Was kommt als Nächstes in Sachen Sicherheit?

Wir haben unsere Xebia Security-Experten Carlo Klerk und Edzo Botjes gefragt, was ihnen in der Sicherheitslandschaft besonders auffällt. Wie hat sich Sicherheit von einer kleinen Sorge zu einer großen Priorität für Unternehmen weltweit entwickelt? Und was bedeutet dieser Wandel für IT-Experten im Allgemeinen? Welche Fähigkeiten brauchen die Unternehmen und wie können wir ihnen helfen, ihre Zukunft zu sichern?  

"Unternehmen bitten uns in erster Linie darum, ihre Cloud-Sicherheit zu bewerten, sie zu verbessern oder sicherzustellen, dass die Sicherheit ein integraler Bestandteil der Anwendung ist, die sie (neu) erstellen oder migrieren."

Was sich im Bereich der Sicherheit tut
Sicherheit entwickelt sich von einem "Nice-to-have" zu einem "Must-have". Cyberangriffe sind heute sichtbarer und folgenschwerer als je zuvor. Aus der National Vulnerability Database geht sogar hervor, dass sich die Zahl der Angriffe in den letzten fünf Jahren fast verdreifacht hat.* Es ist also nicht überraschend, dass sich die Führungskräfte Sorgen um die Sicherheit machen. Unternehmen bemühen sich seit langem, ihr Geschäft zu schützen und sichere Produkte und Dienstleistungen zu entwickeln. Natürlich waren sie besorgt. Es fehlte ihnen nur das Wissen, die Fähigkeiten oder die Zeit, um in Sicherheit zu investieren. Aus diesem Grund bitten viele Unternehmen uns um Hilfe.  

Die Sicherheit hält Einzug in Produktionsumgebungen. Es ist mehr als ein strategisches Thema; es geht darum, jeden Schritt im Produktentwicklungsprozess zu sichern. In den letzten Jahren betrachteten Unternehmen Sicherheit als etwas, das man am besten Spezialisten in einem Elfenbeinturm überlässt. Die Gewährleistung eines sicheren Prozesses von Anfang bis Ende erfordert jedoch das Engagement eines ganzen Teams. Um alle an Bord zu holen, verbringen wir jetzt viel Zeit damit, die richtige Kultur zu schaffen, unser Know-how zu teilen und uns die Hände schmutzig zu machen!  

Müssen wir alle sicherheitsbewusst werden?
Ja, Unternehmen können Sicherheit nicht allein durch Meetings schaffen. Wenn die Situation nachhaltig sein soll, muss die Sicherheit aus ihrem Silo herauskommen und zu einer gemeinsamen Verantwortung werden. Sicherheit ist eine Verantwortung, die innerhalb der DevOps-Teams und mit dem Unternehmen geteilt wird. Wenn Sie ein Entwickler sind, müssen Sie die Sicherheit in Ihrem Kontext verstehen, und wenn Sie ein Cloud-Architekt sind, müssen Sie wissen, wie Sie diese Umgebung sicher halten können. Und Sie müssen in der Lage sein, sich mit Ihren Geschäftspartnern abzustimmen, um gemeinsam die wertvollsten Sicherheitsverbesserungen zu bestimmen. Die Jobs werden sich definitiv ändern!  

"Heute ist Ihr Marktwert als Softwareentwickler hoch, wenn Sie sich auch mit Sicherheit auskennen. Aber in fünf Jahren wird Sicherheits-Know-how die Norm für jeden Job sein." 

Was sind heutzutage die häufigsten Arten von Cyberangriffen?
Zu sagen, dass bestimmte Arten von Angriffen heute besonders auffällig sind oder es bald sein werden, wäre töricht, denn jede Bedrohung ist für jedes Unternehmen anders. Viel interessanter ist die Frage, ob Sie die drei größten Gefahren für Ihr Unternehmen kennen und ob Sie sich ausreichend gegen sie geschützt haben. Wenn Sie sich dessen nicht 100%ig sicher sind, ist das Risikomanagement ein hervorragender Ort, um damit zu beginnen!

Wissen Sie, womit Sie es zu tun haben könnten, sind sich aber nicht sicher, ob Ihre Maßnahmen ausreichend sind? Threat Modeling hilft Ihnen, Fragen wie diese zu beantworten: Was ist das Ziel meines Angreifers? Wie wird der Angreifer versuchen, es zu erreichen? Wie kann ich mein Unternehmen schützen?  

"Angriffe, die Infrastrukturen ausnutzen (wie Ransomware oder Malware), wird es auch weiterhin geben. Die gute Nachricht ist, dass wir immer besser mit ihnen umgehen und uns von ihnen erholen können. Die Entwicklung von Produkten, die von vornherein sicher sind, bedeutet, dass wir uns der Risiken bewusst sind und sie bei der Entwicklung eliminieren." 

Macht uns die digitale Innovation zunehmend verwundbar?
Wenn die Umgebung, in der Sie Software entwickeln, nicht sicher ist und bösartiger Code in Ihr Produkt gelangt, werden Sie am Ende Ihre Benutzer angreifen. Wir wollen diese Situation vermeiden, und zum Glück können wir das auch! Wir ermutigen Unternehmen, DevOps einzuführen, so viel wie möglich in die Cloud zu migrieren und Infrastructure as Code für eine sicherere Softwareentwicklung, Skalierbarkeit und Automatisierung zu nutzen. Unsere Berater können auch Sicherheitsbewertungen durchführen, die Sicherheit Ihrer Plattform oder Anwendung testen und alle erforderlichen Maßnahmen ergreifen, um die Sicherheit digitaler Umgebungen zu verbessern.  

