Pieter Danhieux ist Chief Executive Officer, Chairman und Mitbegründer von Secure Code Warrior.
Im Jahr 2020 wurde Pieter als Finalist in der Kategorie "Diversity Champion" für die SC Awards Europe 2020 ausgezeichnet und erhielt die Auszeichnung "Editor's Choice" für den Chief Executive Officer of the Year vom Cyber Defense Magazine (CDM), dem führenden Magazin für elektronische Informationssicherheit der Branche. Im Jahr 2016 war er die Nr. 80 auf der Liste der Coolest Tech people in Australia (Business Insider), wurde als Cyber Security Professional of the Year (AISA - Australian Information Security Association) ausgezeichnet und ist Mitglied des Forbes Technology Council.
Pieter ist außerdem Principal Instructor für das SANS Institute und unterrichtet Militär, Regierung und private Organisationen in offensiven Techniken, wie man Organisationen, Systeme und Einzelpersonen auf Sicherheitsschwächen hin untersucht und bewertet. Außerdem ist er Beiratsmitglied von NVISO, einem Beratungsunternehmen für Cybersicherheit in Europa. Bevor er seine eigene Firma gründete, arbeitete Pieter bei Ernst & Young und BAE Systems. Er ist außerdem einer der Mitbegründer der BruCON, einer der großartigsten Hacking-Konferenzen auf diesem Planeten.
Er begann seine Informationssicherheits-Karriere schon früh und erlangte die Zertifizierung zum Certified Information Systems Security Professional (CISSP) als eine der jüngsten Personen überhaupt in Belgien. Auf seinem Weg sammelte er eine ganze Reihe von Cybersicherheitszertifikaten (CISA, GCFA, GCIH, GPEN, GWAP) und ist derzeit einer der wenigen Personen weltweit, die die Top-Zertifizierung GIAC Security Expert (GSE) besitzen.
Vorstandsvorsitzender, Chairman und Mitbegründer
Der Vorstoß der australischen Regierung, sich ernsthaft mit dem Thema Cybersicherheit zu befassen, macht deutlich, dass es auf nationaler Ebene als zentrales Risikofeld identifiziert wurde, aber reicht ihre Strategie weit genug?
Die neueste Executive Order der US-Bundesregierung berührt viele Aspekte der funktionalen Cybersicherheit, umreißt aber zum ersten Mal speziell den Einfluss von Entwicklern und die Notwendigkeit, dass diese über verifizierte Sicherheitskompetenzen und -bewusstsein verfügen.
Das National Institute of Standards & Technology (NIST) hat ein aktualisiertes Whitepaper veröffentlicht, in dem mehrere Aktionspläne zur Reduzierung von Software-Schwachstellen und Cyber-Risiken beschrieben werden.
Ich hätte diesen Artikel mit all den Fakten und Zahlen beginnen können, die auf ein florierendes, hyperwachstumsstarkes Startup hinweisen; sie sind unbestreitbar beeindruckend und unsere laufende Unternehmensentwicklung ist stark. Für mich spiegeln diese Zahlen jedoch nicht das wider, worauf ich im Jahr 2019 am meisten stolz bin.
Unsere Geburtstagsjubiläen sind eine wunderbare Erinnerung daran, über die Früchte unserer Arbeit nachzudenken, das Team zu feiern und das kommende Jahr mit Zuversicht anzugehen. Und jetzt, sieben Jahre nach der Gründung, frage ich mich: Haben wir es geschafft? Ist dies schon ein richtiges Unternehmen? Natürlich haben wir eine gewisse Reife erlangt, aber ich hoffe, dass wir die Neugierde, die Leidenschaft und die Begeisterung, die wir von Anfang an hatten, nie verlieren.
In dieser Woche feiern wir offiziell acht Jahre Secure Code Warrior. Einerseits ist das 350 Mal so lang wie die Apollo 11-Mission und entspricht 45.000 Fußballspielen oder dem 5696-maligen Durchspielen von Super Mario Odyssey bis zum Ende. Andererseits ist es nur ein Dreißigstel der Lebensspanne einer Riesenschildkröte (250 Jahre, falls Sie sich wundern). In der Welt eines wachstumsstarken Start-ups ist es eine Reise mit vielen Wendungen, Lektionen und Erfolgen, von denen viele unvorstellbar waren, als wir unseren Geschäftsplan zum ersten Mal schrieben.
