Neue ESG-Studie zeigt wichtige Trends in der Anwendungssicherheit auf

„Shift left“ ist für Sicherheitsteams heute zum Königsweg geworden. Unternehmen haben jedoch weiterhin Schwierigkeiten, einige der zentralen Prozesse für Anwendungssicherheit, die damit einhergehen, erfolgreich umzusetzen.

Eine neue, von Snyk geförderte und von der Enterprise Strategy Group (ESG) durchgeführte Studie zu Trends in der Anwendungssicherheit im Jahr 2020 zeigt: Entwicklerinnen und Entwickler erhalten zwar mehr Verantwortung dafür, ihre Anwendungen auf Sicherheitsprobleme zu prüfen, ihnen fehlen jedoch schlicht das nötige Wissen und die passenden Tools dafür.

Wichtige Trends in der Anwendungssicherheit, die weiterhin Aufmerksamkeit erfordern

Der aktuelle ESG-Bericht hebt eine Reihe von Trends in der Anwendungssicherheit hervor:

1. Entwicklerinnen und Entwickler haben weiterhin Schwierigkeiten, Probleme zu beheben: 29 % der Befragten gaben an, dass ihren Entwicklungsteams schlicht das nötige Wissen fehlt, um erkannte Probleme zu beheben.

2. Bestehende Tools bremsen die Entwicklung: 26 % der Befragten fanden, dass ihre vorhandenen Test-Tools die Arbeit erschwerten und Entwicklungszyklen verlangsamten.

3. Entwicklerinnen und Entwickler nutzen vorhandene Tools zu wenig: 24 % beklagten, dass ihre Entwicklerinnen und Entwickler die Test-Tools, in die sie investiert hatten, schlicht nicht effektiv einsetzten.

4. Fehlende Integrationen stellen Unternehmen vor Herausforderungen: 23 % gaben an, dass sich ihre Tools nicht gut in Entwicklungs- und DevOps-Tools integrieren lassen.

5. Bei der Sicherheitsschulung von Entwicklerinnen und Entwicklern gibt es noch viel zu tun: Nur 15 % gaben an, dass alle ihre Entwicklerinnen und Entwickler an formellen Sicherheitsschulungen teilnehmen.

Entwicklerinnen und Entwickler haben Schwierigkeiten mit ihren Anwendungssicherheits-Test-Tools

Die beste Lösung oder das beste Tool für „Shift left“ ist kaum wirksam, wenn die Entwicklerinnen und Entwickler, die es nutzen sollen, es nicht annehmen.

Fast ein Viertel der Befragten (24 %) fand, dass die Entwicklerinnen und Entwickler die Anwendungssicherheits-Test-Tools, in die sie investiert hatten, schlicht nicht effektiv einsetzten. Die Gründe für diese schwerwiegenden Akzeptanzprobleme lassen sich in weiteren von den Befragten genannten Herausforderungen finden: 26 % waren der Ansicht, dass ihre vorhandenen Test-Tools die Arbeit erschwerten und die Entwicklung tatsächlich verlangsamten, während 23 % angaben, dass sich ihre Tools nicht gut in Entwicklungs- und DevOps-Tools integrieren lassen.

Von Entwicklerinnen und Entwicklern wird erwartet, Sicherheitsprobleme zu finden, zu priorisieren und zu beheben. Dafür benötigen sie jedoch ein entwicklerfreundliches Tool, das sie dabei unterstützt. Ohne ein solches Tool ist jede Shift-Left-Initiative zum Scheitern verurteilt.

Weitere Informationen dazu, wie Sie Entwicklerinnen und Entwickler dabei unterstützen, den Sicherheits-Backlog zu priorisieren, finden Sie in diesem inspirierenden Blogbeitrag von Snyk-Gründer Guy Podjarny.

Sicherheitsteams müssen Entwicklerinnen und Entwickler besser befähigen

Entwicklerfreundliche Tools bereitzustellen, ist natürlich nur ein Teil der Lösung. Wie der Bericht hervorhebt, sind Entwicklerinnen und Entwickler zunehmend auch dafür verantwortlich, Code in die Produktion zu bringen. Deshalb benötigen sie Anleitung und Schulungen durch die Sicherheitsteams. Erhalten sie diese Unterstützung tatsächlich?

Ein besorgniserregendes Ergebnis des Berichts: Entwicklerinnen und Entwickler werden nicht ausreichend geschult. Ja, die meisten Unternehmen verlangen von ihren Entwicklerinnen und Entwicklern eine gewisse AppSec-Schulung. Doch 35 % der Befragten gaben an, dass weniger als die Hälfte ihrer Entwicklungsteams tatsächlich an formellen Schulungen teilnimmt. Nur 15 % sagten, dass alle ihre Entwicklerinnen und Entwickler daran teilnehmen.

Das deckt sich mit vielen Empfehlungen aus O’Reillys Buch zum Thema „Securing Open Source Libraries“. Hier finden Sie eine Zusammenfassung und einen Link zu einer kostenlosen Ausgabe des Buchs.

„Shift left“ richtig umsetzen

In einer Welt, in der die meisten Unternehmen Technologie und Software nutzen, um sich in ihren Märkten abzuheben und wettbewerbsfähig zu bleiben, war das Entwicklungstempo noch nie so wichtig.

Traditionelle Sicherheitsprozesse können mit dieser schnellen Innovationsgeschwindigkeit nicht mithalten. Sicherheitsprüfungen an verschiedenen Stellen der Delivery-Pipeline bremsen die Entwicklung aus und werden letztlich ignoriert. Als Reaktion auf diese Herausforderung entstanden die Konzepte DevSecOps und Shift Left: Sicherheit wird in die frühen Entwicklungsphasen verlagert und in die Hände der Entwicklerinnen und Entwickler gelegt. Seitdem gelten sie als De-facto-Best-Practices.

Für ein erfolgreiches Shift Left reicht es jedoch nicht, Entwicklerinnen und Entwicklern einfach eine Liste mit zu behebenden Problemen oder ein Tool an die Hand zu geben, das für das Sicherheitsteam entwickelt wurde. Sie benötigen entwicklerfreundliche Tools und kontinuierliche Unterstützung durch das Sicherheitsteam.

Genau darum geht es bei Snyk.