DevSecCon-Paneldiskussion: Was kommt zuerst – Sicherheit oder die App?

Bei der Entwicklung von Anwendungen spielt Sicherheit eine immer wichtigere Rolle: Sie schützt Infrastruktur und Daten und trägt dazu bei, das Vertrauen der Nutzerinnen und Nutzer zu stärken. Vor Kurzem veranstalteten die Snyk-Experten Vandana Verma Sehgal  und DeveloperSteve eine Podiumsdiskussion mit erfahrenen Branchenexpertinnen und -experten. Sie teilten ihre Erkenntnisse dazu, wann Sicherheit in die App-Entwicklung einbezogen werden sollte.

„Wenn Sie sich ansehen, wie die Branche das Konzept Shift-Left-Security in den Softwareentwicklungslebenszyklus integriert hat, erkennen Sie, dass Sicherheit immer stärker in den Vordergrund rückt. Das gilt auch für die anfängliche Entwicklung neuer Anwendungen: Sicherheit wird bereits in den Ideenfindungsprozess einbezogen, um Möglichkeiten für die Entwicklung sichererer Anwendungen zu identifizieren.“

„Als Entwickler erstellen wir Anwendungen mit Blick auf die Endnutzer. Die Sicherheit ihrer Nutzungserfahrung zu gewährleisten und ihre Daten zu schützen, ist wichtig. Unsere Endnutzer vertrauen darauf, dass wir Anwendungen für sie entwickeln. Sie zu schützen, ist entscheidend, um dieses Vertrauen zu erhalten.“

Die Podiumsdiskussion

An der Diskussion nahmen Lidia Giuliano (Security Architect und Mitglied von Blackhat Asia), Michael Cheng (Lead Software Engineer bei GovTech Singapore), Sandeep Singh (Security Consultant bei NotSoSecure und Leiter des OWASP Delhi Chapter) sowie Pas Apicella (Principal Solutions Engineer bei Snyk) teil.

Zum Auftakt stellten wir die Frage: „Sollte die Entwicklung einer Anwendung mit der Festlegung von Sicherheitsrichtlinien beginnen?“

Lidia: Ich vergleiche die Anwendungsentwicklung gern mit dem Bau eines Hauses. Bevor man mit dem Bauen beginnt, müssen Dinge genehmigt werden. Und im weiteren Verlauf gibt es Compliance-Prüfungen, um sicherzustellen, dass alles nach Plan verläuft.

Michael: Da wir viele Apps für die Regierung entwickeln, gelten bei uns Regeln und Richtlinien, die sicherstellen, dass unsere Tools und Umgebungen den vorgegebenen Standards entsprechen. Für die Entwicklung wird dadurch festgelegt, was verwendet werden darf und wie.

Ein zentraler Punkt der Diskussion über Tools war offenbar, dass Sicherheitsteams eng mit der Entwicklung zusammenarbeiten sollten. So können die Anforderungen an Entwicklungs-Tools und -Umgebungen erfüllt werden, während gleichzeitig ein vorab festgelegtes Sicherheitsniveau gewährleistet ist. Um diesen Gedanken weiter zu vertiefen, fragten wir Sandeep: „Welche Sicherheitsaspekte sollten Sie berücksichtigen, wenn Sie den Umfang einer App festlegen?“

Sandeep: Wichtig ist, sich immer an die grundlegenden Sicherheitsprinzipien zu halten – ganz gleich, wie selbstverständlich sie erscheinen. Dazu gehören die Bereinigung von Nutzereingaben und Daten sowie die Absicherung von Authentifizierung und Berechtigungen in Infrastruktur und Anwendungsplattformen. Im SDLC geht es dabei um grundlegende Fragen: Wer wird meine App nutzen? Welche Daten werden erzeugt und wo werden sie gespeichert? Was passiert, wenn diese Daten kompromittiert werden?

Damit kamen wir zur Kernfrage der Diskussion: Wann ist es zu früh, Sicherheit in den App-Entwicklungsprozess einzubringen? Konkret fragten wir: „Zu welchem frühesten Zeitpunkt haben Sie erlebt, dass Sicherheit in den Prozess einbezogen wurde?“

Pas: Einige Kundinnen und Kunden, mit denen ich bei Snyk zusammenarbeite, möchten DevOps-Pipelines zunächst nutzen, um Sicherheit als Teil ihrer CI/CD zu automatisieren. Stattdessen frage ich, welche Sicherheits-Tools für Entwicklerteams verfügbar sind, mit denen sie Schwachstellen bereits früher im Entwicklungsprozess erkennen und besser verstehen können.

Sandeep betonte, dass die Zusammenarbeit von Sicherheitsexperten und Entwicklern das Bewusstsein in beiden Teams stärkt. Lidia ergänzte, wie wichtig eine Teamkultur ist, und empfahl, in Entwicklungsteams Sicherheitsbotschafter aufzubauen, die dieses Bewusstsein fördern.

Lidia: Als ich Entwicklerin war, durften wir bestimmte Sprachkonstrukte aus Sicherheitsgründen nicht verwenden. Dabei war uns klar, dass dies die Anwendungsentwicklung erschwerte, weil es die Möglichkeiten einschränkte, Code selbst in Entwicklungsumgebungen zu debuggen.

Insgesamt waren sich die Teilnehmenden offenbar einig: Es ist nie zu früh, Sicherheit in den Anwendungsentwicklungsprozess einzubeziehen. Wird Sicherheit von Anfang an in den Workflow integriert, rückt sie näher an die Entwicklungsteams heran und ermöglicht einen ganzheitlicheren Ansatz über den gesamten Prozess hinweg. Schon in der Ideenfindungsphase können Teams so eine stärker sicherheitsorientierte Denkweise entwickeln.

Sehen Sie sich die vollständige Aufzeichnung der Diskussion an:

Play Video: Snyk Panel: Which Comes First, Security or the App?

Starten Sie mit Snyk in Ihrem SDLC

Integrieren Sie Snyk in Ihren SDLC und helfen Sie dabei, potenzielle Probleme zu erkennen – durch Scans von Code, Open-Source-Paketen, Container-Images und IaC.