungsprozess zu verzögern. Gleichzeitig lernen sie Kodierungspraktiken, mit denen sie die Anzahl der eingeführten Schwachstellen im Laufe der Zeit verringern können.

Diese Option lohnt sich: Unternehmen mit Veracode Security Labs-Schulungen, einem hands-on Sicherheitstrainingsprogramm, konnten die Zeit zur Behebung von Schwachstellen um mehr als ein Drittel (35 Prozent) reduzieren im Vergleich zu Unternehmen ohne solches Training.

Damit diese Schulungen effektiv sind, sollten Unternehmen einige Aspekte beachten:

Anreize schaffen: Da Entwickler schwer beschäftigt sind und unter ständigem Druck stehen, fühlen sie sich vielleicht nicht gezwungen, an Schulungen teilzunehmen. Belohnungen, etwa in Form finanzieller Boni, können die Motivation erhöhen.

Relevanz sicherstellen: Reale Sicherheitslücken, die im Arbeitsalltag auftreten können, haben als Beispiele die größte Wirkung, vor allem, wenn Entwickler ihre möglichen Folgen durchspielen können.

Den Effekt messen: Indem Unternehmen die eingeführten Probleme verfolgen und Metriken aufstellen, die Verbesserungen messen, können sie ihre IT-Security-Schulungen kontinuierlich anpassen.

Verschiedene Trainingsarten anbieten: Einige Entwickler bevorzugen vielleicht Kurse unter Anleitung, während andere On-Demand-Kurse oder praktische Trainingstool präferieren. Auch sollten Unternehmen für unterschiedliche Erfahrungslevel unterschiedliche Schulungen anbieten.

„Security-Champions“ ernennen: Interessierte Freiwillige aus den Sicherheitsteams werden zusätzlich ausgebildet und mit weiteren Tools ausgestattet und können so ihre Kollegen unterstützen.

Sicherheitsdenken betrifft alle

Das Training von Developern ist eine der wichtigsten Maßnahmen für Unternehmen, um ihre Resilienz zu verbessern und ihr Cyberrisiko zu minimieren. Doch es ist nur die Spitze des Eisbergs: Sie müssen IT-Sicherheit auch als elementaren Teil ihres Geschäfts verstehen, der auf allen Ebenen des Unternehmens eine Rolle spielt und von allen Mitarbeitern verstanden und geschätzt wird. Dafür braucht es auch eine oder mehrere Führungskräfte, die sich dieser Thematik annehmen, indem sie technische Zusammenhänge verstehen und auf das allgemeine Geschäft übertragen können.

Jeden Tag tauchen neue Schwachstellen auf und die Angriffsflächen werden größer. Wer Kriminellen keine Chance lassen will, muss seine Cybersecurity priorisieren und die Aus- und Weiterbildung seiner Entwickler ganz oben auf die Agenda setzen.

(ID:48689416)