Viele Unternehmen, insbesondere regulierte Unternehmen, haben strenge Compliance-Vorschriften. Reicht das nicht aus?
Compliance ist wichtig. Aber sie lähmt auch Unternehmen, schafft einen Tunnelblick und vermittelt ein falsches Gefühl von Sicherheit. Viele Compliance-Rahmenwerke befassen sich mit sicherheitsrelevanten Themen wie dem Zugang zu bestimmten Daten. Die angebotenen Lösungen werden jedoch oft nur einmal im Jahr geprüft. Wer garantiert eine gute Ausführung an den anderen 364 Tagen des Jahres?

Konzentrieren Sie sich auf das Wesentliche, indem Sie zu einem Modell der kontinuierlichen Einhaltung von Vorschriften übergehen und sich auf eine standardmäßig sichere Entwicklung konzentrieren. Wenn Sie sich auf die Sicherheit konzentrieren, folgt die Einhaltung der Vorschriften oft von selbst. Beginnen Sie mit Bedrohungsmodellen, schreiben Sie sicheren Code, führen Sie in jeder Pipeline-Phase Scans durch, und führen Sie Schwachstellen- und statische Sicherheitsscans durch. Überwachen Sie das Verhalten und den Datenverkehr, und investieren Sie weiter!  

Ein Unternehmen, das die Cloud für sein Geschäft nutzt, sollte darauf abzielen, die kontinuierliche Bereitstellung für die Produktion zu automatisieren, einschließlich der Sicherheits- und Compliance-Prüfungen. Auf diese Weise können Ihr Unternehmen und Ihre IT-Abteilung kleine Funktionen so schnell wie möglich bereitstellen und zurücknehmen, um auf die dynamischen und interessanten Zeiten zu reagieren, in denen wir leben. Wir glauben, dass die Sicherheit verbessert wird, wenn Sie als Unternehmen und IT-Abteilung schnell beobachten und reagieren können.

"Compliance wird überschätzt und Sicherheit wird unterschätzt."

 

Was kommt als Nächstes? Was können wir in (naher) Zukunft erwarten und wie können wir uns am besten vorbereiten?

1. MEHR ALS EIN PENTEST: Einige Unternehmen bieten schnelle und unkomplizierte Pen-Tests an. Wir wollen mehr als das bieten. Ein Pen-Test als Ausgangspunkt? Gut. Ein Pen-Test, um ein Kästchen abzuhaken? Daran glauben wir nicht. Sicherheit ist etwas, an dem Sie jeden Tag arbeiten müssen.  
2. SICHERHEIT VERKAUFT: Gesetzgebung und Behörden üben immer mehr Druck auf Unternehmen aus. In Sachen Sicherheit alles im Griff zu haben, ist definitiv ein Wettbewerbsvorteil.  
3. AUTOMATISIEREN SIE ALLES: Automatisieren Sie so viel wie möglich und machen Sie nur das manuell, was Sie wirklich nicht anders machen können. So können Sie jeden einzelnen Prozess von Anfang bis Ende absichern.  
4. OUTSOURCE & UPSKILL: Um im Geschäft zu bleiben, ist es unabdingbar, das Ausmaß unerwarteter Ereignisse zu reduzieren. Eine Möglichkeit, dies zu erreichen, ist die Auslagerung von Dienstleistungen in SaaS, wodurch Ihre Systeme und Geschäftsprozesse entkoppelt werden und dieser spezielle Teil den Experten überlassen wird! Eine andere Möglichkeit ist die Umschulung und/oder Höherqualifizierung Ihrer Mitarbeiter. Jetzt, wo Sicherheit nicht mehr nur eine Richtlinie, sondern ein Prozess ist und von jedem erwartet wird, dass er Verantwortung übernimmt, fehlt den Unternehmen viel Wissen. Seien Sie vorbereitet!  
5. STATE-OF-THE-ART TECHNOLOGY: Cyberkriminalität geschieht in Windeseile, weil sie nicht ewig auf die Zustimmung des Unternehmens wartet - und sie nutzt modernste Technologie, zum Beispiel Hyper-Automatisierung. Wann werden Unternehmen damit beginnen, sich zu organisieren, um auf diese zunehmende Bedrohung mit dem gleichen Tempo zu reagieren?
6. SECURE SOFTWARE DEVELOPMENT LIFE CYCLE: Isolieren Sie Bausteine und wenden Sie die Prinzipien des Secure Software Development Life Cycle (SSDLC) an, um die Bausteine zu erstellen und zu integrieren. Und schließlich sollten Sie die Cloud zu Ihrem Vorteil nutzen. Zum Beispiel ist die sichere Softwareentwicklung viel einfacher, wenn Sie Infrastructure As Code verwenden!
   
   
   

"Sicherheit ist einerseits der Schutz des Wertvollen und andererseits der Umgang mit dem Unerwarteten (Reagieren und Beurteilen).