Die API-Sicherheit dem Zufall zu überlassen, ist ein todsicherer Weg, um später Probleme zu verursachen, die im schlimmsten Fall verheerende Folgen haben und im besten Fall zu frustrierender Nacharbeit und geringer Leistung führen.
Die Idee hinter Apps zur Kontaktverfolgung ist gut. Diese Technologie würde, wenn sie gut funktioniert, sicherstellen, dass Hotspots schnell aufgedeckt werden und umfassende Tests durchgeführt werden können - beides wesentliche Bestandteile der Bekämpfung der Ausbreitung eines ansteckenden Virus.
Wie sollen Entwickler sicheren Code schreiben, wenn ihnen niemand beibringt, warum das wichtig ist, welche Konsequenzen unsicherer Code hat und vor allem, wie sie diese Schwachstellen in ihren jeweiligen Programmier-Frameworks gar nicht erst schreiben?
Gegen Ende des letzten Jahres veröffentlichte die erstaunliche Community von MITRE ihre Liste der CWE Top 25 gefährlichsten Softwarefehler, die die Welt im Jahr 2019 betreffen. Und das meiste davon war keine Überraschung.
Unsere Vision ist es, Entwickler in die Lage zu versetzen, die erste Verteidigungslinie in ihrem Unternehmen zu sein, indem wir Sicherheit deutlich sichtbar machen und ihnen die Fähigkeiten und Werkzeuge an die Hand geben, um von Anfang an sicheren Code zu schreiben.
Der jugendliche Sicherheitsforscher Bill Demirkapi, der große Schwachstellen in der von seiner Schule verwendeten Software aufdeckte, brachte sicherlich einige Erinnerungen zurück. Ich erinnere mich, dass ich ein neugieriges Kind war, das die Haube einer Software öffnete, um zu sehen, wie sie funktionierte... und ob ich sie knacken konnte.
Die Befähigung von Entwicklern, von Anfang an sicheren Code zu schreiben, ist eine Gelegenheit für CISOs, etwas proaktive Kontrolle aus der Sicherheitssituation zu nehmen, und wo es die Chance für schnelle, einfache und messbare Verbesserungen sowohl für Sicherheits- als auch für Entwicklungsteams gibt.
Das Gesundheitswesen könnte das nächste "große" Schlachtfeld der Cybersicherheit werden, da Kriminelle genau die Maschinen angreifen, die medizinische Probleme diagnostizieren, Behandlungen durchführen und Leben erhalten.
In der Cybersicherheit sind wir oft wie Jäger. Unsere Augen sind fest auf den Horizont gerichtet, um nach der nächsten Sicherheitslücke zu suchen. Dieser vorausschauende Fokus kann jedoch den überraschenden Effekt haben, dass unser Sicherheitsbewusstsein insgesamt gedämpft wird.
Diese auf Entwickler fokussierten Veranstaltungen gehören zu meinen Favoriten im Kalender; sie sind eine demütige Erinnerung an die Gemeinschaft, die unermüdlich daran arbeitet, Software-Ingenieure und -Spezialisten zu schulen und zu befähigen, sich für die Sicherheit bei ihrer Arbeit einzusetzen.
Der wahre Kampf, dem wir uns stellen müssen, ist nicht gegen Skript-Kiddies oder gefährliche organisierte Cybercrime-Syndikate... er besteht darin, mehr Menschen dazu zu bringen, sich dafür zu interessieren, dass Datenschutzverletzungen überhaupt passieren.
Softwaresicherheit steht für mich immer an erster Stelle, ebenso wie die sehr reale Gefahr, die von unserem zunehmend digitalen, persönlichen Informationsaustausch-Lebensstil ausgeht. Schließlich befinden wir uns in einem weitgehend unregulierten, unüberwachten und glücklicherweise ignorierten Gebiet. Wir befinden uns im Wilden Westen.
