Best Practices für den DevSecOps-Erfolg

Das Kunstwort DevOps setzt sich aus den Begriffen Development (Entwicklung) und Operations (IT-Betrieb) zusammen und bedeutet mehr als nur lose Kollaboration zwischen Codern und den Herrschern der IT-Systeme – im Gegenteil: DevOps steht für die Verschmelzung beider Bereiche zu einem gemeinsamen, holistischen Arbeitsbereich. Da der Sicherheitsaspekt in den vergangenen Jahren allerdings immer mehr an Bedeutung gewonnen hat, sollten DevOps-Teams auch Security tief und von Beginn an in den Softwareentwicklungs- und -auslieferungsprozess integrieren. Die folgenden vier Best Practices sind laut Consol in diesem Zusammenhang essenziell:

1. Expertise und Sensibilität für Sicherheit aufbauen. Je später DevOps-Teams einen Fehler im Entwicklungs- und Auslieferungsprozess erkennen, desto teurer wird dessen Behebung und desto weitreichender sind die möglichen Sicherheitsfolgen. Daher ist es für DevOps-Teams extrem wichtig, möglichst frühzeitig ausreichende Massnahmen für die Fehlererkennung zu ergreifen. Um diesen Ansatz in die Praxis umzusetzen, lehrt das DevSecOps-Prinzip, frühzeitig ein Bewusstsein für IT-Sicherheit im Team zu schaffen. Gleichzeitig müssen die Mitglieder Verantwortung für die Sicherheit ihres Produktes übernehmen und sich ihr ebenso verschreiben wie der einwandfreien Funktionalität ihrer Software. Auch bei der Planung der Architektur für das spätere Produkt sollten Sicherheitsaspekte bereits eine Rolle spielen. All das setzt, wie auch beim traditionellen DevOps-Gedanken, einen kulturellen Wandel im gesamten Unternehmen voraus.

2. Konsequente Integration automatisierter Sicherheitsverfahren. Neben dem eher menschlichen Aspekt eines Umdenkens bei der Planung und Durchführung von Softwareprojekten, gibt es natürlich auch einen technischen und prozessualen Aspekt. DevSecOps-Teams sollten in allen Phasen des Entwicklungs- und CI/CD-Zyklus automatisierte Sicherheitsverfahren integrieren. Nur so können sie menschliche Fehler, die leider immer wieder passieren, vermeiden. Auch der Einsatz von Tools für die Quellcodeanalyse ist, neben automatisierten Tests, sinnvoll.

3. Risiken in der Softwarelieferkette identifizieren. Manchmal sind die grössten Sicherheitsrisiken weder im Bereich Softwareentwicklung noch in der Auslieferung der fertigen Produkte zu finden, sondern in den verwendeten Bibliotheken. DevSecOps-Teams sollten daher die entsprechenden Frameworks, Tools und Libraries auf Bugs sowie Sicherheitslücken untersuchen – bestenfalls lassen sie das entsprechende Werkzeuge zur regelmässigen Dependency-Analyse automatisch erledigen. Blackduck, Syft, Docker SBOM, Grype, Dependency-Check von OWASP sind nur einige wenige der bekannten Tools für diese Aufgabe. Besonders sinnvoll ist es, auf entsprechende Scanner zu setzen, die die verwendete Programmiersprache nativ unterstützen. Ausserdem sollten DevSecOps-Teams die Tools fest in die Continuous-Integration-/Continuous-Delivery-Pipeline integrieren. So stellen sie sicher, dass die Analysen auch wirklich regelmässig stattfinden und die Ergebnisse immer aktuell sind.

4. Team-Mitglieder weiterbilden. Zu guter Letzt sollten DevSecOps-Teams kontinuierlich ihre Sicherheitsexpertise steigern und ihre Sinne schärfen. Das beginnt mit regelmässigen Security-Trainings, in denen sie sich über aktuelle Bedrohungen und entsprechende Massnahmen weiterbilden. Ausserdem sollten sie sich von Expertinnen und Experten auf dem Gebiet in Schulungen über Best Practices in Sachen IT-Sicherheit aufklären lassen und ihre Prozesse auf den Prüfstand stellen. Oft sind nämlich auch eingefahrene und starre Workflows Gift für den Lebenszyklus einer Software. Und auch die anhaltende Recherche zu aktuellen Sicherheitsvorfällen und typischen Fallstricken bei deren Behebung sollte zum kleinen Einmaleins von DevSecOps-Teams gehören.

Weitere Informationen finden Sie hier.