Für Unternehmen, die DevSecOps bereits fest integriert haben, ist klar: Die Behebung einer Sicherheitslücke in einer neu entwickelten App erfolgt in Minuten oder wenigen Stunden. Denn Sicherheit ist heute ein wesentlicher Bestandteil der gesamten Softwareentwicklung – sozusagen der Kern des gesamten Entwicklungsprozesses – und nicht mehr nur ein nachgelagerter Gedanke.
Laut dem aktuellen Bericht von VSHN und Zühlke nutzt bereits ein Drittel der befragten Unternehmen, die DevOps für die Softwareentwicklung und Bereitstellung einsetzen, künstliche Intelligenz (KI) zur Automatisierung repetitiver Aufgaben oder, um die Codequalität zu optimieren. So begeistert die Tech-Szene DevOps-Praktiken aufgenommen hat, so oft wird ein kritischer Aspekt übersehen: Cybersicherheit bleibt häufig auf der Strecke.
DevOps-Praktiken sind in der Schweizer Unternehmenslandschaft tief verankert: Fast 88 Prozent der befragten Unternehmen setzen sie bereits ein – eine beeindruckende Zahl, die den Siegeszug dieser Arbeitsweise verdeutlicht. Laut den Autorinnen und Autoren der Studie entfällt derzeit ein Anteil von 45 Prozent auf IT-Unternehmen. Andere Branchen haben ihren Marktanteil ausgebaut: 20 Prozent der DevOps-Unternehmen sind in der Beratung tätig, 16 Prozent im Bank- und Finanzwesen. Auch im öffentlichen Sektor wird DevOps immer beliebter.
Was bedeutet DevSecOps? Die Definition des National Institute of Standards and Technology (NIST) besagt, dass DevSecOps durch die Integration von Sicherheitspraktiken und die automatische Erstellung von Sicherheits- und Compliance-Artefakten über Prozesse und Umgebungen hinweg dazu beiträgt, dass Sicherheit als Teil aller DevOps-Praktiken berücksichtigt wird.
Eine noch ausführlichere Definition liefert das US-Verteidigungsministerium: DevSecOps ist ein Konglomerat aus Software-Engineering-Techniken, -Verfahren und -Instrumenten, die Softwareentwicklung (Dev), Sicherheit (Sec) und Betrieb (Ops) integrieren.
Was DevSecOps bedeutet:
Der Erfolg von DevSecOps erfordert ein Verständnis der gesamten Software-Lieferkette. Dazu zählen sämtliche Komponenten – von der Hardware über Infrastructure as a Service (IaaS), Platform as a Service (PaaS), Software as a Service (SaaS) bis hin zu Tools und Prozessen, die gemeinsam bestimmte Softwarefunktionen ermöglichen. Jede dieser Stationen bildet Glieder einer komplexen Software-Lieferkette, die eine logistische Route darstellt.
Künstliche Intelligenz verändert die Spielregeln grundlegend. In Schweizer DevOps-Teams kommt sie am häufigsten zur Automatisierung repetitiver Aufgaben (22 Prozent), zur Prävention von Vorfällen und zur Optimierung der Codequalität (jeweils rund 19 Prozent) zum Einsatz.
KI eröffnet DevSecOps völlig neue Möglichkeiten:
Böswillige Cyberakteure betrachten Software-Lieferketten und CI/CD-Umgebungen als attraktive Ziele, wie aus den Richtlinien der NSA und CISA hervorgeht. Die Gefahren sind zahlreich und komplex:
Typische Risiken für die CI/CD-Sicherheit sind:
DevSecOps ist eher eine Notwendigkeit als ein Luxus, insbesondere in der Schweiz mit ihrem robusten Finanzsektor und strengen Datenschutzbestimmungen. Die Herausforderung?
Entscheidend ist, ein Gleichgewicht zwischen Innovationsbedarf und regulatorischen Anforderungen zu finden.
Laut der zitierten Studie sind Plattform-Engineering-Teams mittlerweile in 54 Prozent der Schweizer Unternehmen vertreten. Diese Gruppen sind für die Entwicklung sicherer Plattformen, die Agilität und Compliance ermöglichen, unverzichtbar.
Eine Sammlung von Ressourcen und Fähigkeiten, die als Grundlage für die Entwicklung und den Betrieb zusätzlicher Funktionen oder Dienste innerhalb desselben technischen Rahmens dienen, wird als DevSecOps-Plattform bezeichnet.
Dank Plattform-Engineering können Entwicklerteams unabhängig voneinander in standardisierten, sicheren Umgebungen arbeiten. Dies beinhaltet:
Continuous Authorization (cATO) ist dann erreicht, wenn ein Unternehmen nachweisen kann, dass es ein System erstellt, schützt und betreibt. Dafür muss es zudem ausreichend reif sein, um eine robuste Cybersicherheitslage dauerhaft aufrechtzuerhalten.
Laut Prof. Dr. Sebastian Graf von der FHNW «denkt DevOps nicht in Projekten, sondern in Produkten». Der Schlüssel zum Erfolg von DevSecOps liegt somit in dieser Produktorientierung.
Ein Schlüsselelement von Zero Trust ist DevSecOps, das Technologie, Verfahren und eine geeignete Denkweise miteinander verbindet. Die Entwicklungs- und Engineering-Teams müssen eng zusammenarbeiten. Eine organisierte Strategie und eine klare Vision sind die Grundlagen für den Erfolg.