Die Betonung eines präventiven - im Gegensatz zu einem reaktiven - Ansatz wird außerhalb des Sicherheitsteams möglicherweise nicht allgemein verstanden, vor allem, wenn noch kein großer, schlimmer Sicherheitsvorfall stattgefunden hat.
In diesem Jahr hat das PCI Security Standards Council eine komplett neue Reihe von Software-Sicherheitsrichtlinien als Teil des PCI Software Security Framework veröffentlicht. Dieses Update zielt darauf ab, Best Practices für die Software-Sicherheit mit der modernen Software-Entwicklung in Einklang zu bringen.
Das Aufkommen des aktuellen digitalen Lieblingsthemas - des Metaversums - bietet eine riesige neue Angriffsfläche für Schwachstellen auf Code-Ebene und Social Engineering. Und wir sind einfach nicht auf den Kampf auf diesem neuen Spielfeld vorbereitet, das von Rauch und Spiegeln lebt.
Da CIOs aggressiv ihre agilen Unternehmensfähigkeiten aufbauen, werden sichere Programmierfähigkeiten eine Waffe der Innovation sein und sie nicht zu haben, wird ein Instrument der Zerstörung sein.
Ein aktueller Bericht des britischen Huawei Cyber Security Evaluation Centre identifiziert große Sicherheitsprobleme innerhalb der Softwareentwicklungsprozesse von Huawei. Aber es ist ein Problem, das behoben werden kann.
Zwar werden sich die regulatorischen Initiativen im Laufe der Zeit zweifellos verbessern und ausweiten, doch wenn Unternehmen bereits jetzt den Panikknopf drücken und sich auf Schulungen stürzen, könnten sie sich für die Zukunft nur schlecht gerüstet sehen.
Nur wenige Unternehmen sind bei ihrer DevOps-Implementierung wirklich erfolgreich. Mit der richtigen Unterstützung, Pflege und dem Verständnis im gesamten Unternehmen kann Ihr Prozess jedoch transformiert werden.
Es gibt viele Lösungen, die Schwachstellen im Code finden, aber die Sicherheit muss mehr Wert darauf legen, Entwicklern beizubringen, Sicherheitsrichtlinien zu befolgen, die verhindern, dass sie diese Fehler überhaupt erst machen.
Mit der Einführung der GDPR sowie einer überarbeiteten Strategie nach einem mehrstufigen Angriff, bei dem die sensiblen Daten vieler Persönlichkeiten des öffentlichen Lebens - und auch Server der deutschen Bundesregierung - offengelegt wurden, ist klar, dass das Bewusstsein für Cybersicherheit und entsprechende Maßnahmen für Führungskräfte in der DACH-Region an erster Stelle stehen.
Die Wahrnehmung dessen, was eine sichere Verschlüsselung ausmacht, ist umstritten. Die jüngste Studie, die in Zusammenarbeit mit Evans Data durchgeführt wurde, hat dieses Gefühl schwarz auf weiß gezeigt. Die Studie "State of Developer-Driven Security 2022" befasst sich mit den wichtigsten Erkenntnissen und Erfahrungen von 1200 aktiven Entwicklern und beleuchtet ihre Einstellungen und Herausforderungen im Bereich Sicherheit.
Unsere VP of Customer Success, Fatemah Beydoun, hielt kürzlich ihren Vortrag "Mentoring for the future: Wie wir alle weibliche Talente in der Cybersicherheit besser fördern können" vor einem sehr aufgeschlossenen Publikum. Sie war ein wesentlicher Bestandteil des positiven Wandels in der Cybersecurity-Branche.
Während sichere Kodierung ein obligatorischer Bestandteil des Software-Engineerings auf tertiärer Ebene werden muss, sind einige Universitäten führend bei der Bereitstellung erstklassiger Schulungen und der Priorisierung von Sicherheit als Teil des Entwicklungsprozesses von Anfang an.p
Kreative, inspirierende CISOs und CIOs haben die Macht, innovativ zu sein und unsere digitale Welt zu gestalten, aber sie können auch entscheidend dazu beitragen, die Sicherheitskultur eines Unternehmens zu verändern.
