OWASP AppSec Day 2019: Förderung sicherer Entwickler

Anfang dieses Monats hatte ich die Gelegenheit, daran teilzunehmen OWASP AppSec-Tag 2019 im schönen Melbourne. Diese Veranstaltungen, bei denen Entwickler im Mittelpunkt stehen, gehören zu meinen Favoriten im Kalender. Sie sind eine demütigende Erinnerung an die Community, die unermüdlich daran arbeitet, Softwareingenieure und Spezialisten weiterzubilden und zu befähigen, sich bei ihrer Arbeit für Sicherheit einzusetzen.

Das Gastaufgebot war sensationell - ganz zu schweigen von erfrischend vielfältig - und es ist ein großartiges Gefühl, dass auch ich nach all den Jahren in der Branche inspiriert gehen kann. Leute wie Tanja Janca, Tony James und Teri Radichel lieferte unglaubliche Vorträge, während Wireghul„Eldar Marcussen stellte das gesamte Auditorium vor Ort vor Ort auf die Probe, aber es war toll, ein so großes Sicherheitsbewusstsein unter den Teilnehmern zu beobachten.

In diesem Jahr war Secure Code Warrior Platin-Sponsor der Veranstaltung. Ich musste lächeln, als ich mich daran erinnerte, dass es vor nur vier Jahren das Team hinter dem OWASP AppSec Day war, das unserem Bootstrap-Startup mit einem kostenlosen Stand und einer Werbeaktion zur Seite stand. Es war ein Moment des Stolzes zu sehen, wie weit wir als Unternehmen gekommen waren, und eine Zeit, um dankbar zu sein, dass es eine so großzügige Gemeinschaft von unglaublichen Menschen gibt.

Toni James: Sicherheit aus der Sicht eines Entwicklers

Wenn es eine Sache gibt, die wir auf dieser Welt mehr fördern müssen, dann ist es Empathie. Und wenn es darum geht, Software auf der ganzen Linie sicherer zu machen, ist es wichtig, die Notlage des Entwicklers zu verstehen.

Tonis Präsentation hat mir sehr gut gefallen und ich bin mir sicher, dass sie für jeden Entwickler sofort nachvollziehbar war. Die Geschichte beinhaltet viel mehr als nur „sicheren Code schreiben“, und obwohl ich sicherlich glaube, dass effektiv geschulte Entwickler unsere beste Chance im Kampf gegen Sicherheitslücken sind, ist es unerlässlich, ihre täglichen Herausforderungen zu berücksichtigen.

Die Arbeit eines Softwareentwicklers kann Millionen von Benutzern zur Schau gestellt werden, wichtige Infrastrukturen unterstützen und die treibende Kraft hinter Diensten sein, die wir für selbstverständlich halten. Der Aufbau von Funktionen, die Umsetzung von Geschäftsinnovationen und die Einhaltung schlanker Lieferfristen sorgen für viel Druck, und das ist, bevor ein AppSec-Team groß wird und seine harte Arbeit auseinandernimmt. Toni sprach darüber, wie das Leben in diesem Umfeld aussieht und wie eine gute Portion Empathie auf allen Seiten zu weitaus besseren Prozessen und Sicherheitsergebnissen führen kann. Ich freue mich sehr, dass so gesunde Fortschritte gemacht werden, um die Kluft zwischen Entwicklern und AppSec-Teams zu überbrücken. Letzten Endes ist dies ein entscheidendes Element einer positiven, blühenden Sicherheitskultur, und Toni ist ein Paradebeispiel dafür, dass dieser Prozess unglaublich gut funktioniert.

Tanya Janca und Teri Radichel: Sicherheits-Superhelden

Nicht dass es ein Wettbewerb wäre, aber die Beiträge von Tanya Janca und Teri Radichel zur Konferenz gehörten zu meinen Favoriten. Zehn Minuten nach Beginn ihres Tutorials über selbstgemachte Cloud-Sicherheitsanalysen zeigten sich ihr unglaublicher Erfahrungsschatz, ihre Qualifikationen und ihr Fachwissen, aber auch ihre aufrichtige Herzlichkeit und ihr Wunsch, Wissen zu teilen und die Entwickler-Community zu unterstützen. Gemeinsam präsentierten sie realistische und durchführbare Maßnahmen zur Gewährleistung der Sicherheit von Azure-Implementierungen, einschließlich praktischer Ratschläge zur Festlegung von Sicherheitsrichtlinien und Maßnahmen zur Minimierung der Zugriffsrechte.

Eine schnelle Google-Suche verrät Ihnen alles, was Sie über ihr Engagement für die Unterstützung von Entwicklern an der Basis wissen müssen. Es gibt eine Fülle kostenloser Ressourcen, Mentoring-Möglichkeiten und Interviews, um die unterhaltsame und ansprechende Seite der Softwaresicherheit zu fördern. Sie sind inspirierende, wichtige Verfechter unserer Community. Wenn sie auf der nächsten Sicherheitskonferenz, an der Sie teilnehmen, sprechen, wären Sie sauer, wenn Sie ihre Sitzung verpassen würden.

Kunden auf der großen Bühne

Es war großartig zu sehen, dass so viele unserer Kunden nicht nur anwesend waren, sondern auch die Bühne besaßen und ihr immenses Sicherheitswissen mit dem Publikum teilten.

Wir haben es geschafft zu fangen Telstrahält Andrew Bailey einen wichtigen Vortrag zum Thema „Adding the „Sec'to DevOps“. Sein Erfahrungsschatz als leitender Softwareingenieur, der sich jetzt auf Anwendungssicherheit und sichere Codierung konzentriert, war eine hervorragende Perspektive, die hervorgehoben werden sollte. Er gab umfassende Tipps zur Verbesserung der Sicherheit in jeder Phase des SDLC (natürlich auch gleich zu Beginn, indem er mehr Entwickler in sicherer Codierung trainierte).

Ken Johnson ist Teil von GitHubdas Sicherheitsteam, und ich habe mich sehr gefreut, dass er am Ende der Konferenz dem Expertengremium beitrat. Er und die anderen Diskussionsteilnehmer beantworteten nur allzu gerne drängende Fragen des Publikums, auch solche, die in den Medien nicht unbedingt die Aufmerksamkeit erhalten, die sie verdienen. Neben verschiedenen Brancheneinblicken brachte er die Podiumsdiskussion dazu, wie wichtig Wohlbefinden und Work-Life-Balance sind, was in Zeiten des Burnouts von Entwicklern sehr wichtig ist.

Ich möchte mich ganz herzlich bei Julian Berton und dem gesamten OWASP Melbourne-Team für eine weitere unglaubliche Konferenz bedanken. Wir sehen uns nächstes Jahr (mit mehr Aufklebern).