Shift-Left-Testing für Unternehmen der nächsten Generation Wie DevSecOps den Geschäftserfolg sichert

Anbieter zum Thema

Infosys Ltd.

Fsas Technologies GmbH

FTAPI Software GmbH

Um aktuell wettbewerbsfähig zu bleiben, benötigen Unternehmen flexible Systeme. Agile und DevOps spielen bei deren Aufbau eine wichtige Rolle, doch darf die Sicherheit nicht darunter leiden. DevSecOps-Strategien sollen genau das gewährleisten.

DevOps bringt Vorteile wie eine kürzere Time-to-Market, höhere Qualität, geringeren Aufwand und reduzierte Kosten mit sich. Die Ergebnisse fallen aber weniger gut aus, wenn manuelle Sicherheitstests gegen Ende des Entwicklungszyklus durchgeführt werden. Auch wenn schnelle Markteinführungen wichtig sind, lässt sich die Sicherheit von Anwendungen nicht aufgrund einer höheren Geschwindigkeit opfern.

Die Verluste durch einen erfolgreichen Cyber-Angriff oder durch Betrug belaufen sich jedes Jahr auf mehrere Milliarden US-Dollar – und sie steigen rapide an. Unternehmen setzen daher darauf, Security in ihre DevOps-Strategie zu integrieren – oder besser gesagt, DevSecOps einzuführen, um Cyberbedrohungen zu erkennen, zu verhindern und zu entschärfen.

DevSecOps ist ein Sicherheitsmanagement-Ansatz, der Security in den DevOps-Bereich integriert. Er konzentriert sich darauf, Security-Praktiken frühzeitig in den Lebenszyklus der Anwendung einzubetten, anstatt sie erst am Ende des Release zu berücksichtigen Zur Implementierung von DevSecOps gehört unter anderem die Automatisierung von Engineering-Aktivitäten. Darüber hinaus werden manuelle Eingriffe reduziert. Eine enge Zusammenarbeit zwischen Sicherheits-Experten und DevOps-Teams ist ebenfalls wichtig.

Warum DevSecOps?

DevSecOps sorgt für die Einführung verschiedener Sicherheitstestphasen innerhalb des gesamten Lebenszyklus. Es reduziert nicht nur drastisch die Sicherheitsmängel, sondern auch die Verluste durch erfolgreiche Cyber-Angriffe. Es verbessert auch die Open Source-Security sowie die Compliance in Bezug auf Lizenzen. Besonders letztere wird für CIOs immer häufiger zu einem Problembereich.

Die frühzeitige Integration von Sicherheitsmechanismen in alle Abläufe gewährleistet, dass Security-Schwachstellen früher erkannt werden – und reduziert die notwendige Nacharbeit. Automatisierte Sicherheitstests dank DevSecOps sorgen dafür, dass dies mit einem geringeren Aufwand und Kosten durchgeführt wird. Insgesamt kombiniert DevSecOps die Geschwindigkeits- und Qualitätsvorteile von DevOps mit einer hohen Security.

DevSecOps: durch Menschen, Prozesse, Technologie

Die erfolgreiche Implementierung von DevSecOps erfordert einen Wandel von Menschen, Prozessen und Technologie.

Menschen

Für den Erfolg von DevSecOps ist es wichtig, Vertrauen und Zusammenarbeit zwischen DevOps-Teams und Security-Experten aufzubauen. Damit sind DevOps-Teams in der Lage, mit Security-Praktiken und -tools umzugehen. Entwickler müssen hinsichtlich der Sicherheitsstandards, Richtlinien für Security-Tests, häufige Fehlerquellen sowie Best Practices sensibilisiert werden.

All diese Vorgaben werden von Programmierern oft ignoriert, da sie Sicherheitstests erst am Ende eines Release-Zyklus unabhängig durchführen. Es ist enorm wichtig, die Security als gemeinsames Ziel für eine effektive Zusammenarbeit im gesamten Entwicklungsteam zu etablieren, anstatt sie als alleinige Verantwortung der Security-Experten zu betrachten. Ansonsten führt dies zu suboptimalen Ergebnissen.