Damit DevSecOps vollständig umgesetzt werden kann, müssen gemäss den DevSecOps-Grundlagen Sicherheits- und Funktionsfähigkeiten in jeder Phase des Lebenszyklus entwickelt, getestet und verfolgt werden, um zu verhindern, dass Sicherheits- und Funktionsprobleme jemals in die Produktion gelangen.
1. Nutzen Sie integrierte Plattformen
2. Nach Vorgabe von NIST SP 800-204D
3. Verwenden Sie offene Standards
Laut aktuellen Studien der «Cloud Security Alliance» muss DevSecOps die folgenden sechs kritischen Bedrohungen angehen:
Für DevSecOps bedeutet dies, dass zwar die Tools und Technologien verfügbar sind, aber nur eine sorgfältige Implementierung zum Erfolg führt. In kleinen und mittleren Unternehmen verläuft die Einführung von DevSecOps besonders gut. Grössere Unternehmen hingegen haben Schwierigkeiten, zu wachsen.
Das Geheimnis langfristiger Sicherheit liegt in der Unabhängigkeit von Anbietern. Die Reduzierung der Abhängigkeit von Anbietern und die Gewährleistung der Freiheit der Systemkomponenten sind ebenfalls wichtige Aspekte, wenn es um eine sichere Software-Lieferkette geht.
Stärken Sie Ihre DevOps-Pipeline mit nachhaltiger Sicherheit. Fordern Sie jetzt Ihre DevSecOps-Sicherheitsbewertung an und minimieren Sie Risiken gezielt.
Aufgrund der leichteren Austauschbarkeit von Anbietern und Komponenten bieten Open-Source-Lösungen eine grössere Flexibilität. Die Open-Source-Landschaft entwickelt sich trotz Hindernissen wie Lizenzänderungen oder Finanzierungsproblemen für bestimmte Projekte positiv.
Dieser Ansatz verbessert die Transparenz und Kontrolle über Ihre eigene Sicherheitsinfrastruktur und verringert gleichzeitig die Bindung an einen bestimmten Anbieter.
DevSecOps ist laut einer Studie des NIST entscheidend für die Minimierung von Schwachstellen, bösartigem Code und anderen Sicherheitsproblemen in Software, ohne die Code-Entwicklung und Releases zu verzögern.
Der Weg zur DevSecOps-Reife umfasst verschiedene wichtige Phasen:
1. Erste Nutzung
2. Integration und Skalierung
3. Innovation und Optimierung
4. Strategiewechsel
Zusammenfassend lässt sich sagen, dass Sicherheit ein Wettbewerbsvorteil sein kann.
Durch DevSecOps wird Sicherheit von einem Hemmnis zu einem Beschleuniger. Schweizer Unternehmen können es sich in Zeiten zunehmender Cyberangriffe und strengerer Vorschriften nicht leisten, Sicherheit als sekundären Prozess zu behandeln.
Die gute Nachricht ist, dass die Schweizer Tech-Community auf dem richtigen Weg ist. Mit dem zunehmenden Einsatz von KI, der Einführung von DevSecOps-Praktiken und der Schaffung von Plattform-Engineering-Teams sind die Grundlagen geschaffen.
Die aktuelle Herausforderung besteht darin, Sicherheit als wesentlichen Bestandteil der Produktentwicklung zu betrachten und nicht als Zusatz. Unternehmen schaffen eine sichere und nachhaltige Entwicklungsumgebung, indem sie integrierte Plattformen nutzen, offene Standards wie CycloneDX und SLSA einführen und Vendor Lock-ins sorgfältig vermeiden.
Um Risiken in jeder Phase zu reduzieren, nutzt DevSecOps die kombinierte Erfahrung und das Wissen der gesamten Software-Lieferkette, wie das US-Verteidigungsministerium betont.
Denn wer von Anfang an sicher entwickelt, beschleunigt in der digitalen Wirtschaft in der Regel auch den gesamten Entwicklungsprozess. Und die schnellsten Entwickler gewinnen, insbesondere wenn es um offene Standards und Herstellerunabhängigkeit geht.
Der erste Schritt besteht darin, DevSecOps zu verstehen. Die eigentliche Schwierigkeit liegt in der erfolgreichen Umsetzung. Wir unterstützen Sie, wenn Sie bereit sind, die Sicherheit Ihres Softwareentwicklungsprozesses zu stärken und dabei auf professionelle Beratung setzen.
Mit unserer gründlichen DevOps-Sicherheitsbewertung profitieren Sie von folgenden Vorteilen:
Bewertung der technischen Konfigurationssicherheit
Analyse der Prozessreife
Überprüfung der sicheren Softwareentwicklung
Die standardbasierte Methode
Unser Bewertungsprozess basiert auf:
Die internen Vorschläge von InfoGuard basieren auf langjähriger Erfahrung in den folgenden Bereichen:
Sind Sie bereit, Ihre DevOps-Pipeline zu schützen? Ihre digitale Entwicklung verdient Schutz von Anfang an. Lassen Sie nicht zu, dass ein Sicherheitsvorfall Ihre DevSecOps-Verfahren offenlegt. Integrieren Sie Cybersicherheit jetzt proaktiv in Ihren Entwicklungslebenszyklus.
Vereinbaren Sie noch heute Ihre DevOps-Sicherheitsbewertung.
Bildlegende: mit KI generiertes Bild