Abgesichert: Die Entwicklungsmethode DevSecOps – kurz für Development, Security and Operations (Entwicklung, Sicherheit und operative Prozesse) – sorgt dafür, dass die IT-Sicherheit in jeder Phase der Softwareentwicklung präsent ist. Mit den richtigen Methoden und dem richtigen Mindset verfolgen DevSecOps-Teams einen „Security-First-Ansatz“, bei dem sie Fehler sehr früh im Softwareentwicklungs- oder -auslieferungsprozess erkennen.
Beim Umsetzen von DevSecOps helfen Cloud Computing und Künstliche Intelligenz. Beide Technologien bringen allerdings Gefahren mit sich. Der IT-Dienstleister Consol beleuchtet die Vor- und Nachteile von Cloud und künstlicher Intelligenz, wenn es um DevSecOps geht.
Die Cloud braucht strenges Identitätsmanagement
Die Cloud hat ihre Performance und Flexibilität bereits in vielen Softwareprojekten unter Beweis gestellt: Gerade Clouds großer Anbieter zeichnen sich durch ihre vielen Services und ihre hohe Skalierbarkeit aus. Unternehmen reagieren damit agil auf Veränderungen. Cloud-Provider können Sicherheitsupdates schnell und unkompliziert bereitstellen. In einer On-premises-Installation müssten sich die DevSecOps-Teams selbst darum kümmern, was wiederum Zeit beansprucht. Zudem haben die Cloud-Anbieter dedizierte Sicherheitsexperten, die sich mit ihrer Infrastruktur bestens auskennen. Ein wertvoller Wissenspool, auf den Cloud-Kunden bei Bedarf zurückgreifen können.
Auch wenn die Cloud-Technologie in den vergangenen Jahren sicherer geworden ist, haftet dieser Betriebsvariante noch immer das Stigma des erhöhten Risikos von unbefugten Zugriffen auf die Daten an. Unternehmen sollten deshalb auf einen Provider mit Sitz in der EU zurückgreifen, der an die europäische Datenschutzgrundverordnung gebunden ist. Ein weiteres mögliches Problem ist das komplexe Identitätsmanagement einer Cloud-Umgebung. DevSecOps-Teams müssen daher die einzelnen Benutzerkonten streng definieren und einen Zero-Trust-Ansatz fahren, der jedem Nutzer nur die Zugriffsrechte zugesteht, die er wirklich braucht.
Kontrollen decken fehlerhafte Tipps auf
ChatGPT, Google Bard und der Microsoft Copilot: Intelligente Assistenten sind derzeit beliebte Tools. Auch für DevSecOps-Teams gibt es interessante digitale Helfer, zum Beispiel den GitHub Copilot oder den AWS Codewhisperer. Diese Werkzeuge erkennen Fehler im Quelltext und können sie – je nach Befugnissen – sogar ohne manuelles Eingreifen der Nutzer korrigieren. Sogenannte Coding Assistants informieren Entwickler bereits während der Arbeit über Best Practices und verringern dadurch die Fehlerquote. Darüber hinaus kann Künstliche Intelligenz die Produktivität steigern, indem sie Prozesse analysiert und Verbesserungsvorschläge macht.
Ohne Risiko ist der Einsatz Künstlicher Intelligenz allerdings nicht. Stets besteht die Gefahr sogenannter Halluzinationen. Gemeint sind damit Antworten oder Ratschläge eines Assistenten, die zwar gut klingen, aber falsch sind. Derartige Fehler kommen unter anderem dadurch zustande, dass eine Künstliche Intelligenz die Antworten basierend auf Wahrscheinlichkeiten berechnet. Dieser Vorgang ist nicht hundertprozentig fehlerfrei. DevSecOps-Teams müssen daher die Aussagen und Hilfestellungen eines intelligenten Assistenten immer genau prüfen und sollten nicht alles blind übernehmen, was das System vorschlägt.
„DevSecOps-Teams profitieren von Technologien wie Künstlicher Intelligenz oder der Cloud“, erklärt Dr. Christoph Ehlers, Leiter DevOps bei Consol. „Allerdings müssen Entwickler und Administratoren stets wachsam sein und gegebenenfalls kontrollierend eingreifen. Tun sie das, werden die intelligenten Assistenten zu Gamechangern in ihrem Arbeitsalltag – und gleichzeitig erhöht sich die Sicherheit.“ Jürgen Frisch
