Sicherer Code dank zufriedener Entwickler

Sonatype hat die Ergebnisse seiner siebten jährlichen DevSecOps-Community-Umfrageveröffentlicht. Sie basieren den Angaben von 5.045 Software-Entwicklungsexperten. Die Umfrage, die in Zusammenarbeit mit dem Carnegie Mellon’s Software Engineering Institute, CloudBees, DevOps Institute, DevOps.com, DevSecOps Days, NowSecure, Security Boulevard, Verica und All Day DevOps entwickelt und durchgeführt wurde, enthüllt erfolgreiche DevSecOps-Praktiken, signifikante Einflüsse auf die Entwicklerzufriedenheit, Trends im Bereich der sicheren Programmierung und Sicherheitslücken bei Applikationen.

Die Umfrage verdeutlicht, dass sich die Entwicklungsgeschwindigkeit beschleunigt: 55 Prozent der Befragten stellen mindestens einmal pro Woche Code für die Produktion bereit, im Vergleich zu 47 Prozent der Befragten im Jahr 2019. Die Ergebnisse zeigen auch, dass Entwicklungsteams, die durch ausgereifte DevOps-Verfahren unterstützt werden, mit größerer Wahrscheinlichkeit automatisierte Sicherheits-Tools in ihren Development-Lifecycle integrieren. Die beliebtesten automatisierten Sicherheitsinvestitionen sind Web Application Firewalls (59 Prozent), Open Source Governance (44 Prozent) und Intrusion Detection (42 Prozent).

Teams, die ausgereifte DevOps-Methoden anwenden, weisen – im Vergleich zu ihren Kollegen aus weniger erfahrenen Teams – eine 1,6-mal höhere Arbeitszufriedenheit auf. Darüber hinaus investieren diese erfahrenen Teams mit 2,2-facher Wahrscheinlichkeit in die Container-Sicherheit, mit 2,1-facher Wahrscheinlichkeit in Sicherheitstests für die dynamische Analyse und mit 1,9-facher Wahrscheinlichkeit in die Software-Composition-Analyse.

"Die Transformationen von DevSecOps erweisen sich als entscheidend – nicht nur für die Verbesserung der Produktivität und der Anwendungssicherheit, sondern auch um die Zufriedenheit der Entwickler zu gewährleisten", sagte Derek Weeks, Vice President bei Sonatype. "Dieses Jahr integrieren und automatisieren ausgereifte DevOps-Teams Sicherheitswerkzeuge fast zweimal häufiger als weniger reife Teams. Wir haben auch festgestellt, dass Entwickler in modernen DevOps-Teams 1,6-mal häufiger ihre Arbeitgeber auf dem heutigen engen Arbeitsmarkt empfehlen und 1,3-mal häufiger ihre Arbeit bewältigen."

Erfahrene DevOps-Teams sind in Bezug auf Sicherheitsverletzungen besser informiert: 28 Prozent der ausgereiften Organisationen wissen von einer auf Open-Source-Komponenten zurückzuführende Sicherheitslücke in den letzten 12 Monaten, verglichen mit nur 19 Prozent der Befragten mit wenig ausgereiften DevOps-Praktiken. Wenngleich Sicherheitsverletzungen bei ausgereiften DevOps-Verfahren tendenziell schwerer wiegen, weisen Branchenvertreter auf die kulturellen Vorteile hin, die eine offene Kommunikation belohnen, neue Informationen begrüßen und eine engere Zusammenarbeit zwischen Entwickler- und Sicherheitsteams fördern.

Zufriedene Entwickler legen mehr Wert auf Sicherheit: Wenn es um die Code-Qualität geht vernachlässigen zufriedene Entwickler die Sicherheit 3,6-mal weniger und befolgen 1,3-mal häufiger die Open-Source-Richtlinien. Außerdem setzen sie mit einer 2,3-mal höheren Wahrscheinlichkeit automatisierte Sicherheitswerkzeuge ein. Entwickler, die mit ausgereiften DevOps-Verfahren arbeiten, haben 1, 5-mal mehr Freude an ihrer Arbeit und empfehlen ihren Arbeitgeber 1,6-mal häufiger an potenzielle Bewerber weiter.

Tools und Weiterbildung zeigen eine starke Korrelation mit der Begeisterung für DevOps: Zufriedenere Entwickler sind 1,3-mal häufiger über Sicherheitsprobleme durch ihre integrierten Tools informiert als ihre weniger zufriedenen Kollegen. Darüber hinaus profitieren zufriedenere Entwickler von den verbesserten Tools und einer engen Zusammenarbeit mit Sicherheitsteams, indem sie sich 3,8-mal weniger auf Gerüchte verlassen, wenn es um Sicherheitsbenachrichtigungen geht. Entwickler, die eine Schulung zur sicheren Programmierung erhalten, haben außerdem 5-mal mehr Freude an ihrer Arbeit.

Der vollständige Bericht mit diesen und weiteren Ergebnissen ist hier verfügbar.