• IT-Karriere:
  • Services:

Security-Firmen sollten bessere interne Sicherheitsprozesse haben

Golem.de: Sicherheitslücken gibt es nicht nur in normaler Anwendersoftware wie Betriebssystemen, sondern immer wieder auch in Software von Sicherheitsfirmen, etwa in Virenscannern. Arbeitet die IT-Sicherheitsindustrie in Bezug auf Sicherheit selbst schlampig?

Stellenmarkt
  1. Hochschule Esslingen, Esslingen am Neckar
  2. Stadt Kempten (Allgäu), Kempten (Allgäu)

Vanunu: Sicherheitsfirmen sollten bessere interne Sicherheitsprozesse haben. Ich habe aber das Gefühl, dass es dafür in der ganzen Industrie in den vergangenen Jahren deutlich mehr Aufmerksamkeit gibt. Der Einfluss auf das eigene Image wird immer größer. Trotzdem sollten Sicherheitsfirmen sich immer wieder bewusst machen, dass jede Codezeile, die sie eingeben, eine mögliche Schwachstelle ist. Aber ich glaube, dass die Industrie sich in die richtige Richtung bewegt und insgesamt reifer geworden ist.

Golem.de: Ihr Job bei Checkpoint ist es unter anderem, für die Sicherheit der Produkte zu sorgen. Wie testet Checkpoint seine eigenen Produkte?

Vanunu: Alle Entwickler, die zu Checkpoint kommen, bekommen ein spezialisiertes Training für sichere Softwareentwicklung. Wir haben Prozesse vom Design über die Betaversion bis hin zum fertigen Release. Es gibt zahlreiche Milestones für Security, die jeder Entwickler und jeder Product-Owner erreichen muss, um eine Freigabe zu erhalten. Security ist Teil unserer DNA.

"Bei jeder Codezeile muss die Sicherheit berücksichtigt werden"

Wir erwarten von jedem Entwickler, der eine Codezeile schreibt und von jedem Manager, der eine Entscheidung trifft, zu berücksichtigen, ob die neuen Features einen Einfluss auf die Security haben. Aber auch bei uns gibt es natürlich Bugs, wie in jeder Software. Wenn wir Berichte über Sicherheitsprobleme bekommen, dann schließen wir diese Probleme so schnell wie möglich.

Wir haben ein Team von zehn Entwicklern, das sich nur um die Sicherheit unserer eigenen Produkte kümmert. Im Team gibt es Spezialisten, um Exploits zu entwickeln, einen Verschlüsselungsexperten, einen Kernel-Profi und welche, die sich vor allem mit Fuzzing beschäftigen. Wir entscheiden immer wieder, welche Angriffsvektoren die besten sind, um unsere eigene Software zu testen. Es ist wichtig, Menschen mit sehr unterschiedlichen Fähigkeiten in diesen Prozess zu integrieren, um gute Ergebnisse zu bekommen.

Golem.de: Danke für das Gespräch!

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed
 Wir sollen mit der Veröffentlichung von Details zurückhaltender sein
  1.  
  2. 1
  3. 2
  4. 3


Anzeige
Spiele-Angebote
  1. (u. a. Anno 2205 Ultimate Edition für 11,99€, Rayman Legends für 4,99€, The Crew 2 - Gold...
  2. (u. a. Battlefield 5 für 14,99€, Star Wars Jedi: Fallen Order für 24,99€, Battlefield 1 für...
  3. 26,99€

cpt.dirk 11. Jun 2017

Die Praxis der vielen oftmals sogar völlig vertraulich und unternehmensfreundlich...

cpt.dirk 11. Jun 2017

Kann man so pauschal nicht sagen. Ein Großteil der proprietären Systeme "da draußen...

Baker 08. Jun 2017

Soweit ich es verstanden habe, ist das die Hauptaussage dieses "Experten". Klingt nicht...

Cok3.Zer0 07. Jun 2017

Wenn das Update dann überhaupt funktioniert. Sie haben's auf jeden Fall irgendwann im...

__destruct() 07. Jun 2017

Spätestens da bekommt doch jeder mit, was die Lücke ist, und gemäß dem, was auf der 1...


Folgen Sie uns
       


Audi E Tron GT Probe gefahren

Der E-Tron GT ist die Oberklasse-Limousine von Audi. Golem.de ist das Elektroauto Probe gefahren.

Audi E Tron GT Probe gefahren Video aufrufen
    •  /