Prognosen für 2024: Sicherheit, KI, Entwicklerbindung und die Zukunft

Wir haben diese Jahreszeit erreicht. Die Zeit, um über alles nachzudenken, was passiert ist, was wir dachten, dass es passieren würde und was nicht, was wir gelernt haben und was wir erwarten, wird die Entscheidungen, Maßnahmen und Ergebnisse der nächsten 12 Monate beeinflussen.

Die herausfordernde wirtschaftliche Dynamik, neue Cybersicherheitsbedrohungen und die bislang zugänglichste Einführung der Gesellschaft in die KI prägten das für DevSecOps interessante Jahr 2023. Noch merkwürdiger ist, dass keines dieser Elemente im Rückspiegel zu sehen ist, während wir die Seite umblättern und uns auf den Weg ins Jahr 2024 machen. Sie stehen im Mittelpunkt von Unternehmen, ihren Entwickler- und Cybersicherheitsteams sowie staatlichen Aufsichtsbehörden.

Da sich die Prioritäten in rasantem Tempo ändern, sind hier die wichtigsten Prognosen, die Secure Code Warrior in den nächsten 12 Monaten erwartet:

Unternehmen werden der Bindung von Entwicklern einen hohen Stellenwert einräumen

Entwickler bieten Unternehmen und ihren Kunden einen immensen Mehrwert. Jetzt liegt es an den Unternehmen, ihren Wert unter Beweis zu stellen und zu schätzen, was Entwickler für ihr Geschäftsergebnis tun können. Es wird mehr in Bindungsstrategien, Programme und andere Maßnahmen investiert werden, um sicherzustellen, dass Entwickler besser in die Lage versetzt werden, ihren aktuellen Arbeitgeber zu ihrem langfristigen Karriereziel zu machen. Lernen und Entwicklung werden für diese Unternehmen ein großes Unterscheidungsmerkmal sein.

Mehr Anfragen von Entwicklern werden Inhalte und Integrationen in den Mittelpunkt stellen.

Der Druck, der auf die Entwickler ausgeübt wird, wird nicht so schnell nachlassen, da Unternehmen mehr Software und die kontinuierliche digitale Transformation wollen, um schneller in die Hände ihrer Kunden zu gelangen. Damit Entwickler auf dem Laufenden bleiben, neue Hindernisse im Lebenszyklus der Softwareentwicklung (SDLC) antizipieren und Zugang zu mehr Ressourcen haben, um Innovationen zu beschleunigen, werden mehr Lerninhalte und Integrationen von Drittanbietern von größter Bedeutung sein.

KI-Tools sind der neue Stack Overflow

So wie Entwickler in Stack Overflow- oder Open-Source-Foren nach Hilfe suchen, werden Entwickler anfangen, sich KI-Tools zuzuwenden. Dies erzeugt jedoch ein falsches Sicherheitsgefühl. Entwickler werden KI als „Hilfskanal“ nutzen, aber Unternehmen werden erkennen, dass dieser Ansatz nicht ausreicht.

KI-Sanierung ist gekommen, um zu bleiben

KI ersetzt nicht morgen den Entwickler, aber die Technologie wird immer stärker in den Softwareentwicklungszyklus (SDLC) eingebettet, wodurch ein narrensicherer Prozess geschaffen wird, um die Einführung von Sicherheitslücken zu vermeiden oder eine kompatible Lösung zu finden. Im Laufe des Jahres werden wir mit Sicherheit mehr Experimente erleben, die unweigerlich zu einer Änderung des Verhaltens der Entwickler, zu organisatorischen Investitionen, einer Neuzuweisung von Personal und zu neuen Ansätzen für das Cybersicherheitsrisikomanagement führen werden.

Abhängigkeit von KI + explosives API-Wachstum = regulatorische Maßnahmen

Die Zahl der Unternehmen, die ihr Geschäft durch die beschleunigte Entwicklung und Aktivierung von APIs vorantreiben, hat den API-Bedrohungsvektor erheblich erweitert. Angesichts der Tendenz der KI-Nutzung, die Geschwindigkeit, mit der APIs erstellt und eingeführt werden, exponentiell zu erhöhen, muss eine stärkere Steuerung der API-Sicherheit in den Mittelpunkt gerückt werden — und neue regulatorische Maßnahmen werden mit Sicherheit eingeführt werden.

