Laut Invicti kann das Sicherheitspersonal mehr als fünf Stunden damit verbringen, Sicherheitslücken zu beheben, die während des App-Entwicklungszyklus aufgetreten sind.
Sicherheitslücken treten häufig während des Softwareentwicklungsprozesses auf und treten erst nach der Bereitstellung einer Anwendung auf. Das Frustrierende daran ist, dass viele dieser Sicherheitslücken im Voraus hätten behoben werden können, wenn die richtigen Methoden und Tools zu ihrer Entdeckung eingesetzt worden wären.
Ein am Dienstag veröffentlichter Bericht des Webanwendungssicherheitsunternehmens Invicti analysiert den Zeit- und Ressourcenaufwand für die Suche nach Sicherheitslücken in entwickelten Anwendungen.
SIEHE: Passwortverletzung: Warum Popkultur und Passwörter nicht zusammenpassen (kostenloses PDF) (TechRepublic)
Um den Bericht „State of the DevSecOps Professional: On the Job and Off the Watch“ zu erstellen, hat Invicti in Zusammenarbeit mit Wakefield Research 500 Cybersicherheitsexperten und Softwareentwickler mit mindestens Direktorenpositionen befragt. Alle Befragten kamen aus US-amerikanischen Unternehmen mit 2.000 oder mehr Mitarbeitern.
Etwa 41 % der befragten Sicherheitsexperten und 32 % der Entwickler gaben an, dass sie jeden Arbeitstag mehr als fünf Stunden damit verbringen, sich mit Sicherheitsproblemen zu befassen, die eigentlich gar nicht hätten auftreten dürfen. Sich mit diesen Sicherheitsproblemen auseinandersetzen zu müssen, insbesondere angesichts der sogenannten „Großen Resignation“ und der Sorge vor drohenden Cyberangriffen, kann bei Fachleuten leicht zu Überlastung und Stress führen.
Ungefähr 81 % der Befragten gaben an, dass Support-Tickets eine „magische Kraft“ haben, um sie bis zum Ende des Tages zu überstehen. Ein Drittel der Befragten gab an, dass sie aufgrund von Sicherheitsbedenken am Arbeitsplatz Verabredungen und Abende mit Freunden absagen mussten. Darüber hinaus gab die Hälfte von ihnen an, dass sie sich über ein Wochenende oder in ihrer Freizeit anmelden mussten, um ein Problem zu lösen.
Trotz des Stresses wiesen viele der Befragten auf gewisse positive Aspekte ihres Jobs hin.
Etwa 65 % der Sicherheitsexperten und Entwickler gaben an, dass sie ihren Unternehmen im vergangenen Jahr durch die Verhinderung von Sicherheitsverletzungen mindestens 1 Million US-Dollar erspart haben. 95 % gaben an, dass die digitale Transformation und die Umstellung auf Remote-Arbeit ihre Jobs wertvoller und lohnender gemacht haben. Darüber hinaus gaben 49 % der Befragten an, mit ihren Kollegen in den Bereichen Sicherheit oder Entwicklung befreundet zu sein, was eine Verbesserung gegenüber den Ergebnissen des letzten Jahres darstellt.
Dennoch sind häufig auftretende Sicherheitslücken und Probleme ein Beweis dafür, dass der Anwendungsentwicklungszyklus verbessert werden muss.
„Sicherheit ist mittlerweile jedermanns Sache, daher führen Trennungen zwischen Sicherheit und Entwicklung oft zu unnötigen Verzögerungen und manueller Arbeit“, sagte Sonali Shah, Chief Product Officer von Invicti.
„Organisationen können stressige Überlastung und damit verbundene Probleme für Sicherheits- und DevOps-Teams lindern, indem sie sicherstellen, dass Sicherheit in den Softwareentwicklungslebenszyklus (SDLC) integriert ist und nicht nur ein nachträglicher Einfall“, fügte er hinzu. „Das Scannen der Anwendungssicherheit sollte sowohl während der Entwicklung der Software als auch nach der Produktion automatisiert werden. Durch den Einsatz von Tools, die kurze Analysezeiten, genaue Ergebnisse, die nach kontextualisierten Risiken priorisiert werden, und Integrationen in Entwicklungsabläufe bieten, können Unternehmen die Sicherheit von links nach rechts verlagern und gleichzeitig sicheren Code effizient bereitstellen.“
Wenn es um Softwareentwicklung geht, müssen Innovation und Sicherheit laut Shah nicht konkurrieren. Vielmehr sind sie inhärent miteinander verbunden.
„Mit einer geeigneten Sicherheitsstrategie sind DevOps-Teams in der Lage, Sicherheit in die Architektur des Anwendungsdesigns zu integrieren“, sagte Shah. „Durch die Integration von Sicherheit in den SDLC und die Investition in Tools, die alles präzise automatisieren, um manuelle Arbeit zu reduzieren, haben Unternehmen mehr Raum für Innovationen und können Reibungsverluste zwischen Sicherheit und Entwicklung beseitigen.“
