„Shift-Left“ in der Cybersecurity Wie DevSecOps Sicherheit in die Softwareentwicklung integriert

Anbieter zum Thema

FTAPI Software GmbH

IT-Sicherheit ist langsam, unflexibel und behindert Fortschritte. Diese Einstellung herrschte über Jahre in den Unternehmen vor – gerade was die Softwareentwicklung anbetrifft. Doch immer mehr Verantwortliche erkennen, dass sie veraltete Sicherheitspraktiken und -tools gegen effizienzsteigernde und innovative Methoden ersetzen müssen. DevSecOps gilt dabei als vielversprechender Ansatz.

DevSecOps ist für viele Sicherheitsverantwortliche ein vielversprechender Ansatz, mit dem Sicherheit von Anfang Teil des Planungs- und Entwicklungsprozesses wird. Er bringt zwar viele Vorteile, aber eben auch Herausforderungen bei der Einführung.

Sicherheit ‚nach links‘ verschieben und auf DevSecOps wechseln?

Die Hauptaufgaben der IT-Sicherheit sind das Identifizieren und Bekämpfen von Sicherheitslücken. Bisher bedeutete dies lange Testphasen mit ausführlichen Freigabeschleifen am Ende des Entwicklungslebenszyklus. DevSecOps bekämpft diese Zeitfresser: Indem Sicherheitsteams ihre Expertise in den Entwicklungsprozess einbringen und mit Entwicklungsteams zusammenarbeiten, können Sicherheitsrisiken im Code schon während des Prozesses erkannt, bearbeitet und entschärft werden. Diese Verschiebung der Sicherheit im „nach links“ wird von der DevOps-Community gerne als ‚Shift-Left‘ bezeichnet. Sicherheit wird damit zu einem flexiblen und agilen Workflow, die Anwendungen werden sicherer und stehen vor allem schneller zu Verfügung. DevSecOps löst also das notorische Problem, dass Software an den Start geht, ohne sicher zu sein.

Traditionell arbeiten Teams getrennt voneinander an gleichen Projekten, ohne Rücksicht oder Verständnis für andere. Dies kostet Zeit, Geld und führt häufig auch zu einer Grabenbildung zwischen den beteiligten Teams, die für die interne Chemie nicht hilfreich ist. Arbeiten sie hingegen effektiv zusammen, fördert dies das Verständnis für die gegenseitigen Aufgaben, Arbeitsweisen und Wünsche. Die Veränderungen in der Teamstruktur und die Zusammenarbeit bringen jedoch auch Herausforderungen mit sich.

Kommunikation und Kulturwandel für DevSecOps

Weil die Zusammenarbeit von Sicherheits- und Entwicklungsteams anfangs von Betroffenen häufig kritisch aufgenommen wird, erfordert DevSecOps auch einen internen Kulturwandel. Umso wichtiger ist es, die Verantwortlichkeiten und Aufgaben zwischen den Teams klar zu definieren. Ohne diese Vorgaben kann das Potenzial von DevSecOps nicht ausgeschöpft werden. Eine unklare Verteilung wird vielmehr zum Gegenteil führen: Ist die Abstimmung zwischen den Teams nicht geklärt, bleiben Aufgaben liegen, während andere doppelt bearbeitet werden. Damit sind Konflikte und Kollisionen zwischen den Teams vorprogrammiert. Deshalb gilt: Nur mit klar definierten Zuständigkeiten und guter Kommunikationsfähigkeit kann die Zusammenarbeit gelingen.

Teams auf den Umschwung vorbereiten

Innerhalb der Teams benötigt die Umstellung auf DevSecOps Expertise sowie Lernbereitschaft. Denn gleichzeitig mit der Einführung von DevSecOps wird auch eine Anzahl neuer Werkzeuge Einzug in den Alltag der Sicherheitsteams halten. Es braucht also Fachkräfte, die mit modernen Zugängen zur IT-Sicherheit vertraut sind bzw. bereit sind, sich diese anzueignen. Generell müssen Sicherheitsteams adaptiv sein. Denn zum einen sind moderne Sicherheitsarchitekturen oft höchst kompliziert, zum anderen bestehen Anwendungen oft aus vielen Mikrodiensten und Cloud-Ressourcen, was die Sicherheitsüberwachung und -verwaltung komplexer macht. Umso wichtiger ist es, kompetente Fachkräfte, die neugierig und lernbereit sind, zu finden und zu binden. Eines ist sicher: Eine agile und moderne Sicherheitsarchitektur macht das eigene Unternehmen für die Talente der Zukunft in jedem Fall attraktiver.