Weitere Konsequenzen für Softwareanbieter, die keinen sicheren Code versenden

CISA-Direktorin Jen Easterly hat unmissverständlich klargestellt, dass es Softwareanbietern nicht gestattet sein sollte,gib den schwarzen Peter weiter“ wenn es um die Sicherheit ihrer Produkte geht. Die Befugnisse der CISA reichen zwar nur bis zu einem gewissen Grad und helfen dabei, Anbietern, die an Bundesbehörden verkaufen, die Secure-by-Design-Praktiken durchzusetzen. Der MOVEit-Vorfall Anfang dieses Jahres hat jedoch erneut bestätigt, dass große Softwareanbieter neue Maßstäbe setzen und übertreffen müssen. Wiederholungstäter, die unsicheren Code versenden, müssen mehr Rechenschaftspflicht und mehr Konsequenzen bei der Durchsetzung haben.

In den OWASP Top 10 von 2024 werden Konstruktionsfehler erneut im Mittelpunkt stehen

Apropos Secure-by-Design: 2021 führte OWASP die Kategorie „Unsicheres Design“ ein, die sich auf die Verlagerung hin zu architektonischen Sicherheitsproblemen und -fehlern konzentrierte. Da wir davon ausgehen, dass ihre Top-10-Liste bevorsteht (höchstwahrscheinlich 2024), wird es auf Führungsebene eine intensivere Diskussion über den Unterschied zwischen unsicherem Design und unsicherer Implementierung geben, wobei der Schwerpunkt auf Teams liegen wird, die einen sicheren Softwareentwicklungszyklus (SSDLC) entwickeln, einschließlich eines vollständigen Verfahrens zur Bedrohungsmodellierung, das kritische Authentifizierung und Konfiguration der Zugriffskontrolle unterstützt.

DevSecOps-Anbieter müssen einen bestimmten ROI nachweisen, um verschiedene Führungskräfte anzusprechen

Um in einem wettbewerbsorientierten Verkaufszyklus an mehrere Gruppen verkaufen zu können, müssen Anbieter die Konversationen auf verschiedene Geschäftsbereiche zuschneiden. Traditionell verkaufen Sicherheitsanbieter in erster Linie an CISOs oder führende Sicherheitsunternehmen. Im Jahr 2024 wird es für Führungskräfte in den Bereichen L&D und DevOps/AppSec — zusätzlich zu den Sicherheits-/CISOs — einen größeren Bedarf an der Fähigkeit geben, die Risikominderung in immer spezifischeren Kontexten nachzuweisen.

„Gatekeeping“ wird das Ticket zur Sicherheitsreife in der Softwareentwicklung sein

CISOs werden weiterhin unter die Lupe genommen, um den geschäftlichen Nutzen der Cybersicherheitsmaßnahmen sowie die Wirksamkeit ihres Programms im Laufe der Zeit nachzuweisen. Entwickler werden zunehmend nachweisen müssen, dass sie sicherheitsbewusst sind, bevor sie Projekte mit sensiblen Repositorys erhalten. CISOs, die einen „Gatekeeping“ -Standard einführen und der sicheren Codierung von Beginn des Softwareerstellungsprozesses an Priorität einräumen, werden ihre Teams besser in die Lage versetzen, herausragende Sicherheitsstandards zu erreichen.

Reaktive Sicherheit wird als altmodisch angesehen

Da das Ziel einer erhöhten Cyber-Resilienz weiterhin Cyberstrategien in vielen Branchen dominiert, werden sich diejenigen, die auf Reaktion und Reaktion auf Vorfälle als die einzigen Kernprinzipien ihres Plans verlassen, mit inakzeptablen Risiken konfrontiert werden. „Shift Left“ muss mehr sein als ein schnell veraltetes Schlagwort; die Sicherheit auf Codeebene sollte Vorrang haben, ebenso wie die Weiterbildung und Überprüfung der Kompetenz der Entwickler, die an der Software und der kritischen digitalen Infrastruktur arbeiten, die wir für selbstverständlich halten. Heute müssen sich Regierungen und Unternehmen gleichermaßen mehr denn je zu einem präventiven Sicherheitsprogramm verpflichten, bei dem alle Mitarbeiter in die Lage versetzt werden, gemeinsam Verantwortung zu übernehmen.

Als führendes Unternehmen im Bereich der Schulung und Implementierung von sicherem Programmieren freuen wir uns auf das kommende Jahr und darauf, mit unseren über 600 Kunden zusammenzuarbeiten, um dieser sich entwickelnden Dynamik einen Schritt voraus zu sein. Wie sieht Ihr Jahr 2024 aus und wie kann Secure Code Warrior helfen?

Interessiert daran, mehr zu erfahren? Folgen Sie uns auf X und LinkedIn, um über alle Ankündigungen auf dem Laufenden zu bleiben.