Obwohl VxWorks dem Durchschnittsverbraucher kein Begriff ist, profitieren viele Menschen wie Sie und ich jeden Tag von diesem Softwareprodukt. Und nun sind wir mit der Möglichkeit konfrontiert, dass hunderte Millionen von VxWorks-betriebenen Geräten nun kompromittiert sind.
Wir müssen daran arbeiten, die Konversation zu ändern, um Sicherheit zu einem integralen Bestandteil des Arbeitslebens eines jeden Entwicklers zu machen. Und ich denke, eine der besten Möglichkeiten, dies zu tun, ist, Entwickler zu befähigen und mit ihnen über Sicherheit zu sprechen, zum Beispiel durch Gamification.
Es ist die besondere Zeit des Jahres (jedenfalls für uns), in der ich über unsere letzte Runde um die Sonne nachdenke und darüber, was in den vergangenen 365 Tagen getan wurde, um uns für ein neues Jahr voller Wachstum, Lektionen und unvermeidlicher Unvorhersehbarkeit zu positionieren.
Denken Sie nicht, dass es an der Zeit ist, der Sicherheit ein neues Gesicht zu geben? Es ist so einfach, wie die Konversation zu ändern und alles ein wenig positiver zu gestalten (ganz zu schweigen von Spaß!) für beide Seiten, besonders für das Entwicklerteam.
Die Softwaresicherheitsbranche ist nicht gerade für ihre warmen und flauschigen Gefühle, skurrilen Beobachtungen und Lebenskommentare bekannt, aber, vielleicht weil ich älter werde, ertappe ich mich dabei, wie ich darüber nachdenke, welchen Einfluss wir alle auf die Welt haben können.
Mit der Zunahme von Cyberangriffen - die jede Art von Unternehmen in jeder Branche betreffen - ist die Bedrohung durch teure, peinliche und den Gewinn beeinträchtigende Datenschutzverletzungen sehr real. Das Problem wird nicht kleiner, es wächst wie ein Tumor.
In unserer Branche haben viele Sicherheitsexperten damit begonnen, die brisanten Themen für das Jahr vorherzusagen, aber angesichts von mehr als fünf Milliarden gestohlenen sensiblen Datensätzen im Jahr 2019 dachten wir uns, dass es genauer wäre, vorherzusagen, was in absehbarer Zeit in der Cybersicherheit passieren wird.
Indem wir die Verantwortlichkeiten unserer Anwendungen und Software innerhalb einer strengen Hierarchie definieren und diese Richtlinien mit geringstem Recht durchsetzen, können wir sicherstellen, dass unsere Anwendungen und Software trotz der Bedrohungslandschaft, die sich ihnen entgegenstellt, überleben und gedeihen.
Der Open Source Software Security Mobilization Plan ist ein positiver Schritt für die Sicherheit von Entwicklern. Allerdings müssen wir alle eine Bestandsaufnahme machen und ehrlich einschätzen, ob wir in unserer Organisation reif genug sind - und ob unsere Entwicklungsteams das richtige Maß an Sicherheitsbewusstsein und Fähigkeiten haben - um die neuesten und besten Verteidigungsstrategien zu implementieren.
Das Panel "Leaders in AppSec" behandelte brisante Themen wie die Frage, wie man das AppSec-Budget eines Unternehmens optimal nutzen kann, und beantwortete auch einige neugierige Fragen aus dem Publikum. Das Panel "Leaders in AppSec" lieferte einen echten Morgenzauber, der Sicherheitsspezialisten dabei helfen wird, tragfähige Programme in ihren Unternehmen aufzubauen.
Je älter meine Tochter und das Unternehmen werden, desto mehr erkenne ich, dass es so viele Ähnlichkeiten zwischen einer Startup-Reise und der ���erstmaligen� Elternreise gibt. Ich bin jetzt in meinem vierten Jahr für beides.pi
Wir erhalten weder realistische Ratschläge noch die schnellsten Lösungen zur Bekämpfung des unaufhörlichen Ansturms, den die moderne Cybersicherheit darstellt. Natürlich ist jede Sicherheitsverletzung auf ihre eigene Art und Weise anders, und es gibt zahlreiche Angriffsvektoren, die in anfälliger Software ausgenutzt werden können. Allgemein gültige Ratschläge werden nur begrenzt möglich sein, aber der Best-Practice-Ansatz wird von Stunde zu Stunde unzulänglicher.
