Untersuchungen der Software Improvement Group zeigen, dass die Qualität der Softwareentwicklung und die Sicherheit eng miteinander verbunden sind

Der Bericht zeigt zwei Hauptbereiche auf, die Anlass zur Sorge geben:

Software Supply Chains sind eine tickende Zeitbombe: Wir stellen eine starke Korrelation zwischen guter Build-Qualität und der Wahrscheinlichkeit von Sicherheitsvorfällen fest. Verjährte und veraltete Bibliotheken von geringerer Qualität haben ein 2-mal höheres Risiko für neue Sicherheitslücken. Unternehmen müssen dringend die Art und Weise ändern, wie Entwicklungsteams Open-Source-Bibliotheken verwenden und verwalten.

Software-Sicherheit lässt sich nicht allein mit Tools beheben: Die Überprüfung des Codes zu einem früheren Zeitpunkt im Entwicklungsprozess verhindert Schwachstellen und mindert Sicherheitsrisiken schneller. Tools sind wertvoll für die Verwaltung der Softwaresicherheit, aber sie sind nur ein Teil der Lösung, da sie grundlegende blinde Flecken haben. Prozesse und Menschen sind entscheidend für eine erfolgreiche Softwaresicherheitsstrategie.

"Unternehmen müssen sich dringend mit der Art und Weise befassen, wie sie mit Softwareentwicklung umgehen. Die derzeitigen Open-Source-Verwaltungspraktiken lassen Schwachstellen ungelöst, was die Wahrscheinlichkeit eines Eindringen in Unternehmen erheblich erhöht", so Luc Brandts, Group CEO der SIG Holding. "Es ist wichtig, dass die Menschen die Risiken verstehen, die sie mit der Übernahme von schlecht entwickelten Bibliotheken eingehen. Unsere Fähigkeiten bei SIG und Sigrid, unserer Software Assurance Plattform, helfen unseren Kunden, diese Gefahren zu vermeiden und Praktiken zu implementieren, die die Qualität und Sicherheit ihrer Anwendungen verbessern.

Magiel Bruntink, Head of Research bei SIG, kommentiert: "Wir haben Daten aus über 13 Jahren von Software-Messungen, 7.500 Systemen und 800.000 Anwendungsinspektionen ausgewertet. Wir kombinieren diese Daten mit hochmodernen Forschungsprojekten zur Überprüfung von Sicherheitscodes, präzisen Call-Chain-Technologien und neuen Benchmarks, um unsere Kunden bei Sicherheits- und Software-Lieferkettenproblemen zu unterstützen."