Fast die Hälfte aller Entwicklerteams ist für Anwendungssicherheit verantwortlich

Obwohl der DevSecOps-Reifegrad weiterhin im Fokus steht, basieren laut CISOs nur 39 Prozent der Geschäftsprozesse auf sicheren Anwendungen. [...]

Checkmarx hat seine jährliche Studie „A CISO’s Guide to Steering AppSec in the Age of DevSecOps“ vorgestellt. Aufsetzend auf eine Umfrage unter 200 Chief Information Security Officers (CISOs) aus verschiedenen Branchen und Regionen weltweit identifiziert die Studie zentrale Faktoren, die den Trend zu einer engeren Zusammenarbeit zwischen Entwickler- und Sicherheitsteams vorantreiben. Die wichtigste Erkenntnis ist, dass 49 Prozent der CISOs angaben, Käufer berücksichtigten das Thema Anwendungssicherheit (AppSec) mittlerweile in ihren Kaufentscheidungen. In fast der Hälfte der Unternehmen, die softwarebasierte Produkte anbieten, liegt die Sicherheitsverantwortung inzwischen vollständig außerhalb des Zuständigkeitsbereichs des CISOs.

Mit der zunehmenden Komplexität und Größe von Anwendungen – getrieben durch KI, Microservices und hybride Anwendungsarchitekturen – tragen Entwicklerteams verstärkt die Verantwortung, eine sichere und skalierbare Bereitstellung zu gewährleisten. Angesichts schnellerer Release-Zyklen und wachsender Code-Basen verlagern sich AppSec-Entscheidungen und -Budgets immer häufiger zu den Entwicklerteams, um Sicherheit frühzeitig und effizient im Entwicklungsprozess zu verankern.

„Wir erleben derzeit einen entscheidenden Wandel: AppSec ist heute ein Wettbewerbsvorteil, eine Budgetpriorität und ein Thema auf Vorstandsebene“, erklärt Jonathan Rende, Chief Product Officer bei Checkmarx. „Während Entwicklerteams mehr Verantwortung übernehmen, müssen sich CISOs auf Governance, Strategie und Zusammenarbeit konzentrieren, um die angestrebten Sicherheitsziele nicht aus den Augen zu verlieren.“

Wichtigste Erkenntnis: Anwendungssicherheit spielt zentrale Rolle bei Kaufentscheidungen

CISOs aus Branchen wie Banken und Finanzwesen, Medien, Versicherungen, Software, Fertigung und dem öffentlichen Sektor bestätigten, dass robuste AppSec-Programme und -Praktiken nach wie vor ein Hauptkriterium für die Kaufentscheidungen ihrer Kunden sind. Die wichtigsten Datenpunkte im Überblick:

• 49 Prozent der Befragten gaben an, dass Käufer das Thema Anwendungssicherheit in ihren Kaufentscheidungen berücksichtigen
• 24 Prozent gaben an, dass Anwendungssicherheit bei diesen Entscheidungen immer eine Rolle spielt
• Dieser Trend ist in Europa am ausgeprägtesten, wo 58 Prozent der Befragten angaben, dass Sicherheit immer eine Rolle spielt, verglichen mit 33 Prozent im asiatisch-pazifischen Raum und nur 8 Prozent in Nordamerika

Die Checkmarx Studie ergab außerdem, dass Entscheidungsprozesse zunehmend dezentral stattfinden, wobei Entwicklerteams immer häufiger Sicherheitspraktiken beeinflussen und sogar Budgetverantwortung übernehmen:

• In Unternehmen, die softwarebasierte Produkte anbieten, ist die Sicherheitsverantwortung geteilt – 50 Prozent übertragen sie an CISOs, 43 Prozent an Entwicklerteams
• 56 Prozent der Unternehmen gaben an, dass der Großteil ihrer Entwicklerteams vollständig in AppSec-Programme integriert ist

Rende ergänzt: „Mit der Verlagerung der Sicherheitsverantwortung auf die Entwicklerteams verlagert sich auch die Finanzierung. Deshalb sind CISOs heute gefordert, mit strategischem Weitblick zu führen und klare Leitplanken statt Barrieren zu setzen.“

Die Rolle der Sicherheit auf Vorstandsebene bleibt uneinheitlich

Die Studie weist auf eine anhaltende Diskrepanz bei der Kommunikation von Sicherheitsfragen auf Vorstandsebene hin: Obwohl 62 Prozent der CISOs ihrem Vorstand AppSec-Kennzahlen vorlegen, konzentrieren sich die meisten dabei ausschließlich auf die Anzahl der Schwachstellen. Lediglich 25 Prozent setzen diese Risiken in Beziehung zu Geschäftsergebnissen wie Markenruf oder regulatorischen Risiken. Diese Diskrepanz unterstreicht die Notwendigkeit für CISOs, Sicherheit im Kontext von Geschäftsrisiken zu kommunizieren – eine Grundvoraussetzung, um nachhaltige Unterstützung auf Vorstandsebene zu sichern.

Interessierte Leserinnen und Leser finden die vollständige Studie hier.

Methodik

In Zusammenarbeit mit Global Surveyyz befragten die Forscher CISOs in Unternehmen mit einem Jahresumsatz von über 750 Millionen US-Dollar und Entwicklerteams mit mindestens 180 Mitgliedern. Die Teilnehmer stammten aus Schlüsselbranchen wie Banken und Finanzwesen, Versicherungen, Software, Technologie, Maschinenbau, Medien, Fertigung, Industrie und dem öffentlichen Sektor in den Vereinigten Staaten, Kanada, Westeuropa und der APAC-Region.