Der SSDLC (Secure Software Development Life Cycle) ist ein Ansatz für die Softwareentwicklung, der Sicherheitspraktiken in jede Phase des Softwarelebenszyklus integriert, vom Entwurf bis zur Veröffentlichung und Wartung. Bei der Integration von Code-Reviews (oder Code Review) in den SSDLC ist es wichtig, eine strukturierte Methodik anzuwenden, die die Besonderheiten des Projekts und die Sicherheitsanforderungen berücksichtigt.

Hier sind die wichtigsten Konzepte, die es zu berücksichtigen gilt:

1. Planung der Code-Review

Jede Code-Review sollte sorgfältig geplant werden, wobei Risiken, geschäftliche Prioritäten und verfügbare Ressourcen zu berücksichtigen sind. Es ist wichtig, die Ziele der Überprüfung, wie Sicherheit, Compliance oder Programmierstil, klar zu definieren. Auch der Kontext der Software muss beachtet werden: So erfordern beispielsweise Zahlungsanwendungen wesentlich höhere Sicherheitsstandards als eine einfache Werbewebsite.

2. Risikobasierter Ansatz

Nicht jeder Code kann mit der gleichen Tiefe überprüft werden, daher ist ein risikobasierter Ansatz erforderlich. Dies bedeutet, dass die Überprüfung der Codeteile priorisiert werden muss, die kritische Funktionen verwalten oder am stärksten potenziellen Angriffen ausgesetzt sind. Module, die sensible Daten verarbeiten oder mit dem Internet verbunden sind, müssen beispielsweise strengeren Sicherheitsüberprüfungen unterzogen werden.

3. Festlegung von Rollen und Verantwortlichkeiten

Es ist entscheidend zu definieren, wer für die Code-Reviews verantwortlich ist. Idealerweise sollten diese von anderen Personen als den Autoren des ursprünglichen Codes durchgeführt werden, vorzugsweise von Personen mit spezifischen Fachkenntnissen in der Softwaresicherheit. In einigen Unternehmen können Code-Reviews von einem dedizierten Sicherheitsteam durchgeführt werden, während diese Verantwortung in anderen auf die Mitglieder des Entwicklungsteams verteilt sein kann.

4. Zeitplan und Ressourcen

Die Code-Review muss so in den SSDLC integriert werden, dass der Projektfortschritt nicht gebremst wird. Es ist jedoch wichtig, den Prozess nicht zu überstürzen: Eine oberflächliche Überprüfung kann dazu führen, dass kritische Schwachstellen übersehen werden. Die Komplexität des Programms, die Anzahl der Codezeilen und die Verfügbarkeit von Ressourcen müssen bei der Zeitplanung der Überprüfung berücksichtigt werden.

5. Dokumentation und Berichterstattung

Ein grundlegender Aspekt der Code-Review-Methodik ist die Erstellung von Berichten, die die Ergebnisse der Überprüfung dokumentieren. Diese Berichte sollten Details wie das Datum der Überprüfung, die untersuchten Codemodule, die Namen der Prüfer und Entwickler sowie eine Klassifizierung der gefundenen Schwachstellen enthalten. Es ist sinnvoll, ein Standardformat für die Berichte beizubehalten, um das Verständnis und die Verwaltung der Schwachstellen zu erleichtern.

6. Integration in Agile- und Waterfall-Entwicklungspraktiken

Im Kontext der agilen Entwicklung sollten Code-Reviews kontinuierlich erfolgen, wobei Sicherheitsüberprüfungen in jeden Entwicklungszyklus oder Sprint integriert werden. In traditionelleren Umgebungen wie dem Wasserfallmodell können Code-Reviews an spezifischen Punkten des Entwicklungszyklus geplant werden, beispielsweise während der Testphase oder vor der Softwarefreigabe.

🔙 Zurück zur Mini-Serie der ISGroup SRL zum Thema Code Review!