Auf dem Weg zu DevSecOps CISOs müssen Sicher­heits­auf­gaben noch früher wahrnehmen

Anbieter zum Thema

PresseBox - unn | UNITED NEWS NETWORK GmbH

Beim DevSecOps-Ansatz sind Security-Funktionen gleich von Anfang an integraler Bestandteil des Entwicklungs­prozesses und dürfen nicht erst am Ende um die Apps und Daten herumgebaut werden. Daraus können deutliche Steigerungen der Effizienz, wesentlich geringere Risiken und mehr Wissensaustausch entstehen.

Als Entwicklungen noch wesentlich mehr Zeit erforderten oder auch deren Updates ein- bzw. zweimal pro Jahr veröffentlicht wurden, war es vielleicht noch angemessen, die Sicherheitstests an das Ende eines Zyklus zu setzen. Dieser Sicherheitsansatz gestaltet sich heute als nicht mehr sehr praktikabel, da meist angestrebt wird, die Entwicklungszeit auf möglichst wenige Wochen zu verkürzen.

Hinzu kommt, dass Entwickler und Sicherheitsteams in der Vergangenheit häufig in unterschiedlichen Abteilungen bzw. Teams aktiv waren. Es dominierte folgendes Klischee: Für Entwickler sind Experten der IT-Security ganz versessen darauf, das schnelle Tempo von Software-Einführungen und -Aktualisierungen zu verlangsamen. Sicherheitsprofis sehen Entwickler wiederum als zu eifrig an, Code ohne ausreichende Berücksichtigung des Risikomanagements herauszugeben.

IT-Security ist keine Nebensache mehr

Mit dem DevSecOps-Ansatz soll letztlich auch in dieser Hinsicht eine Brücke zwischen den beiden Fraktionen geschlagen werden. Denn eine der Kernaufgaben von DevSecOps besteht darin, „nach links zu verschieben“! Dies bedeutet nichts anderes, dass Anforderungen der IT-Security, die möglicherweise erst später im Entwicklungsprozess oder „ganz rechts“ auf einer Zeitachse auftreten, möglichst früh in der Designphase gestellt werden. Darüber hinaus fördert die Verschiebung „nach links“ nicht nur den Wissensaustausch zum Thema IT-Security, sondern auch deren Integration in jeden Aspekt der Produktentwicklung und -bereitstellung.

Da die IT-Security-Teams mit dem DevSecOps-Ansatz ihre Sicherheitstests bereits in frühen Phasen der Entwicklung initiieren, lässt sich dadurch die Gesamtentwicklung deutlich beschleunigen. Dies hat den Vorteil, dass Sicherheitslücken wesentlich früher identifiziert werden können und im Nachgang keine wesentlichen und vor allem zeitkonsumierenden Änderungen im Hinblick auf die IT-Security mehr erforderlich sind. Damit ist die Notwendigkeit für Entwickler und alle im Prozess befindlichen Mitarbeiter, über grundlegende Sicherheitskompetenzen zu verfügen, unerlässlich geworden.

CISOs müssen DevSecOps forcieren

Wie jede größere Veränderung in der Technologieentwicklung muss auch der DevSecOps-Ansatz von einer hochrangigen Führungskraft vorangetrieben werden. Dafür qualifiziert sich typischerweise der CISO. Für die Implementierung von DevSecOps gibt es jedoch keine Patentlösung. Vielmehr müssen Führungskräfte wie der CISO die notwendigen Leitplanken setzen und den Teams die Freiheit geben, innerhalb dieser zu agieren.

Es empfiehlt sich, dass der CISO die Rahmenbedingungen für die Funktionsweise von Sicherheitstests festlegt und sicherstellt, dass die Entwickler über die richtigen Tools und Prozesse verfügen, um in diesen Rahmenbedingungen optimal zu arbeiten. In der Folge kann der CISO dann bestimmen, was sich in Bezug auf den zeitlichen Ablauf am besten eignet und welche Prozesse übernommen werden sollen.

Das DevSecOps-Modell

Konzeptionell basiert DevSecOps auf der Idee, dass Sicherheit ein integrierter Bestandteil jeder Phase des Lebenszyklus eines Produkts sein sollte und keine nachträgliche Pflichtübung. Vielmehr ist es eine deutlich sicherere Art der Entwicklung durch schnellere Release-Zyklen, optimierte Koordination und verbesserte Kommunikation. Folgende Merkmale charakterisieren DevSecOps im Hinblick auf eine veränderte Herangehensweise:

• Offene Zusammenarbeit an gemeinsamen Zielen: DevSecOps erstellt gemeinsame Erwartungen und Metriken zur Erfolgsmessung. Es richtet Sicherheitsarchitekten aus und konzentriert Aktivitäten basierend auf Geschäftsprioritäten.

• Sicherheit an der Quelle: Der Ansatz bietet Self-Service-Sicherheitsfunktionen, justiert Sicherheits-Leitplanken und ermöglicht es Teams, Ergebnisse zu überwachen und ein gezieltes Feedback zu geben. Er kann Schwachstellen früh im Entwicklungszyklus erkennen, wodurch die Notwendigkeit von Nacharbeiten kurz vor oder nach der Bereitstellung reduziert wird.

• Optimierung durch Automatisierung: Durch die Automatisierung wiederkehrender Aufgaben ermöglicht DevSecOps die Orchestrierung eines integrierten Prozessablaufs, die Einbettung präventiver Betriebskontrollen und die Erstellung fortlaufender Audit-Trails.

• Risikoorientierte Abläufe: Organisationen, die DevSecOps in ihre Entwicklungspipelines integrieren, können betriebliche Erkenntnisse und Bedrohungsinformationen nutzen, um den Prozessablauf, die Priorisierung und Empfehlungen zur Behebung voranzutreiben. Sie müssen sich nicht mehr nur auf Code-Scans verlassen und können beim Testen einen risikobasierteren Ansatz verfolgen.

• Proaktives Monitoring: Automatisierte, kontinuierliche Tests helfen dabei, Probleme zu erkennen, bevor sie zu Problemen werden. Entwickler können auch Protokollierung und Telemetrie nutzen, um Lernen und Innovation voranzutreiben.

• Automatisierte Betriebssicherheit: Da der Einblick in einige Aspekte der Betriebssicherheit eingeschränkt sein kann, lieferten Sicherheitsaudits nicht immer korrekte Ergebnisse. Security-as-Code bietet einen effektiveren Ansatz. Neue Techniken in der Containerisierung und der Automatisierung von Public-Cloud-Infrastrukturen ermöglichen es jetzt, im Betrieb, die Sicherheit und Compliance zuverlässig und mit weniger Aufwand zu prüfen.

• Betriebstechnik: Das Erkennen einer Bedrohung und das Ergreifen von Maßnahmen können wertvolle Stunden oder sogar Tage in Anspruch nehmen. In einer sicheren Infrastructure-as-Code-Umgebung in Containern oder öffentlichen Cloud-/Container-Umgebungen können Engineered-Response-Funktionen den Datenverkehr jedoch sofort umleiten, Knoten für eine spätere Inspektion einfrieren, IT-Operatoren benachrichtigen und neue Instanzen hochfahren. Alles völlig automatisch.

(ID:49469945)