Ein Bild vertaner Chancen zeichnen Zahlen des jetzt von Hewlett Packard Enterprise (HPE) vorgestellten „Application Security and DevOps Report 2016“. Zugleich liefert der Bericht jedoch auch Empfehlungen für eine sichere Anwendungsentwicklung.
In den untersuchten Firmen komme auf 80 Entwickler lediglich ein Experte für Anwendungssicherheit.
(Bild: HPE)
In der Realität müssen IT-Sicherheit und DevOps wohl noch zusammenfinden, denn: mit 99 Prozent glaubt zwar die überwältigende Mehrheit der für HPEs Bericht Befragten, dass sich mit DevOps die Anwendungssicherheit grundsätzlich verbessern lasse. Andererseits berichten neun von zehn Security-Mitarbeitern aber auch von organisatorischen Barrieren. Seit ihre Unternehmen DevOps einsetzen sei es demnach schwieriger geworden, Anwendungssicherheit zu integrieren.
Dem Report zufolge führen lediglich 20 Prozent der Befragten während der Entwicklung Anwendungssicherheitstests durch. 17 Prozent nutzen gar keine Lösungen, um eigene Anwendungen zu schützen; einige Entwickler kennen ihre Sicherheitsteams nicht einmal.
Entwicklern fehle es HPE zufolge an Sicherheitsbewusstsein und -trainings. Anwendungssicherheitsexperten seien zudem Mangelware; in den untersuchten Firmen komme auf 80 Entwickler lediglich ein Anwendungssicherheitsexperte.
Um die Integration von Security- und DevOps-Teams voranzubringen gibt der Report folgende Empfehlungen:
Die Verantwortung für Security muss von mehreren Organisationen gemeinsam getragen werden. Security muss in jede Phase des Entwicklungsprozesses eingebettet sein, unterstützt durch das Management und entsprechende Zielvorgaben. Diese sollten sich auf Mean-Time-To-Triage (MTTT), Mean-Time-To-Fix (MTTF) sowie Programm-Compliance konzentrieren.
Der Mangel an Security-Bewusstsein und -Kompetenz kann überwunden werden, wenn man es Entwicklern einfach macht, sichere Entwicklung einzuüben. Firmen sollten Security-Werkzeuge, wie HPE Fortify Security Assistant, in das Entwicklungsökosystem integrieren. Damit können Entwickler, während sie ihre Codes schreiben, Schwachstellen in Echtzeit finden und beseitigen. Das macht sichere Entwicklung einfach und effizient - und bildet den Entwickler währenddessen in sicherer Programmierung aus.
Firmen sollten automatisierte Lösungen für Anwendungssicherheit einsetzen, die über Analytics-Funktionen verfügen - etwa HPE Fortify Scan Analytics, das mit maschinellem Lernen arbeitet. So können sie die Prüfung der Anwendungssicherheits-Tests automatisieren und ermöglichen ihren Sicherheitsexperten, sich nur auf die größten Risiken zu konzentrieren. Dadurch wird die Zahl der Sicherheitsrisiken reduziert, die manuell untersucht werden müssen.
Aufklappen für Details zu Ihrer Einwilligung
Stand vom 30.10.2020
Es ist für uns eine Selbstverständlichkeit, dass wir verantwortungsvoll mit Ihren personenbezogenen Daten umgehen. Sofern wir personenbezogene Daten von Ihnen erheben, verarbeiten wir diese unter Beachtung der geltenden Datenschutzvorschriften. Detaillierte Informationen finden Sie in unserer Datenschutzerklärung.
Einwilligung in die Verwendung von Daten zu Werbezwecken
Ich bin damit einverstanden, dass die Vogel IT-Medien GmbH, Max-Josef-Metzger-Straße 21, 86157 Augsburg, einschließlich aller mit ihr im Sinne der §§ 15 ff. AktG verbundenen Unternehmen (im weiteren: Vogel Communications Group) meine E-Mail-Adresse für die Zusendung von redaktionellen Newslettern nutzt. Auflistungen der jeweils zugehörigen Unternehmen können hier abgerufen werden.
Der Newsletterinhalt erstreckt sich dabei auf Produkte und Dienstleistungen aller zuvor genannten Unternehmen, darunter beispielsweise Fachzeitschriften und Fachbücher, Veranstaltungen und Messen sowie veranstaltungsbezogene Produkte und Dienstleistungen, Print- und Digital-Mediaangebote und Services wie weitere (redaktionelle) Newsletter, Gewinnspiele, Lead-Kampagnen, Marktforschung im Online- und Offline-Bereich, fachspezifische Webportale und E-Learning-Angebote. Wenn auch meine persönliche Telefonnummer erhoben wurde, darf diese für die Unterbreitung von Angeboten der vorgenannten Produkte und Dienstleistungen der vorgenannten Unternehmen und Marktforschung genutzt werden.
Falls ich im Internet auf Portalen der Vogel Communications Group einschließlich deren mit ihr im Sinne der §§ 15 ff. AktG verbundenen Unternehmen geschützte Inhalte abrufe, muss ich mich mit weiteren Daten für den Zugang zu diesen Inhalten registrieren. Im Gegenzug für diesen gebührenlosen Zugang zu redaktionellen Inhalten dürfen meine Daten im Sinne dieser Einwilligung für die hier genannten Zwecke verwendet werden.
Recht auf Widerruf
Mir ist bewusst, dass ich diese Einwilligung jederzeit für die Zukunft widerrufen kann. Durch meinen Widerruf wird die Rechtmäßigkeit der aufgrund meiner Einwilligung bis zum Widerruf erfolgten Verarbeitung nicht berührt. Um meinen Widerruf zu erklären, kann ich als eine Möglichkeit das unter https://support.vogel.de abrufbare Kontaktformular nutzen. Sofern ich einzelne von mir abonnierte Newsletter nicht mehr erhalten möchte, kann ich darüber hinaus auch den am Ende eines Newsletters eingebundenen Abmeldelink anklicken. Weitere Informationen zu meinem Widerrufsrecht und dessen Ausübung sowie zu den Folgen meines Widerrufs finde ich in der Datenschutzerklärung, Abschnitt Redaktionelle Newsletter.