Wie Sie Entwickler in Security schulen, weiterbilden und stärken

Aufgepasst, Entwickler! Es ist an der Zeit, dass Sie Verantwortung für die Anwendungssicherheit übernehmen. Das mag einigen von Ihnen zunächst einschüchternd erscheinen, aber keine Sorge! Es gibt zahlreiche Ressourcen, Tools und Methoden, die Sie auf Ihrem Weg zu herausragenden DevSecOps-Kenntnissen unterstützen. In diesem Blogbeitrag stellen wir einige Folgen von The Secure developer vor, einem Podcast im Interviewformat, der von Snyks eigenem CEO Guy Podjarny moderiert wird. Der Podcast läuft bereits seit deutlich über einem Jahr, und Guy hat einige der führenden Köpfe unserer Branche interviewt, darunter den CTO von Chef, Adam Jacob, den Gründer von DevSecCon, Francois Raynaud, und James Governor von Redmonk – um nur einige zu nennen.

Inzwischen wissen wir alle: Entwickler sind die neuen Königsmacher. Wer sich nicht auf die Bedürfnisse der Entwickler konzentriert und gleichzeitig auf ihre Ratschläge hört, wird den Wettbewerbern hinterherlaufen. Wie können wir als Branche oder als Einzelne Entwickler also stärken, damit sie genug Wissen und Handlungsspielraum haben, um Security wirksam umzusetzen? Um diese Frage zu beantworten, habe ich einige Folgen der Podcastreihe ausgewählt, in denen Guy verschiedene Security-Teams befragt und beleuchtet, wie das gelingen kann.

Entwickler in Security stärken

Folge 1: Sichere Entwicklung priorisieren

In der ersten Folge von The Secure Podcast ist Kyle Randolph zu Gast, Principal Security Engineer bei Optimizely und der erste Security-Mitarbeiter des Unternehmens. Kyle und Guy sprechen darüber, wie man gute Security-Praktiken etabliert und gleichzeitig innerhalb des Security-Teams engagierte Fürsprecher aufbaut. Außerdem geht es darum, wie wichtig die Nähe zu den Engineers ist. Kyle behandelt auch die manchmal schwierige, aber stets wichtige Aufgabe, Security in der Engineering-Organisation zu priorisieren. Er erzählt von seinen Erfahrungen bei Optimizely, Adobe und Twitter.

„Wenn Sie eng mit dem Engineering-Team zusammenarbeiten, wissen Sie, woran gerade gearbeitet wird und was die Engineers beschäftigt. So können Sie leichter Einfluss auf sie nehmen – und sie kommen auch von sich aus auf Sie zu.“

Kyle Randolph

„Wenn sie sich dafür interessieren und begeistert sind, arbeiten sie wahrscheinlich viel produktiver daran, als wenn man es ihnen einfach zuweist.“

Kyle Randolph

Hören Sie The Secure Developer - Ep. #1, Prioritizing Secure Development

Folge 11: PagerDuty sicher halten

Guy spricht mit Arup Chakrabarti, Kevin Babcock und Rich Adams von PagerDuty. Sie erzählen, wie sie ihre Security-Vision „das Richtige einfach machen“ in die Praxis umsetzen: mit Tools, die die Security-Automatisierung verbessern, mit Transparenz und indem sie Entwickler stärken. Dazu gehört, die passenden Tools auszuwählen und ein Security-Erlebnis zu gestalten, das niemanden zu etwas zwingt, sondern zeigt, wie Schwachstellen ausgenutzt werden können. Wenn Menschen Dinge selbst kaputtmachen dürfen, entsteht außerdem ein starkes Bedürfnis, diese anschließend zu schützen.

„Anstatt den Leuten also eine Liste von Regeln zu geben, haben wir es anders aufgezogen: Wir haben gezeigt: ‚So gehen Angreifer vor, so knacken Sie Passwörter‘, und das mit ein paar ausgefeilten Animationen veranschaulicht. So waren die Leute viel stärker eingebunden.“

Rich Adams

„Eine Möglichkeit, das ganze Team einzubinden, ist ein Bereitschafts- und Einsatzplan: Wenn ein bestimmtes Problem auftritt, muss die Person, die gerade Bereitschaft hat, das Problem verstehen und sich darum kümmern.“

Kevin Babcock

„Viele Security-Tools setzen stillschweigend voraus, dass Ihnen ein ganzes Heer von Security-Analysten zur Verfügung steht.“

Arup Chakrabarti

Folge 13: So setzt New Relic Security um

Guy spricht mit Shaun Gordon, Chief Security Officer bei New Relic. Shaun erzählt, wie er – mit seinem Hintergrund in der Entwicklung – seine Laufbahn im Security-Bereich begann, und erklärt, wie sich die Rolle von Security bei New Relic verändert hat. Er erläutert, warum das Unternehmen Security-Prozesse an die Arbeitsweise der Entwickler anpasst, und betont, wie wichtig Ausnahmen, Scorecards und Automatisierung sind, um eine schnell wachsende Organisation zu unterstützen.

„Ich war nie der typische Hacker, der gerne Dinge angegriffen hat. Diese Fähigkeiten habe ich mir auch nirgendwo formell angeeignet. Ich bin eher zufällig dazu gekommen und habe Security von Anfang an aus der Perspektive eines Entwicklers und Verteidigers betrachtet.“

Shaun Gordon

„Für mein Team gilt folgender Grundsatz: Ich möchte unsere Security-Arbeit so verändern, dass sie zur Arbeitsweise der Entwickler passt.“

Shaun Gordon

Was Sie jetzt tun sollten!

Sie interessieren sich offensichtlich dafür, selbst sicher zu entwickeln oder Ihre Entwickler dazu zu befähigen, Verantwortung für Security zu übernehmen. Wenn das auf Sie zutrifft, melden Sie sich für den Podcast The Secure Developer an und hören Sie die neuesten Folgen, sobald sie erscheinen! Und wenn Sie Ihren Entwicklern die nötigen Tools an die Hand geben möchten, damit sie bekannte Sicherheitslücken und problematische Lizenzen effizient finden und beheben können, sollten Sie sich Snyk ansehen. Für Open-Source-Projekte bietet Snyk kostenlose, unbegrenzte Tests.