Security Test-driven Company – Learning by Pain

Unternehmen stehen zunehmend vor der Herausforderung nicht nur ihre IT-Entwicklung zu beschleunigen, sondern auch das Thema IT-Security stärker zu verankern. Keiner möchte in der Presse stehen und sich in die Reihe derer einreihen, die von Hackern unter die Lupe genommen oder gar erfolgreich angegriffen wurden. Während die Auslieferung neuer Softwarestände durch das DevOps-Mindset und Infrastructure-as-Code Pattern zunehmend beschleunigt wird, hinkt das Thema IT-Security oft noch hinterher.

Wer nimmt sich wirklich die Zeit dafür und berücksichtigt sie in seiner tagtäglichen Routine? Welches Unternehmen stellt sich nicht die Frage wie es die Verankerung von IT-Security in den Griff bekommt? In Zeiten von DevOps funktionieren klassische Governance-Prozesse schlichtweg nicht mehr. Jeden Tag einen System-Pentest oder Code-Audit durchzuführen oder manuelle Quality Gates zu bedienen ist ein aussichtsloses Unterfangen. DevSecOps verspricht dieses Problem zu lösen und Projektteams zu unterstützen, doch reicht das aus?

Wir haben in unserem Projektgeschäft viel im Bereich automatisierter Security-Tests gelernt und deshalb unser eigenes OWASP-Projekt secureCodeBox ins Leben gerufen. Jetzt rollen wir das Feld von hinten auf und testen einfach alles kontinuierlich. In diesem Vortrag werden wir aus der Praxis berichten, wie wir diese Herausforderungen gemeistert haben.