Anfang dieses Jahres hat der PCI Security Standards Council die Version 4.0 des Payment Card Industry Data Security Standard (PCI DSS) vorgestellt. Auch wenn Unternehmen die Version 4.0 erst im März 2025 vollständig erfüllen müssen, ist diese Aktualisierung die bisher einschneidendste und erfordert von den meisten Unternehmen eine Bewertung (und wahrscheinlich ein Upgrade) komplexer Sicherheitsprozesse und Elemente ihres technischen Stacks. Dies geschieht zusätzlich zur Implementierung rollenbasierter Sicherheitsschulungen und regelmäßiger Schulungen zur sicheren Codierung für Entwickler.
Die Nationale Cybersicherheitsstrategie der CISA ist die beste Chance, die wir haben, um die Softwarestandards auf breiter Front anzuheben und endlich eine neue Ära sicherheitskompetenter Entwickler einzuleiten.
Auch wenn es unvermeidlich scheint, dass die KI-Technologie im Stil des LLM die Art und Weise, wie wir an viele Aspekte der Arbeit herangehen - nicht nur an die Softwareentwicklung - verändern wird, müssen wir einen Schritt zurücktreten und die Risiken jenseits der Schlagzeilen betrachten. Und als KI-Begleiter sind ihre Schwächen vielleicht ihr "menschlichstes" Attribut.
Wir gaben den Abschluss unserer Serie-C-Finanzierungsrunde bekannt, in der wir 50 Millionen US-Dollar für die nächste Phase unserer Mission aufgebracht haben: mehr Pionierorganisationen dabei zu helfen, die Kraft ihrer Entwicklungskohorte bei der Vereitelung allgemeiner Schwachstellen zu nutzen.
Frisch nach der Bekanntgabe unserer Serie-C-Finanzierung freue ich mich, einen weiteren Schritt auf dem Weg unseres Unternehmens bekannt geben zu können. Der Branchenführer im Bereich Sicherheit, Synopsys, hat eine aufregende neue Ergänzung zu seiner Produktpalette vorgestellt: Synopsys Developer Security Training, powered by Secure Code Warrior.
Der Strategische Plan für Cybersicherheit sieht weitreichende Änderungen in der Art und Weise vor, wie die meisten Unternehmen an die Cybersicherheit herangehen, und Entwickler befinden sich in einer einzigartigen Position, um zur Erreichung dieser neuen Ziele beizutragen.
Heute ist unser neunter Geburtstag, und ich bin nach wie vor sehr stolz und dankbar für unsere Leistungen und unseren dauerhaften Platz im Land der Cybersicherheit, während sich die Szene weiterhin rasant verändert.
Eine kritische Sicherheitslücke (CVE-2024-3094) wurde in der Datenkomprimierungsbibliothek XZ Utils entdeckt, die von den wichtigsten Linux-Distributionen verwendet wird und durch eine Hintertür von einem Bedrohungsakteur eingeführt wurde. Diese hochgradig gefährliche Schwachstelle ermöglicht die Ausführung von Remote-Code, was ein erhebliches Risiko für Softwareerstellungsprozesse darstellt. Die Schwachstelle betrifft frühe Versionen (5.6.0 und 5.6.1) von XZ Utils in Fedora Rawhide, mit der dringenden Aufforderung an Unternehmen, Patches zu implementieren. Der Vorfall unterstreicht die kritische Rolle von Freiwilligen aus der Community bei der Pflege von Open-Source-Software und verdeutlicht die Notwendigkeit verbesserter Sicherheitspraktiken und Zugangskontrollen innerhalb des Softwareentwicklungszyklus.
Secure-by-Design ist die neueste Initiative, die in aller Munde ist, und die australische Regierung, die mit der CISA auf den höchsten Ebenen der Global Governance zusammenarbeitet, fordert von den Anbietern einen höheren Standard für Softwarequalität und -sicherheit.
