Steht Ihr Team auf der *Sicherheitsliste der Braven* oder der Unartigen?

Als Kinder fieberten viele von uns den Feiertagen entgegen – voller Vorfreude, Begeisterung und vielleicht auch ein wenig Nervosität. Waren wir brav genug gewesen, um den Gameboy, das Barbie-Traumhaus oder das Zaubertafel-Spiel zu bekommen, auf das wir so lange gehofft hatten, oder gab es am Ende nur einen großen Klumpen Kohle?

Die Feiertage sind ein guter Anlass, dieselbe Frage in einem anderen Zusammenhang zu stellen: Bringen die Praktiken Ihrer Organisation im Umgang mit KI, Application-Security-Tools und anderen sicherheitsrelevanten Themen Sie dieses Jahr auf die Liste der Sicherheit der Braven oder der Unartigen?

Lesen Sie weiter und finden Sie es heraus!

Unartig: Sicherheitsmaßnahmen nur dann ad hoc für Assets ergreifen, wenn Compliance-Vorgaben oder die Führungsebene es verlangt

Wenn Sie sich nicht die Zeit nehmen, alle vorhandenen Assets Ihrer Organisation zu inventarisieren, ist die Wahrscheinlichkeit groß, dass Quellcode, Abhängigkeiten von Drittanbietern oder Endpunkte übersehen werden. Oder umgekehrt: Vielleicht wenden Sie versehentlich doppelte Sicherheitsmaßnahmen auf dasselbe Asset an und verschwenden so Ressourcen und wertvolles Sicherheitsbudget!

Brav: Eine Gap-Analyse der Application Security durchführen, um herauszufinden, wie Sie Ihre Umgebung ganzheitlich absichern können

Eine Gap-Analyse der AppSec ist ein guter Ausgangspunkt, um Ihre Umgebung ganzheitlich abzusichern. Es empfiehlt sich, Ihre vorhandenen Assets zu inventarisieren und nach ihrer Bedeutung für das Geschäft zu klassifizieren.

Erfahren Sie mehr darüber, wie Sie ein risikobasiertes AppSec-Programm skalieren.

Unartig: Annehmen, dass Sicherheit Ihre CI/CD-Prozesse ausbremst, und sie deshalb auf die lange Bank schieben

Richtig umgesetzt kann Sicherheit Ihre CI/CD-Pipeline beschleunigen, statt sie auszubremsen. Vielleicht ist 2024 das Jahr, in dem Sie Sicherheit nicht länger auf die lange Bank schieben und herausfinden, wie sie Ihre Entwicklungsprozesse unterstützen kann!

Brav: Sicherheit als Wegbereiter – und nicht als Hindernis – für Ihre bestehenden Prozesse betrachten

Wenn Sicherheit in Ihre gesamte CI/CD-Pipeline integriert ist, verändert das alles. Denken Sie an sofortige Code-Prüfungen bei Pull Requests, automatisiertes Threat Modeling und vieles mehr. Eine sicherheitsbewusste CI/CD-Pipeline hilft Entwicklern, sichere Programmierpraktiken zu erlernen, qualitativ hochwertigere Produkte zu entwickeln und die Sicherheitslage Ihrer Organisation insgesamt zu verbessern.

Erfahren Sie, wie Sie eine sicherheitsbewusste CI/CD-Pipeline aufbauen.

Unartig: Annehmen, dass KI-generierter Code gut geschrieben und sicher ist

KI hat die Fantasie und Begeisterung unzähliger Entwickler geweckt. Lassen Sie sich jedoch nicht täuschen: Die eleganten Benutzeroberflächen und raffinierten Funktionen heutiger KI-Programmierassistenten sorgen nicht für zuverlässigeren Code. KI wird mit öffentlich verfügbaren Informationen trainiert und lernt anhand von Code aus dem gesamten Web – dem guten, dem schlechten und dem hässlichen –, wie man Code schreibt. Anders gesagt: Sie können davon ausgehen, dass der KI-Programmierassistent, den Sie nutzen, über ähnliche Programmierkenntnisse verfügt wie ein unerfahrener Entwickler.

