Die 19 Todsünden der Software-Security

Patentlösungen und -rezepte gibt es keine, das weiß auch McAfees frisch ernannter Chief Security Architekt. Zunächst einmal geht es um Schadensbegrenzung: Mangelndes Training sei nicht das Problem, eher ginge es darum, zu zeigen, was Programmierer alles nicht tun sollten, statt alle Zusammenhänge verstehen zu wollen. „Der Programmierer sollte nur zu 80 Prozent für den Entwurfsprozess verantwortlich sein.“ Viega macht dies am praktischen Beispiel der Kryptographie deutlich. Die meisten Leute verstünden zwar, was eine SSL-Verschlüsselung (Secure Socket Layer) bedeute und wie sie funktioniere. Nur die wenigsten Entwickler wüssten aber die Funktionen im Unternehmen auch richtig zu implementieren.

Die durchaus provokative Kernbotschaft der „19 Todsünden“ lautet, den Produktentwicklern einen reduzierten Part und damit eine geringere Verantwortung im Unternehmen zu geben. Viega rät den Firmen ab, ihr Heil in unzähligen, rein bürokratisch handhabbaren, Standard-Checklisten zu suchen. Haben wir SSL oder nicht? Diese elementare Frage so einfach abzuhaken, sei kaum zielführend, um den Grad der Softwaresicherheit zu erhöhen.