Der Druck, Innovationen möglichst rasch umzusetzen, wird immer größer. Moderne DevOps-Prozesse ermöglichen das, vergrößern gleichzeitig aber die Möglichkeit, dass Unternehmen Opfer von geschäftsschädigenden Angriffen werden, so eine aktuelle Studie. [...]
Venafi hat vor kurzem die Ergebnisse einer weltweiten Studie unter 1.000 CIOs bekanntgegeben. Die zentrale Aussage: 82 Prozent der Befragten gaben an, dass ihre Unternehmen anfällig für Cyberangriffe auf die Software-Lieferkette sind. Und: Die Umstellung auf Cloud-native Entwicklung und die erhöhte Entwicklungsgeschwindigkeit durch die Einführung von DevOps-Prozessen haben die Herausforderungen im Zusammenhang mit der Sicherung von Software-Lieferketten „unendlich komplexer“ gemacht. In der Zwischenzeit verstärken die Angreifer, motiviert durch den Erfolg aufsehenerregender Angriffe auf Unternehmen wie SolarWinds und Kaseya, ihre Angriffe auf Softwareentwicklungs- und -Verteilungsumgebungen.
Die starke Zunahme der Anzahl und Raffinesse dieser Angriffe in den letzten 12 Monaten habe laut Venafi dieses Problem in den Mittelpunkt gerückt und die Aufmerksamkeit von CEOs und Vorständen auf sich gezogen. Infolgedessen sind CIOs zunehmend besorgt über die schwerwiegenden Geschäftsunterbrechungen, Umsatzeinbußen, Datendiebstahl und Kundenschäden, die sich aus erfolgreichen Angriffen auf die Software-Supply-Chain ergeben können.
Hohes Entwicklungstempo
Laut Venafi-Umfrage glauben 87 Prozent der CIOs, dass Softwareingenieure und -entwickler Kompromisse bei den Sicherheitsrichtlinien und -kontrollen eingehen, um neue Produkte und Dienstleistungen schneller auf den Markt zu bringen. Gleichzeitig sind 85 Prozent der CIOs vom Vorstand oder CEO ausdrücklich angewiesen worden, die Sicherheit von Softwareentwicklungs- und -Verteilungsumgebungen zu verbessern. Die gute Nachricht: 84 Prozent geben an, dass das für die Sicherheit von Softwareentwicklungsumgebungen bereitgestellte Budget im letzten Jahr gestiegen ist.
„Die digitale Transformation hat jedes Unternehmen zu einem Softwareentwickler gemacht. Das hat zur Folge, dass Umgebungen für die Softwareentwicklung zu einem großen Ziel für Angreifer geworden sind“, kommentiert Kevin Bocek, Vice President of Threat Intelligence and Business Development bei Venafi. „Hacker haben entdeckt, dass erfolgreiche Angriffe auf die Supply Chain, insbesondere solche, die auf Maschinenidentitäten abzielen, extrem effizient und profitabel sind. Die Realität ist, dass sich Entwickler eher auf Innovation und Geschwindigkeit als auf Sicherheit konzentrieren.“
Mehr als 90 Prozent der Softwareanwendungen verwenden laut der Studie Open-Source-Komponenten. Die mit Open-Source-Software verbundenen Abhängigkeiten und Schwachstellen sind äußerst komplex. CI/CD- und DevOps-Pipelines sind in der Regel so strukturiert, dass sie den Entwicklern schnelle Fortschritte ermöglichen, aber nicht unbedingt sicherer sind. Die Komplexität von Open Source und die Geschwindigkeit der Entwicklung schränken die Wirksamkeit von Sicherheitskontrollen in der Software-Supply-Chain ein, da Innovationen immer schneller umgesetzt werden sollen.
„CIOs wissen, dass sie die Sicherheit in der Software- Supply-Chain verbessern müssen, aber es ist extrem schwierig, genau zu bestimmen, wo die Risiken liegen, welche Verbesserungen die Sicherheit am stärksten erhöhen und wie diese Änderungen das Risiko im Laufe der Zeit verringern“, erläutert Bocek weiter. „Wir können dieses Problem nicht mit den bestehenden Methoden lösen. Stattdessen müssen wir anders über die Identität und Integrität des Codes nachdenken, den wir erstellen und verwenden, und wir müssen ihn in jedem Schritt des Entwicklungsprozesses mit Maschinengeschwindigkeit schützen und sichern.“
Be the first to comment