Brav: KI-generierten Code mit Sicherheitsscans überprüfen

Entwickler auf der ganzen Welt nutzen gerne KI-Tools und werden das dank der enormen Geschwindigkeit, die sie ermöglichen, auch weiterhin tun. Trotzdem ist es wichtig, KI-generierten Code genauso zu prüfen wie von Hand geschriebenen Quellcode – einschließlich Echtzeit-Sicherheitsscans für KI-generierten Code.

Erfahren Sie, wie Snyk als Sicherheitsbegleiter für Ihren KI-generierten Codedienen kann.

Unartig: Sicherheitskorrekturen ausschließlich nach CVSS-Schweregrad priorisieren (kritisch, hoch usw.)

Kritische Schwachstellen klingen beängstigend. Und es sieht beeindruckend aus, wenn Sie viele davon beheben und stolz sagen können: „Ich habe X kritische Schwachstellen behoben!“

Aber ist es sinnvoll, mit allen kritischen Schwachstellen anzufangen und sich dann nach unten vorzuarbeiten? Was, wenn eine kritische Schwachstelle auf einer Test-Website voller Lorem-Ipsum-Platzhaltertext zu finden ist? Was, wenn es in einer der wertvollsten Apps Ihrer Organisation, die Tausende von Nutzern verwenden und große Mengen vertraulicher Daten enthalten, eine mittelschwere Schwachstelle gibt?

Brav: Sicherheitskorrekturen anhand eines ganzheitlichen Bildes der Risiken für die Organisation priorisieren

CVSS kann zwar einen Hinweis auf den Risikograd einer bestimmten Schwachstelle geben, zeigt aber nicht das ganze Bild. Deshalb ist Application Security Posture Management (ASPM) ein so aktuelles Thema. Dabei geht es darum, die Sicherheitslage Ihrer gesamten Umgebung zu verstehen und so eine stärker risikobasierte Priorisierung zu ermöglichen. Der Anwendungskontext und der geschäftliche Kontext spielen dabei eine größere Rolle für die Bewertung des Risikos, das ein bestimmtes Problem darstellt. Dazu gehört zum Beispiel, wie die Daten aus einem Scan mit Static Application Security Testing (SAST) mit den Ergebnissen von Sicherheitstests zur Laufzeit zusammenhängen.

Erfahren Sie mehr über ASPM und darüber, wie es die Sichtweise auf Application Security verändert.

Unartig: Vertrauliche Daten für KI-Prompts verwenden

Wie bereits festgestellt, ist KI nicht uneingeschränkt vertrauenswürdig. Das gilt auch dafür, wie KI Prompt-Daten verarbeitet und speichert. Nicht alle LLMs verfügen über geeignete Verschlüsselungskontrollen oder halten sich an formelle Sicherheitsrichtlinien.

Brav: Bei der Nutzung von LLMs das Prinzip der geringsten Berechtigung anwenden

Sie können dem LLM zwar Kontextinformationen zur Verfügung stellen, wenn Sie einen Prompt eingeben, sollten ihm aber nur die absolut notwendigen Daten geben, die es zur Erledigung seiner Aufgabe benötigt. Es empfiehlt sich außerdem, vor der Nutzung die Sicherheitsrichtlinien des Tools zu prüfen.

Lesen Sie 10 Best Practices für die sichere Entwicklung mit KI.

Brav: Ihren Entwicklern das beste Geschenk überhaupt machen: entwicklerfreundliche Sicherheitstools von Snyk!

Zumindest finden wir, dass es das beste Geschenk ist. Erfahren Sie noch heute mehr über Snyk AppRisk für ASPM und unseren Ansatz für Application Security.