Veracode: Softwareentwicklung braucht „Security Champions“

ür den aktuellen SoSS-Report hat Veracode 130.000 Anwendungen analysiert. Eine zentrale Erkenntnis: Scans sind ein entscheidender Faktor. Mithilfe von statischer Analyse (SAST) durch das API können Unternehmen Sicherheitsrisiken im Schnitt 17 Tage schneller beheben. [...]

(c) veracode.com

Häufige Scans, eine Kombination aus statischer und dynamischer Analyse (DAST), die Implementierung einer regelmäßigen Scan-Rate sowie die Verwendung von Software-Composition-Analyse (SCA) mit SAST führen zu einer schnelleren Behebung von Schwachstellen und zu einer höheren Anwendungssicherheit.

Außerdem können Entwickler durch die Wahl ihrer Werkzeuge die Anwendungssicherheit beeinflussen: Open-Source-Software ist anfällig für Angriffe durch Cyberkriminelle. Gleichzeitig stellen Programme, die mit C++ und PHP geschrieben wurden, ein erhöhtes Risiko dar. So weisen laut Report 59 Prozent der C++-Anwendungen hohe oder sogar sehr hohe Sicherheitsrisiken auf – bei PHP sind es 53 Prozent. Datenlecks sind die häufigste Art Fehler, die zu mangelnder Anwendungssicherheit führen. Die Herausforderung für Entwickler in Zukunft: Unterschiedliche Sicherheitsprobleme in einer zunehmend digitalisierten Umgebung identifizieren und beheben.

Agilität und Flexibilität sind heute und in Zukunft notwendige Attribute für jeden Entwickler. Zusätzlich kann umfassende Expertise dabei unterstützen, bestehende Probleme und Risiken nicht nur zu erkennen, sondern auch zu beheben. Daher sollten Entwickler in Zukunft nicht nur Programme entwickeln können, sondern auch relevante Qualitätskriterien für diese kennen und im Bereich Cybersecurity bewandert sein. Sie müssen ihre Programme testen und alle während des Entwicklungsprozesses entdeckten Schwachstellen beheben.

Wahre Security Champions folgen dabei dem DevSecOps-Ansatz: Sie kombinieren Wissen und Praktiken aus der Softwareentwicklung, der IT-Sicherheit und dem IT-Betrieb. Dadurch entstehen Anwendungen, die bereits bei der Entwicklung maximal sicher sind. Zusätzlich können sie so zahlreiche Aufgaben gleichzeitig in hoher Geschwindigkeit erledigen und ein ununterbrochenes Deployment gewährleisten. Eine zentrale DevSecOps-Praxis sind beispielsweise regelmäßige Scans – eines der größten identifizierten Defizite im aktuellen SoSS-Report.

Die richtige Weiterbildung und gezielte Sicherheitstrainings für Entwickler spielen für den Erfolg in der neuen digitalen Normalität eine große Rolle. Dennoch ist die Ausbildung rund um sicheres Coding auf universitärer Ebene fast nicht vorhanden – obwohl sie Kernbestandteil eines Informatik– und Cybersicherheits-Lehrplans sein sollte.

Hier ist somit die Eigeninitiative von Unternehmen oder den Entwicklern selbst gefragt, denn Superhelden in der Softwareentwicklung sind neugierig: Sie schauen über den Tellerrand, wollen immer auf dem neusten Stand bleiben und bilden sich durchgehend weiter. Security Champions können Unternehmen dabei helfen, diese Herausforderung zu meistern, indem sie Wissen zwischen Entwicklern und Sicherheitsteams vermitteln und gleichzeitig Flagge für die Ausbildung von Entwicklern zeigen.

*Bernhard Lauer ist unter anderem freier Redakteur der dotnetpro und betreut hier beispielsweise die Rubrik Basic Instinct. Mit Visual Basic programmiert er privat seit der Version 1.0.


Mehr Artikel

News

9 Mythen über BigQuery-Backups

BigQuery ist ein vollständig verwaltetes Data Warehouse von Google für Analysen im Petabyte-Bereich und kommt vielerorts zum Einsatz. Viele IT-Fachkräfte glauben, dass BigQuery automatisch eine vollständige Sicherung gewährleistet, doch das ist ein gefährlicher Irrtum. […]

News

Mikrosegmentierung als Basis für Zero Trust

90 Prozent der von Zero Networks befragten IT- und Sicherheitsexperten sehen Zero Trust als entscheidend für die Verbesserung ihrer Cybersicherheit an. 75 Prozent sind der Meinung, dass Mikrosegmentierung „sehr“ oder „äußerst“ wichtig ist, um Zero Trust zu erreichen. Nur fünf Prozent setzen jedoch Mikrosegmentierung bereits ein. […]

Jens Hungershausen, DSAG-Vorstandsvorsitzender (c) Deutschsprachige SAP-Anwendergruppe e. V. (DSAG)
News

DSAG-Investitionsreport 2025

Auch in diesem Jahr hat die Deutschsprachige SAP-Anwendergruppe e. V. (DSAG) wieder nach den Investitionsplanungen der Unternehmen in Deutschland, Österreich und der Schweiz gefragt. Zentrale Ergebnisse: Die generelle Investitionsbereitschaft in IT-Lösungen und auch in SAP-Lösungen steigt weiter. […]

News

Ein Schritt zu mehr digitaler Souveränität für Europa

CISPE (Cloud Infrastructure Services Providers in Europe) und Gaia-X integrieren das CISPE Gaia-X Digital Clearing House in das Gaia-X-Ökosystem. Das ermöglicht es Cloud-Kunden, Dienste auszuwählen und zu erwerben, die nachweislich den im Gaia-X Compliance-Dokument (Release 24.11) beschriebenen Richtlinien entsprechen. […]

Be the first to comment

Leave a Reply

Your email address will not be published.


*