Gartners 12 Empfehlungen für erfolgreiches DevSecOps im Detail

„Die Integration von Sicherheit in DevOps, um DevSecOps zu ermöglichen, erfordert veränderte Denkweisen, Prozesse und Technologien. Führungskräfte für Sicherheits- und Risikomanagement müssen sich an der kollaborativen, agilen Natur von DevOps orientieren, damit Sicherheitstests nahtlos in die Entwicklung eingebunden werden und das ‚Sec‘ in DevSecOps transparent bleibt.“

Laut dem Gartner-Bericht entwickelte sich DevSecOps 2019 schnell zu einem der am stärksten wachsenden Interessengebiete. Dabei lieferten sich weiterentwickelnde und erfolgreiche DevSecOps-Initiativen Analysten und anderen Führungskräften aus den Bereichen Sicherheit und Entwicklung wertvolle Erkenntnisse. Gartners aktueller Bericht — 12 Empfehlungen für erfolgreiches DevSecOps — fasst diese Erkenntnisse zusammen und bietet eine fundierte Analyse.

Der organisatorische Wandel hin zu DevSecOps kann kompliziert sein und zahlreiche Teams, viele bewegliche Teile und sogar neue Tools umfassen. Die Analysten von Gartner haben die häufigsten Herausforderungen ermittelt und Empfehlungen für Unternehmen ausgesprochen, die DevOps skalieren möchten.

Der Bericht behandelt unter anderem folgende Themen:

• Passen Sie Sicherheitstest-Tools und -Prozesse an Entwickler an

• Versuchen Sie nicht länger, während der Entwicklung jede Sicherheitslücke zu beseitigen

• Konzentrieren Sie sich zunächst darauf, bekannte Open-Source-Sicherheitslücken zu identifizieren und zu beheben

• Gehen Sie nicht davon aus, dass Sie herkömmliches DAST/SAST ohne Änderungen einsetzen können

• Schulen Sie Entwickler in sicherem Coding, erwarten Sie aber nicht, dass sie Sicherheitsexperten sind

• Führen Sie ein Security-Champion-Modell ein und setzen Sie ein einfaches Tool zur Erfassung von Sicherheitsanforderungen ein

• Sichern Sie Automatisierungsskripte und setzen Sie betriebliche Disziplin für sie und die Sicherheitslage der Infrastruktur durch

• Führen Sie eine strengere Versionskontrolle für den gesamten Code und alle Komponenten ein

• Setzen Sie Secrets-Management ein

• Verinnerlichen Sie das Prinzip einer unveränderlichen Infrastruktur

• Überdenken Sie den Umgang mit Vorfällen bei der Servicebereitstellung

• Nutzen Sie in DevSecOps eine dynamische Zugriffsbereitstellung für Entwickler

Im Folgenden gehen wir näher auf drei der zwölf Empfehlungen ein. Wir empfehlen Ihnen jedoch, den gesamten Bericht zu lesen, um einen umfassenden Überblick über die besten Möglichkeiten zu erhalten, diese Praktiken in Ihrem Unternehmen umzusetzen.

Passen Sie Sicherheitstest-Tools und -Prozesse an Entwickler an – nicht umgekehrt

Ein grundlegendes und weithin bekanntes Prinzip von DevOps besteht darin, Arbeit so schnell wie möglich durch das System zu bewegen. Weniger bekannt, aber für DevOps und Anwendungssicherheit entscheidend, ist das Prinzip, Entwicklern ebenso schnell und so früh wie möglich im Prozess Feedback zu geben.

Der veraltete Ansatz zur Informationssicherheit muss modernisiert werden. Eine Organisation auf DevOps auszurichten, ist jedoch nicht einfach. Es erfordert ein anpassungsfähiges Entwicklerteam sowie kooperative Betriebs- und Sicherheitsteams, die bereit sind, ihr Wissen weiterzugeben. Sobald ein neuer Prozess eingeführt ist, können Entwickler ihre Anwendungen während der Entwicklung und in ihrem eigenen Tempo absichern. Das optimiert den gesamten Prozess und erleichtert die Einhaltung von Compliance-Vorgaben.

Dieser entwicklerorientierte Ansatz erfordert auch eine Überprüfung der derzeit verfügbaren Sicherheitslösungen. Diese müssen in erster Linie auf Entwickler als Hauptnutzer ausgerichtet sein – selbst wenn das Tool aus dem Budget des Sicherheitsteams finanziert wird. Mit der Zeit werden diese Lösungen zum neuen Standard und prägen unseren künftigen Umgang mit DevOps.

Konzentrieren Sie sich zunächst darauf, bekannte Open-Source-Sicherheitslücken zu identifizieren und zu beheben

Voltaire wird ein berühmtes, mehrere Jahrhunderte altes Zitat zugeschrieben: „Das Bessere ist der Feind des Guten.“ Das gilt heute noch genauso wie vor Jahrhunderten – insbesondere in der digitalen Wirtschaft, in der das Streben der Informationssicherheit nach perfekter Sicherheit im Widerspruch zum Bedarf von Unternehmen und Entwicklern an Schnelligkeit und Agilität steht.

Sobald die richtigen Tools vorhanden sind, kann man leicht davon ausgehen, dass jedes Problem sofort erkannt und behoben wird. Doch selbst mit den optimierten Prozessen, die DevOps für die Sicherheit eines Unternehmens mit sich bringt, ist das nicht der Fall. Noch frustrierender wird es, wenn Teams ihre ersten Tests durchführen, mit einer langen Liste von Sicherheitslücken konfrontiert sind und sich fragen: „Was beheben wir zuerst?“

Wie Gartner empfehlen auch wir, diese Liste zu nehmen und eine besser handhabbare, priorisierte Liste für Entwickler zu erstellen.

Führen Sie ein Security-Champion-Modell ein und setzen Sie ein einfaches Tool zur Erfassung von Sicherheitsanforderungen ein

Security Champions können die wahrgenommene Komplexität von sicherem Coding verringern, indem sie direkte, praxisnahe Beispiele aus dem Team-Code liefern und sich auf die sofortige Behebung konzentrieren, statt auf abstraktere, weniger greifbare Probleme.

Ein gutes Beispiel für Security Champions ist Revoluts Erfolg bei der Einführung dieser Praxis im gesamten Unternehmen. Das Unternehmen konnte fast unmittelbar einen verbesserten Sicherheitsansatz verzeichnen und führte einen Großteil davon auf die Zusammenarbeit mit Snyk zurück – einem Partner, der sich nicht nur technologisch, sondern auch kulturell in das Unternehmen integrieren konnte.

Dieser Blogbeitrag hat die hilfreichen Erkenntnisse aus dem Bericht nur angerissen – es gibt noch so viele weitere Empfehlungen zu entdecken!