Informationssicherheit für Softwarefirmen: Code und Releases

Quellcode, Entwicklungsumgebungen und Veröffentlichungen schützen

Informationssicherheit in Softwarefirmen betrifft den gesamten Entwicklungsablauf. Neben dem Quellcode gehören Build-Systeme, Abhängigkeiten, Testdaten und Zugangsdaten dazu. Schutzmaßnahmen sollten an den Stellen greifen, an denen Änderungen tatsächlich entstehen und veröffentlicht werden.

Das NIST Secure Software Development Framework beschreibt Praktiken, die in bestehende Entwicklungsmodelle integriert werden können. Es liefert eine fachliche Grundlage für sichere Entwicklung, ohne eine bestimmte Programmiersprache oder ein einzelnes Werkzeug vorzuschreiben.

Sicherheitsaufgaben in den Arbeitsablauf einbauen

Für ein Entwicklungsteam sind beispielsweise folgende Regelungen sinnvoll:

• Zugriffe auf Repositories und Build-Systeme auf erforderliche Personen begrenzen.
• Änderungen anhand geeigneter Kriterien prüfen und Freigaben nachvollziehbar festhalten.
• Geheimnisse getrennt vom Quellcode verwalten und bei Offenlegung behandeln.
• Externe Komponenten erfassen und bekannte Schwachstellen bewerten.
• Produktive Daten nur unter geeigneten Schutzbedingungen in Tests verwenden.

Automatisierte Prüfungen können dabei unterstützen. Ihre Ergebnisse benötigen aber Zuständigkeiten und einen Bearbeitungsweg. Ein regelmäßig ignorierter Warnbericht schafft keine verlässliche Kontrolle.

Einen Release nachvollziehbar freigeben

Beispiel: Vor einer Veröffentlichung meldet die Prüfung eine verwundbare Bibliothek. Das Team klärt, ob die betroffene Funktion verwendet wird, welche Folgen möglich sind und welche Behebung verfügbar ist. Eine erforderliche Ausnahme wird begründet, befristet und von der zuständigen Person freigegeben. Die spätere Bearbeitung bleibt sichtbar.

Auch nach der Veröffentlichung reagieren können

Für gemeldete Schwachstellen braucht es einen erreichbaren Eingang, eine Bewertung und einen geregelten Umgang mit betroffenen Versionen. Erkenntnisse fließen in Tests und Entwicklungsregeln zurück.

Das Ziel ist ein nachvollziehbarer Umgang mit Software-Risiken. Weder ein einzelner Scan noch eine formale Freigabe garantiert, dass veröffentlichter Code frei von Schwachstellen ist.

Wie Entwicklung in den Geltungsbereich und die Nachweise des Managementsystems eingeordnet wird, beschreibt ISO 27001 für Softwareunternehmen. Einzelne technische Szenarien werden über eine nachvollziehbare Risikobewertung priorisiert.

Quellen und fachliche Grundlagen

• NIST SP 800-218 – Secure Software Development Framework, Version 1.1 – National Institute of Standards and Technology (NIST)