Secure coding onder de Cyberbeveiligingswet (NIS2)

Vanaf augustus treedt de Nederlandse Cyberbeveiligingswet (de Nederlandse implementatie van NIS2) in werking. Voor organisaties die software ontwikkelen betekent dit dat secure coding steeds belangrijker wordt. Security tijdens softwareontwikkeling is niet langer alleen een best practice, maar speelt een belangrijke rol bij het beheersen van cyberrisico’s.

Toch krijgt security tijdens softwareontwikkeling nog vaak pas aandacht vlak voor een release of zelfs nadat software al in gebruik is. Dat leidt tot extra herstelwerk, hogere kosten en een groter risico op beveiligingsincidenten. 

Secure coding voorkomt dat beveiligingsproblemen zich opstapelen. Je pakt risico’s aan tijdens de ontwikkeling, op het moment dat oplossen het minste tijd kost. 

Secure coding verkleint risico’s 

Software ondersteunt bedrijfsprocessen, verwerkt gevoelige gegevens en verbindt systemen met elkaar. Juist daarom richten cybercriminelen zich steeds vaker op applicaties.

Veel kwetsbaarheden ontstaan niet door onzorgvuldig werk, maar doordat security geen vast onderdeel is van het ontwikkelproces. Denk aan: 

• hardcoded wachtwoorden of API sleutels; 
• verouderde libraries met bekende kwetsbaarheden; 
• programmeerfouten die SQL injecties of Cross Site Scripting mogelijk maken;c
• open source dependencies waarvan de veiligheid onbekend is.  

Ontdek je deze problemen pas tijdens een eindcontrole, dan kost herstel aanzienlijk meer tijd en geld. Door secure coding vanaf het begin toe te passen, voorkom je dat risico. 

Wat vraagt de Cyberbeveiligingswet? 

De Cyberbeveiligingswet stelt hogere eisen aan organisaties die onder de wet vallen. Je moet risico’s beheersen, passende beveiligingsmaatregelen treffen en incidenten sneller herkennen en afhandelen.

De wet schrijft geen specifieke ontwikkeltools voor. Wel verwacht de wetgever dat je aantoont hoe je software beveiligt en risico’s beheerst. 

Dat vraagt onder meer om: 

• structureel inzicht in beveiligingsrisico’s; 
• snelle detectie van kwetsbaarheden; 
• bescherming van de software supply chain; 
• security als vast onderdeel van het ontwikkelproces. 

Voor ontwikkelteams betekent dit een duidelijke verandering. Security hoort niet thuis aan het einde van een project, maar vanaf de eerste regel code. 

Meer artikelen:
– Wie heeft de controle over jouw data in de cloud? 
– Europa’s AI-Act: Kans of uitdaging voor Nederlandse organisaties?
– Ja, de NIS2 geldt ook voor het MKB

Shift Left maakt security onderdeel van de ontwikkeling

Met een Shift Left aanpak controleer je code direct tijdens de ontwikkeling. Ontwikkelaars ontvangen direct feedback en lossen kwetsbaarheden op terwijl de context nog vers is.

Secure coding vormt een belangrijk onderdeel van een DevSecOps aanpak, waarbij security vanaf de eerste regel code geïntegreerd is in het ontwikkelproces. In plaats van security pas aan het einde van een project te controleren, wordt beveiliging een vast onderdeel van iedere commit, pull request en release.

Dat levert meerdere voordelen op: 

• kwetsbaarheden komen eerder aan het licht; 
• minder herstelwerk vlak voor een release; 
• kortere doorlooptijden; 
• een ontwikkelproces waarin security standaard is ingebouwd. 

Security verandert daarmee van een losse controle achteraf naar een vast onderdeel van iedere ontwikkelcyclus. 

GitHub Advanced Security ondersteunt secure coding 

Werk je met GitHub? Dan helpt GitHub Advanced Security om security automatisch onderdeel te maken van het ontwikkelproces. 

Code scanning 
Code scanning controleert broncode continu op bekende kwetsbaarheden en onveilige programmeerpatronen. 

Secret scanning 
Secret scanning detecteert wachtwoorden, tokens en API sleutels voordat deze in verkeerde handen terechtkomen. 

Dependency scanning 
Dependency scanning controleert gebruikte open source libraries continu op bekende beveiligingsproblemen. 

AI als ondersteuning voor ontwikkelaars 
GitHub Copilot helpt ontwikkelaars sneller code te schrijven. In combinatie met GitHub Advanced Security krijgen zij direct inzicht in mogelijke beveiligingsrisico’s. Zo stijgt niet alleen de ontwikkelsnelheid, maar ook de kwaliteit van de software.

Werk je nog met Azure DevOps? 

Veel organisaties gebruiken Azure DevOps nog als ontwikkelplatform. GitHub Advanced Security is inmiddels ook beschikbaar voor Azure DevOps. 

Daardoor voeg je secure coding toe zonder direct het ontwikkelplatform te vervangen. 

Tegelijkertijd ontwikkelt GitHub zich snel tot hét platform voor AI ondersteunde softwareontwikkeling. Nieuwe mogelijkheden rondom GitHub Copilot, AI agents en intelligente ontwikkelondersteuning verschijnen als eerste binnen GitHub. 

Organisaties die AI een vaste plaats willen geven binnen softwareontwikkeling kiezen daarom steeds vaker voor GitHub. 

Secure coding levert meer op dan compliance 

De Cyberbeveiligingswet vraagt om aantoonbare beveiligingsmaatregelen. Secure coding levert echter veel meer op dan alleen voldoen aan wetgeving. 

Je ontwikkelt software die: 

• minder kwetsbaarheden bevat; 
• sneller gereed is voor productie; 
• eenvoudiger te beheren is; 
• beter aansluit op toekomstige beveiligingseisen. 

Zo versterk je niet alleen de veiligheid van je software, maar ook de kwaliteit van het volledige ontwikkelproces. 

Maak secure coding onderdeel van jouw ontwikkelproces 

De Cyberbeveiligingswet maakt één ding duidelijk. Security hoort thuis vanaf de eerste regel code. 

Door secure coding te combineren met GitHub Advanced Security ontdek je kwetsbaarheden eerder, verbeter je de kwaliteit van je software en voldoe je aantoonbaar aan strengere beveiligingseisen. 

Delta-N helpt organisaties om secure coding structureel onderdeel te maken van hun ontwikkelproces. Met een assessment, advies of implementatie bouwen we samen aan software die veilig is vanaf de eerste commit.

Benieuwd waar jouw ontwikkelproces staat op het gebied van secure coding? Plan een kosteloze sparsessie met een van onze waarmakers.