Führungsetagen vom Wandel überzeugen

Auch wenn Kulturwandel und Expertise entscheidende Voraussetzungen für die Entwicklung sicherer Codes und Anwendungen sind, gibt es noch weitere Herausforderungen: Die Umstellung auf DevSecOps bringt Kosten und Aufwand mit sich. Die Führungsetage muss sich also der Notwendigkeit eines innovativen Sicherheitsansatzes bewusst werden, ebenso der daraus entstehenden Kosten und des Mehraufwandes. Nur mit entsprechendem Budget und Ressourcen, können die Sicherheitsteams zielführend und effektiv arbeiten.

DevSecOps in die Praxis umsetzen

Was sind also konkrete Schritte, die nötig sind, um den Wandel anstoßen?

• Zuerst einmal gilt es, Aufmerksamkeit für die Notwendigkeit von DevSecOps zu generieren und die relevanten Stakeholder als Unterstützende für die Transformation zu gewinnen. Für die Sicherheitsverantwortlichen heißt dies, dass sie die Führungsebene von den Vorteilen einer Umstellung überzeugen müssen, um das nötige Budget sowie Rückendeckung zu gewinnen. Nur wenn das Management hinter DevSecOps steht, wird es die nötige Akzeptanz bei den Mitarbeitenden geben. Gleichzeitig muss die Vision auch an die betroffenen Teams kommuniziert werden, so dass sie verstehen, wie ihnen ein ‚Shift Left‘-Ansatz langfristig helfen kann.

• Zusätzlich müssen die Mitarbeitenden zu den DevSecOps-Vorgängen und Prinzipien geschult werden. Denn die Transformation geht diesen nicht von selbst von Hand. Sie müssen die Chance bekommen, neue Vorgänge zu erlernen. Eine einheitliche Schulung stellt sicher, dass alle wichtigen Informationen an alle nötigen Adressaten gelangen.

• Automatisierung wird in Zukunft eine immer wichtigere Rolle spielen, kann aber schon jetzt viele Aufgaben übernehmen. Es gibt Tools, die repetitive und arbeitsintensive manuelle Aufgaben problemlos übernehmen. Beispiele sind die Implementierung und Überwachung bestimmter Sicherheitsfunktionen einer Anwendung, das Monitoring von Anwendungen auf IT-Sicherheit oder auch der automatische Check von Codes zu deren Verifikation. Sie erlauben den Sicherheitsteams, sich auf wichtige Aufgaben zu konzentrieren und mehr Effizienz zu erzielen.

• Zudem braucht es messbare Metriken, mit denen sich Erfolg und Effektivität von DevSecOps verfolgen lassen. Beispiele sind die Vorlaufzeit für Änderungen, die Änderungsfehlerrate oder auch die Deployment-Häufigkeit. Zusammen mit einer kontinuierlichen Sicherheitsüberwachung und -prüfung stellen sie sicher, dass Sicherheitspraktiken aktuell sind.

DevSecOps ist ein wichtiger Ansatz, um Sicherheit in modernen Softwareentwicklungsprozessen zu gewährleisten, ohne die Geschwindigkeit der Innovation zu beeinträchtigen. Er hat ein großes transformatives Potenzial. Gerade mit dem jetzigen Wachstum in der Cloudbranche ist der Zeitpunkt gekommen, eine effektive Sicherheitsarchitektur schon früh in Prozesse einzubinden.

Über den Autor: Andy Schneider begann seine Karriere im Bereich der IT-Sicherheit bereits im Jahr 2000 bei einer Landesbank. In den letzten 10 Jahren hatte er verschiedene CISO-Positionen inne, immer mit dem Ziel, Cybersicherheit agiler und nutzerorientierter zu gestalten und Security by Design in digitale Produkte zu integrieren. Schneider ist derzeit als Field CISO EMEA für Lacework tätig und arbeitet als Berater für TX Ventures und verschiedene Security-Start-ups. Er lebt mit seiner Frau und seinen zwei Söhnen in Zürich, Schweiz.

(ID:49906507)