DevSecOps – Wie sich Sicherheit in DevOps integrieren lässt

Schon im letzten Jahr hat ein Thema ganz klar die Berichterstattung rund um Anwendungsentwicklungen dominiert: DevOps. Die Zeiten jedoch, als der DevOps-Ansatz noch belächelt wurde, sind lange vorbei. Jedes vierte der 2.000 weltweit größten Unternehmen richtet mittlerweile seine Software-Entwicklung nach den Prinzipien von DevOps aus – Tendenz steigend. [...]

Vorteile dieses Ansatzes sind kürzere Entwicklungszeiten, mehr Releases und höherwertige Software. Für die IT-Sicherheit ist diese Umstellung mit Herausforderungen verbunden, stellt aber ebenso eine große Chance dar – DevSecOps ist hier das Stichwort. Ziel ist es, Qualität mit Sicherheit gleichzusetzen und von Anbeginn der Entwicklung den Sicherheitsaspekt mit einzubeziehen.
Gemeinsame Verantwortung
Entwickler und IT-Verantwortliche rücken näher zusammen – aus „Devs“ und „Ops“ werden DevOps. In der Praxis bedeutet das einen regelmäßigeren Austausch, gegenseitige Weiterbildung und vor allem die Verpflichtung beider Seiten auf gemeinsame Ziele und Werte. Das bisherige „Blame-Game“ muss aufhören. Beide Seiten müssen verstehen, dass Sicherheit nur möglich ist, wenn Entwickler und IT-Verantwortliche als Team auftreten und sich gleichermaßen für das Thema Sicherheit verantwortlich fühlen.
Automatisierung
Eine weitere Säule von DevOps ist die Automatisierung von Arbeitsabläufen. Geeignete Tools sollen Vorgänge, die zuvor manuell verrichtet wurden, in Zukunft eigenständig erledigen – die Wahrscheinlichkeit von Fehlern wird so zusätzlich minimiert. Dies betrifft vor allem das Deployment von Software: agile Methoden in der Entwicklung sind oftmals nicht mit der gleichbleibenden Geschwindigkeit im Betrieb vereinbar. Die Automatisierung zielt darauf ab, auch in diesem Bereich für einen Effizienzsprung zu sorgen. Zusätzlich erfüllt sie die Forderungen des IT-Betriebs nach möglichst sicheren und stabilen Releases, indem sie die Fehlersuche und Qualitätskontrolle systematisiert.
Sicherheit von Anfang an
Der kurze und zyklische Charakter von DevOps fordert von Entwicklern, dass sie ein rasantes Innovationstempo beibehalten, um das Geschäftswachstum voranzutreiben. Das späte Finden von Schwachstellen im Software-Lebenszyklus stört den gesamten Prozess, verlangsamt die Produktions- und Release-Zyklen und erhöht die Entwicklungskosten. Entdeckt und behebt man Schwachstellen noch während der Programmierungsphase, lässt sich laut NIST (National Institute of Standards and Technology) das zehnfache an Kosten einsparen im Vergleich zur Beseitigung von Schwachstellen während der Testphase.
Deshalb ist es wichtig, Sicherheit von Anfang an in den Software-Lebenszyklus einzubauen. Es gibt zahlreiche Lösungen, die Entwickler dabei unterstützen, ohne sie in der Entwicklung einzuschränken. Veracode Greenlight beispielsweise integriert sich nahtlos in gängige Entwicklungsumgebungen und ermöglicht dem Entwickler innerhalb von Sekunden einzelne Programmdateien auf Sicherheitslücken zu scannen. Somit wird die Sicherheit zu einem integralen Teil des Softwareentwicklungsprozesses. Ablaufstörungen und -verzögerungen, die mit der Anwendung sicherer Codierungspraktiken verbunden sind, werden dadurch deutlich reduziert.
Der Schritt von DevOps hin zu DevSecOps ist nicht weit. Kein Wunder also, dass langsam immer mehr Unternehmen auf DevSecOps setzen. So verbessern sie das Arbeitsklima und profitieren von kürzeren Entwicklungszeiten, häufigeren Releases sowie höherwertiger Software, die von Grund auf sicher programmiert wurde.
*Nabil Bousselham ist Solution Architect bei Veracode.

Mehr Artikel

News

Hightech-Crime-Report: Advanced Persistent Threats setzen Europa unter Druck

Mit einem Anstieg von 22 Prozent gegenüber dem Vorjahr nahmen betrügerische Machenschaften 2024 weltweit zu. Europäische Finanzdienstleister waren mit 34 Prozent aller Betrugsfälle am stärksten betroffen, gefolgt von der Transportbranche und dem Regierungs- und Militärsektor. Auch bei Phishing-Angriffen setzte sich der Aufwärtstrend fort: Mehr als 80.000 Phishing-Websites wurden 2024 enttarnt – ein Anstieg um 22 Prozent gegenüber dem Vorjahr. […]

News

Fünf Mythen über Managed Services 

Managed Services sind ein Erfolgsmodell. Trotzdem existieren nach wie vor einige Vorbehalte gegenüber externen IT-Services. Der IT-Dienstleister CGI beschreibt die fünf hartnäckigsten Mythen und erklärt, warum diese längst überholt sind. […]

News

ESET: MDR-Lösungen für Managed Service Provider

ESET erweitert sein Angebot für seine Managed Service Provider (MSP) und Channel-Partner, um sie angesichts der zunehmend komplexen Bedrohungslandschaft gezielt zu unterstützen. Die neuesten Ergänzungen umfassen den Service „ESET MDR für MSPs“, eine erweiterte KI-gestützte Bedrohungsanalyse durch den ESET AI Advisor sowie flexible Preismodelle für MSP. […]

News

Geniale Handy-Tricks

Smartphones haben etliche Funktionen, die kaum jemand nutzt, aber Ihren digitalen Alltag bereichern können. Wir stellen Ihnen eine Auswahl der besten Geheimtipps vor – sowohl für Android-Smartphones als auch für Apples iPhones. […]

Die Kombination aus interner Mobilität und Ressourcenbeschränkungen führt schnell zu einem Wildwuchs bei den vergebenen Privilegien. (c) Unsplash
Kommentar

6 Wege, wie Privilege Management die Sicherheitslage verbessert

Identitäten, Konten, Computer, Gruppen und andere Objekte benötigen gleichermaßen Zugang zu Ressourcen – limitiert auf die jeweilige Rolle und nur solange der Zugriff tatsächlich gebraucht wird. Dies ist ein grundlegender Bestandteil eines Zero Trust Least Privilege-Modelles und als solcher von AD-Administratoren, IT-Leitern, dem höheren Management und CISOs anerkannt. […]

David Blum, Defense & Security Lead bei Accenture, im Gespräch mit der ITWELT.at. (c) timeline / Rudi Handl
Interview

„Ein resilientes Unternehmen zeichnet sich durch größtmögliche Transparenz aus“

Transparenz, soweit im Sicherheitskontext möglich, ist für David Blum, Defense & Security Lead bei Accenture, ein wichtiger Bestandteil von Unternehmensresilienz. Das fördere die aus dem Verständnis folgende Unterstützung der Mitarbeitenden. Die unternehmerische Resilienz müsse nicht nur technisch, sondern auch kulturell verankert werden: „Denn Resilienz beginnt im Kopf jedes Einzelnen“, sagt Blum im Gespräch mit der ITWELT.at. […]

Be the first to comment

Leave a Reply

Your email address will not be published.


*