Prozesse

Bei DevSecOps müssen Unternehmen Security-Standards in jeder Phase des Lebenszyklus berücksichtigen und diese einhalten – von der Anforderungserfassung bis zur Bereitstellung. Dazu gehört auch, dass Prozesse geändert werden. Der Grund: Unternehmen müssen Interventionspunkte, sichere Codierungsstandards, Security als Anforderung sowie als nichtfunktionale Anforderungen und sicherheitsbezogene Metriken berücksichtigen.

Technologie

Einer der Schlüsselfaktoren für die Technologie-Transformation ist „Shift Left Security“. Dies bedeutet, dass Security-Überprüfungen frühzeitig in den Software Development Lifecycle (SDLC) aufgenommen werden und nicht erst am Ende des Release-Zyklus. Unternehmen müssen allerdings zwei Dinge beachten, wenn sie DevSecOps-Technologien einführen.

Zum einen sind geeignete Sicherheits-Tools wichtig, die das gesamte Spektrum an Security-Checks abdecken – von statischen bis hin zu dynamischen Security-Tests, Open Source Schwachstellen und Container Security. Des Weiteren sollten diese Tools in DevOps-Pipelines integriert werden, um so eine berührungslose Automatisierung zu gewährleisten.

Security-Tools einfach DevOps-Pipelines hinzuzufügen, hilft bei der Implementierung von DevSecOps nicht weiter. IT-Teams sollten die Werkzeuge entsprechend konfigurieren, damit sie alle Sicherheitsregularien abdecken – und diese automatisch ablaufen, damit keine Sicherheitsstufe übersprungen werden kann. Die Ergebnisse der Sicherheits-Checks müssen sandboxed werden, damit fehlerhafte Builds nicht weiter kaskadiert werden.

Manchmal lassen sich Teams bei der Implementierung eines End-to-End-DevSecOps-Projekts entmutigen – diese sind oft komplex und langwieriger als ursprünglich geplant. Sie lassen sich aber als Startpunkt für einen schrittweisen Ansatz zu einer grundlegenden Transformation definieren. Eine der führenden europäischen Banken begann in den ersten sechs Monaten mit statistischen Sicherheitstests sowie Open-Source-Compliance.

In einer zweiten Phase wurden dynamische und Container-Sicherheitstest hinzugefügt – und die DevSecOps-Implementierung so abgeschlossen. Der DevSecOps-Tooling-Bereich des Finanzinstituts entwickelt sich kontinuierlich mit KI- und SaaS-Angeboten weiter. Künstliche Intelligenz analysiert primär die identifizierten Fehler, um diese zu beheben.

Zusammenfassung

DevSecOps kombiniert Geschwindigkeit und Sicherheit. Cyber-Security-Maßnahmen sollten von Beginn an in den Lebenszyklus von Anwendungen integriert werden. Nur so ist gewährleistet, dass eine hohe Sicherheit und wirtschaftlicher Erfolg sich nicht ausschließen.

Eine Technologie-Transformation, die verschiedene Security-Testwerkzeuge in die DevOps-Toolkette integriert, verbessert die Geschwindigkeit und Qualität der Anwendungsbereitstellung. Zusätzlich sorgt die Zusammenarbeit zwischen Sicherheitsexperten und DevOps-Teams für eine schnellere Umsetzung. Die Modifizierung bestehender Prozesse lenkt die Aufmerksamkeit auf das Thema Security und ermöglicht die Verlagerung „Shift Left Security“.

Zusammenfassend lässt sich sagen, dass die DevSecOps-Transformation über Menschen, Prozesse und Technologie hinweg der Schlüssel ist, um Geschwindigkeit und Security zu erreichen. CIOs und Chief Security Officer (CSOs) sollten DevSecOps im großen Maßstab einsetzen, um ihre Reise hin zu einem agilen Unternehmen zu beschleunigen.

* Gautam Khanna ist Vice President and Head, Modernization Practice, bei Infosys.

(ID:47408199)