Eine bessere Zukunft für DevSecOps? Es ist näher als Sie denken

Ich habe mich gefreut, zusammen mit einer Reihe von Experten zu einem aufschlussreichen Artikel von Suparna Goswami in beizutragen Datenschutzverletzung heute. Wie sie betont, besteht weitgehend Einigkeit darüber, dass Sicherheitsaspekte in einem frühen Stadium des Softwareentwicklungszyklus (SDLC) unerlässlich sind, um Datenschutzverletzungen zu verhindern, aber das ist leichter gesagt als getan. Es gibt einige fantastische Erkenntnisse von CISOs sowie aktuelle Umfrageergebnisse, die zeigen, dass die größte Herausforderung für die Anwendungssicherheit bei Workflows zur kontinuierlichen Integration/kontinuierlichen Bereitstellung (CI/CD) darin besteht:“Fehlen automatisierter, integrierter Sicherheitstesttools„.

Meiner Ansicht nach sollte DevSecOps beginnen, wenn der Entwickler anfängt, den Code zu schreiben. Wenn DevSecOps effektiv funktionieren soll, müssen die Entwickler von Anfang an über die Ausbildung, die Fähigkeiten und die Tools verfügen, um Code sicher zu schreiben. Wenn Entwicklern beigebracht würde, sicheren Code in Echtzeit zu schreiben, oder noch besser — vermeiden, dass viele der Bugs von vornherein entstehen, dann könnten sich Sicherheitsmanager und Testtools darauf konzentrieren, die wirklich schwierigen, komplexen Sicherheitslücken rechtzeitig zu finden und zu beheben.

Es gibt viele Lösungen, die Sicherheitslücken im Code finden, aber die Sicherheitsabteilung muss mehr Wert darauf legen, Entwicklern beizubringen, Sicherheitsrichtlinien zu befolgen, die verhindern, dass sie diese Fehler überhaupt machen.

Entwickler sollten dabei unterstützt werden, sicheren Code zu schreiben und die überwiegende Mehrheit der Fehler zu beheben, die sie beim Schreiben von Code machen, und ich bin stolz darauf, sagen zu können, dass die Technologie jetzt existiert, um dies zu erreichen. So wie Tools zur Rechtschreib- und Grammatikkorrektur Autoren helfen, können Entwickler jetzt in Echtzeit dabei unterstützt werden, sicher zu schreiben, wie es die jeweiligen Sprach- und Sicherheitsrichtlinien vorschreiben. Meiner Ansicht nach ist dies die einfachere und bessere Zukunft für DevSecOps.

Genau das ist unser Secure Code Warrior Sensei bietet — es fungiert als Sicherheitstrainer in Echtzeit für Entwicklerteams, der von AppSec kontrolliert wird und sicherstellt, dass die Sicherheitsrichtlinien jederzeit auf der Seite des Entwicklers sind. Es wird ihnen helfen, konsistenter, sicherer und schneller zu programmieren. In unserem Early-Adopter-Programm können wir feststellen, dass dadurch die Zeit für die Behebung von Problemen von durchschnittlich drei Stunden pro Bug auf nur zehn Minuten reduziert wird.

Wir müssen Sicherheitstools verwenden, die in der Lage sind, effizient und vor allem genau nach einem DevSecOps-Zeitplan zu arbeiten. Es ist an der Zeit, einen höheren Standard an Softwaresicherheit anzustreben.

Es gibt viele Lösungen, die Sicherheitslücken im Code finden, aber die Sicherheitsabteilung muss mehr Wert darauf legen, Entwicklern beizubringen, Sicherheitsrichtlinien zu befolgen, die verhindern, dass sie diese Fehler überhaupt machen.