Schriftliche DevOps-Schulung

Wie schützen Sie Informationen bei DevOps?

Bedenken zur Informationssicherheit gehören in den meisten Organisationen zu den häufigsten Einwänden gegen DevOps. Dabei ist DevOps eine der besten Methoden, um besonders sichere Systeme bereitzustellen.

In vielen Organisationen, vielleicht auch in Ihrer, kommt auf ein Softwareentwicklungsteam mit 100 Personen nur eine Fachkraft für Informationssicherheit. Das führt zu langen Durchlaufzeiten bei der Lösung von Sicherheitsproblemen, zu Verzögerungen bei der Softwarebereitstellung und im schlimmsten Fall zu unzureichender Informationssicherheit für Ihre Kunden.

Wer Software liefert, weiß, dass Hindernisse am Projektende schwerwiegend sind, besonders wenn es um Sicherheit geht. Machen Sie Informationssicherheit deshalb zur täglichen Entwicklungsaufgabe aller im Team. Eine am Projektende abgehakte oder offen gelassene Checkliste reicht dafür nicht aus.

Beziehen Sie Fachleute für Informationssicherheit früh in die Softwareentwicklung ein

Damit Sicherheitsprobleme die Bereitstellung nicht im letzten Moment blockieren, sollten Sie Fachleute für Informationssicherheit früh einbinden. Laden Sie sie zu Demos, frühen Planungsterminen und Reviews ein. So lernen sie das Geschäft kennen, das die Software unterstützt, und können mögliche Risiken und Probleme besser einschätzen. Sie helfen Ihrem Team, Ziele für Sicherheit und Compliance festzulegen, die im Laufe der Entwicklung zu erfüllen sind.

Informationssicherheit gehört zur täglichen Arbeit

Verfolgen Sie Sicherheitsfunktionen und -vorfälle mit den üblichen Werkzeugen zur Aufgabenplanung und zum Vorfallmanagement. Legen Sie sie nicht in Compliance-Tools ab, die Ihr Team kaum nutzt. Sobald in Architektur, Entwurf oder laufenden Systemen ein Sicherheitsproblem auftritt, machen Sie es zum Lernthema. Vermitteln Sie dem Team die Ursachen und zeigen Sie, wie es ähnliche Situationen künftig so angeht, dass sich der Fehler nicht wiederholt.

Bei der Informationssicherheit geht Ihr DevOps-Team wie folgt vor:

• Verhindern, dass sich Sicherheitsfehler wiederholen.
• Sicherheitsziele in Projektziele und in Werkzeuge zur Planung und Nachverfolgung aufnehmen.
• Sicherheitstests in die automatisierten Tests der Deployment-Pipeline aufnehmen.
• Nach einer umfassenden Sicherheitsanalyse bestimmter Produkt- und Dienstfunktionen aus allen Blickwinkeln wiederverwendbare Self-Service-Tools und Softwarebibliotheken festlegen, die bewährte Sicherheitspraktiken der Organisation vereinen.
• DevOps-Entwickler und DevOps Operations Engineers schulen und ihnen vertrauen, auch wenn Informationssicherheit nicht zu ihren Kernkompetenzen zählt.

Entwickeln Sie sichere Bibliotheken, Verfahren, Vorlagen, Architekturen und Entwürfe

Mit solchen wiederverwendbaren Ressourcen kann Ihr Team wichtige Sicherheitsaspekte der Software vereinheitlichen, etwa:

• Kommunikation und Datenaustausch zwischen Clients und Software.
• Datenspeicherung.
• Sichere Umgebungen.
• Betriebssysteme, Datenbanken und Konfiguration von Drittanbieterwerkzeugen, Komponenten und weiteren Schnittstellen, um Schwachstellen zu vermeiden.
• Passwortspeicherung.
• Umgang mit vergessenen Passwörtern.
• Umgang mit der Protokollierung sensibler Kundeninformationen.
• Vermeidung von Cross-Site-Scripting (XSS).
• SQL-Injections.
• Weitere Sicherheitslücken, die für Ihr Geschäft und den geltenden Rechtsrahmen relevant sind.

Empfohlene Maßnahmen für Informationssicherheit mit DevOps

• Statische Analyse: Codeanalyse zur Erkennung von Hintertüren und Sicherheitslücken.
• Dynamische Analyse: Analyse von Hintertüren und Schwachstellen bei laufendem System. Kontinuierliche Überwachung und Analyse von CPU, Arbeitsspeicher sowie Netzwerk- und Datenträger-E/A in Produktions- und Nichtproduktionsumgebungen.
• Analyse von Abhängigkeiten: Statische und dynamische Analyse externer Werkzeuge und Abhängigkeiten, deren Quellcode Sie nicht kontrollieren können. Wenn Ihre Organisation Werkzeuge, Bibliotheken oder Dienste Dritter einsetzt, übernimmt sie auch deren Sicherheitsprobleme. Prüfen Sie offene Sicherheitsvorfälle bei Drittkomponenten und wie schnell der Anbieter solche Probleme in der Vergangenheit behoben hat.
• Absicherung des Quellcodezugriffs: Ihr DevOps-Team sollte eine Public-Key-Infrastruktur nutzen, in der jeder einen öffentlichen und einen privaten Schlüssel besitzt. So werden alle Check-ins, Check-outs und Lesezugriffe autorisiert und überwacht. Alle Änderungen werden von den Personen signiert, die sie vornehmen.
• Sicherheitsüberwachung durch Telemetrie in Ihre Umgebungen integrieren: Prüfen Sie Daten zur Systemnutzung auf Sicherheitsverletzungen. Hinweise sind meist ungewöhnlich viele kritische nutzerseitige Ereignisse, etwa fehlgeschlagene Anmeldungen, Anfragen zur Passwortwiederherstellung oder Käufe desselben Nutzers mit verschiedenen Kreditkarten.

FAZIT

Dieses Kapitel hat Empfehlungen zur Informationssicherheit mit DevOps vorgestellt. Informationssicherheit ist eine Kunst und eine Wissenschaft für sich. Das Kapitel erklärt, wie DevOps Sicherheit in Entwicklung und Bereitstellung einbindet, und ersetzt keine Ausbildung zur Sicherheitsfachkraft.

Mit DevOps werden Sicherheits- und Compliance-Ziele Ihrer Organisation Teil der täglichen Entwicklungsarbeit, weil Informationssicherheit Aufgabe aller wird. Einige der dynamischsten Unternehmen weltweit haben gezeigt, dass sich Kunden so sicher betreuen lassen.