Mit DevSecOps das Kriegsbeil begraben
Studie von Veracode und ESG zeigt: Entwickler- und Sicherheitsteams kommen besser miteinander aus als gedacht
DevSecOps erleichtert Entwicklern die Arbeit und macht Anwendungen sicherer
Gemeinsam sind sie stärker! Vielen erscheinen die Prioritäten von Software-Entwicklern und Mitarbeitern der IT-Sicherheit als unvereinbar – die einen wollen möglichst schnell arbeiten, die anderen möglichst sorgfältig. Eine neue Studie vom Anwendungssicherheits-Spezialisten Veracode und den IT-Beratern der Enterprise Strategy Group (ESG) zeigt jetzt, dass die beiden Abteilungen durchaus in der Lage sind, an einem Strang zu ziehen. Im Rahmen von Initiativen wie DevOps arbeiten sie auf ein gemeinsames Ziel hin: sichere Software. 58 Prozent der Befragten gaben an, dass ihr Unternehmen bereits einen solchen kollaborativen Ansatz verfolge, um Anwendungen abzusichern. Auch die Integration der IT-Sicherheit in den Entwicklungsprozess – anstatt der früher üblichen Beschränkung auf die Produktivumgebung – gewinnt an Popularität. Wichtigste Voraussetzungen für die unter dem Begriff DevSecOps bekannten Ansätze sind geeignete Tools, die eine nahtlose Integration ermöglichen.
DevSecOps gewinnt an Bedeutung
Ziel der Studie war es, die Sicht von Sicherheitsfachleuten und Entwicklern auf Trends in den Bereichen Anwendungssicherheit und Software-Entwicklung darzulegen. 43 Prozent der Befragten, die in ihren Unternehmen bereits Lösungen wie Static Application Security Testing (SAST) einsetzen, gaben sich dabei überzeugt, dass es effizienter sei, Anwendungssicherheit in den Entwicklungsprozess zu integrieren, als Produktionssysteme reaktiv zu patchen.
45 Prozent der Befragten, die bereits in DevOps-Umgebungen arbeiten, sind der Meinung, dass DevOps die Arbeit der Entwicklerteams erleichtert. Nur acht Prozent denken, dass die Integration von Anwendungssicherheit in den Entwicklungsprozess die Arbeit in einer DevOps-Umgebung eher ausbremst. Diese Ergebnisse stehen im starken Gegensatz zur landläufigen Behauptung, dass der Fokus auf Sicherheit die Software-Entwicklung verlangsame.
"Software bleibt weiterhin die wichtigste Triebfeder für Innovation und wirtschaftliches Wachstum. Entsprechend wichtig ist eine reibungslose Zusammenarbeit zwischen Entwickler- und Sicherheitsteams – und entsprechend wichtig ist es auch, den Irrglauben an einen unauflöslichen Interessenkonflikt zwischen diesen beiden Gruppen zu widerlegen", sagt Pete Chestna, Director of Developer Engagement von Veracode. "Die vorliegende Studie zeigt auf, wie sich schnelle Entwicklungszyklen nach DevOps-Prinzipien und der Fokus auf Sicherheit unter einen Hut bringen lassen: durch die Integration der IT-Sicherheit in den Entwicklungsprozess."
Für die Unternehmen kommt dieser Paradigmenwechsel gerade zur rechten Zeit, jetzt wo Cyber-Angriffe vor Augen führen, wie häufig und gefährlich Software-Schwachstellen sind. Der Ransomware-Angriff WannaCry ist das aktuellste Beispiel – und nur eines von vielen. Gegen diesen Angriff, der eine Schwachstelle in älteren Windows-Installationen ausnutzte, hätte ein Patch von Microsoft geholfen. Allerdings nur, wenn er auch installiert worden wäre, was tausende Unternehmen versäumten.
Angesichts der wachsenden Bedrohungslage planen 70 Prozent der Befragten, ihre Investitionen in Anwendungssicherheit binnen der nächsten 12 bis 24 Monate zu erhöhen.
DevOps erhöht technische Anforderungen
Die Studie unterstreicht die Notwendigkeit, Anwendungssicherheit in den DevOps-Prozess zu integrieren – ein Ansatz, der immer öfter als DevSecOps bezeichnet wird. Die Daten zeigen aber auch, Unternehmen hierfür zunächst die technischen Voraussetzungen schaffen müssen. Viele Tools erweisen sich dabei als ungeeignet, um sie nahtlos in den DevOps-Workflow zu integrieren. Bei der Suche nach Lösungen für dynamische und statische Sicherheitstests legen Unternehmen deshalb das Hauptaugenmerk auf die Fähigkeit, Werkzeuge für statische Tests und Software-Lifecycle-Tools zu integrieren (42 Prozent), sowie auf die Fähigkeit, Werkzeuge für dynamische Tests und Software-Lifecycle-Tools zu integrieren (34 Prozent).
"Zeitgemäße Methoden der Anwendungsentwicklung wie DevOps fördern die Kommunikation und Zusammenarbeit zwischen Entwicklerteams, IT-Betrieb und IT-Sicherheit. Ziel ist, Schwachstellen so früh wie möglich zu erkennen und zu beheben. Davon sollen Effizienz und Sicherheit profitieren", so Doug Cahill, Senior Analyst bei ESG. "Weil mit der zunehmenden Verbreitung von DevOps das Bestreben einhergeht, automatisierte Sicherheitstests in den Software-Lebenszyklus zu integrieren, gewinnt DevSecOps immer mehr an Popularität. Der Grundgedanke lautet, dass hochwertiger Code auch sicher sein muss."
Zur Methode
Im Zuge der von Veracode beauftragten und von ESG durchgeführten Studie wurden 400 IT-Experten aus den USA, Großbritannien und Deutschland befragt. Wer mehr darüber erfahren will, wie DevSecOps eine Brücke zwischen schneller und sicherer Software-Entwicklung schlägt, kann sich den Developer’s Guide to the DevSecOps Galaxy von Veracode herunterladen.
(Veracode: CA Technologies: ra)
eingetragen: 16.06.17
Home & Newsletterlauf: 30.06.17
CA Technologies: Kontakt und Steckbrief
Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.