Wie Sie Ihren Chef davon überzeugen, in eine Schulung zur sicheren Programmierung zu investieren

Wenn Sie in irgendeiner Weise mit Software zu tun haben, sei es als Entwickler, QA, technischer Leiter oder AppSec-Experte, gehört Sicherheit zu Ihrem Job. Es ist die Aufgabe des Sicherheitsteams, auf Software-Schwachstellen hinzuweisen, und es ist die Aufgabe des Entwicklers, sein Bestes zu tun, um Code zu schreiben, der von vornherein keine Schwachstellen aufweist. Aber um diese Aufgaben so effizient und effektiv wie möglich zu erledigen, ist es wichtig, dass alle Parteien gemeinsam gegen Sicherheitsbedrohungen vorgehen, angefangen beim Code, auf dem Ihre Anwendungen laufen. 

Das effektive Erlernen von sicherem Kodieren und das Behalten dieses Wissens kann jedoch den Anschein erwecken, dass es von Natur aus schwierig ist. Mit den richtigen Tools muss das nicht sein. Es ist jedoch nicht immer einfach, Interessengruppen und Vorgesetzte davon zu überzeugen, in die richtige Art von Schulung zu investieren. Zu oft werden Schulungen mit dem alleinigen Ziel ausgewählt, die Einhaltung von Vorschriften zu erfüllen, und oft sind sie für die tägliche Arbeit der Entwickler irrelevant. Aber was wäre, wenn Entwickler in Echtzeit etwas über Sicherheit lernen könnten, und zwar in der Sprache:Framework, in der sie täglich arbeiten, und dabei auch noch Spaß haben? Und um das Ganze abzurunden? Ihr Unternehmen hält gleichzeitig die Industriestandards ein.

Wir halten Ihnen den Rücken frei. Hier finden Sie einige Strategien, mit denen Sie Ihre Kollegen, Führungskräfte und Entscheidungsträger in Ihrem Unternehmen für ein auf Entwickler ausgerichtetes Schulungsprogramm zur Sicherheitsprogrammierung gewinnen können.   

Die Vermeidung von Software-Schwachstellen von Anfang an spart unermessliche Mengen an Zeit und Geld

Verbringen Sie zu viel Zeit damit, Sicherheitsprobleme zu finden, zu melden oder zu beheben? Da sind Sie nicht allein. 

Stellen Sie sich das folgende Szenario vor: Sobald AppSec eine Schwachstelle findet und an die Entwicklung meldet, nehmen die Entwickler an einer entsprechenden Schulung teil und lernen nicht nur, wie sie diese Schwachstelle beheben können, sondern auch, wie sie denselben Fehler in Zukunft vermeiden können. Was glauben Sie, was das Ergebnis wäre? Der Entwickler würde sich höchstwahrscheinlich an die Lektion erinnern, weil sie relevant ist, und es wäre weniger wahrscheinlich, dass er denselben Fehler noch einmal macht. Wenn Sie also in einem Sicherheitsteam arbeiten, ist es für einen Entwickler weniger wahrscheinlich, dass er diese Schwachstelle unwissentlich noch einmal schafft, und es ist weniger wahrscheinlich, dass derselbe Entwickler noch einmal zurückgehen und den Fehler beheben muss.

Sehen Sie sich dieses Video unseres Kunden Contrast Security an und erfahren Sie, wie leistungsfähig Echtzeit-Schulungen für sein Entwicklungsteam sind.

Wenn alle Entwickler regelmäßig an Schulungen zu sicherem Code teilnehmen würden und ihnen die Tools zur Verfügung stünden, mit denen sie sich in Echtzeit über Sicherheitsprobleme informieren könnten, wäre die Zeit, die sie für die Entwicklung großartiger Software und die Arbeit an Sicherheitsprogrammen zurückgewinnen, unermesslich. Klingt nach einem ziemlich guten Argument für Ihr Unternehmen, in ein solches Tool zu investieren, oder? 

Wenn Sie ein großartiges Tool gefunden haben, mit dem Sie sich im Bereich der Sicherheit weiterbilden möchten, etwas wie (hust) Secure Code Warriorist dies ein gutes Argument, um es dem CISO oder CTO Ihres Unternehmens vorzustellen. 

Befähigte Entwickler liefern bessere Ergebnisse und sind zufriedener

Zeit und Geld sind natürlich sehr wichtig für Ihr Managementteam, aber auch Ihre Arbeitszufriedenheit. Zufriedene Mitarbeiter liefern bessere Ergebnisse, bleiben länger an ihrem Arbeitsplatz und tragen zu einem positiven Arbeitsumfeld bei. Deshalb sind berufliche Weiterbildung und Training eine Investition und keine Kosten. Und wenn diese Schulungen auch noch Spaß machen und etwas Relevantes vermitteln? Dann ist das ein goldenes Ticket zum Erfolg. 

Die gute Nachricht ist, dass Entwickler in der Regel hoch motiviert sind, Sicherheit zu lernen, weil sie wissen, wie wichtig sie für ihre Arbeit ist. In einer Studie mit Evans Data Corporation haben wir Entwickler aus der ganzen Welt befragt und herausgefunden, dass Entwickler Sicherheit lernen wollen, weil: 

1. Es erhöht die Produktivität und Effizienz
2. Sie sind neugierig und persönlich daran interessiert, mehr darüber zu erfahren.
3. Sie wollen die Probleme vermeiden, die mit unsicherem Code verbunden sind
4. Sie wissen, dass sie die Möglichkeit zum beruflichen Aufstieg bietet.
5. Es ist eine effizientere Nutzung der Humanressourcen
   

(Laden Sie das vollständige Whitepaper hierherunter .)

Das Problem ist nur, dass die meisten Schulungen zur sicheren Kodierung sie im Stich lassen. Es ist nicht relevant für ihre tägliche Arbeit und, seien wir ehrlich, es ist schlichtweg langweilig. Das sind Eigenschaften, die in der Regel keine guten Ergebnisse liefern, wenn es darum geht, Informationen zu behalten und tatsächlich zu lernen. Wenn die learning platform jedoch auf die Entwickler ausgerichtet ist, Spaß macht, sie anspricht und für ihre Arbeit relevant ist, kann sie echte Ergebnisse liefern und Menschen dazu bringen, sicheren Code schreiben zu wollen. Und warum sollte Ihr Chef, sei es ein Entwicklungsleiter oder ein CISO oder CTO, nicht wollen, dass die Entwickler an sicherer Programmierung interessiert sind und die entsprechenden Fähigkeiten besitzen?

Sicherheitsverständnis macht insgesamt bessere Ingenieure 

Wenn Ingenieure verstehen, wie Software für Angriffe anfällig sein kann, können sie ihre Arbeit in diesem Sinne erledigen. Je mehr jemand versteht, was schief gehen kann, desto mehr arbeitet er mit einem präventiven Ansatz.

Und nicht nur das: Bei minderwertigem Code ist es wahrscheinlicher, dass er Software-Schwachstellen enthält, und es ist für einen Entwickler leichter, unwissentlich eine Schwachstelle in diesen Code einzubauen. Und warum? Weil ein großer Teil der Arbeit darin besteht, Code zu lesen und zu ändern. Wenn dieser Code schlecht organisiert ist und eine schlechte Logik verwendet, dauert es länger, diese Aufgaben auszuführen, und es wird einfacher, etwas zu ändern und versehentlich einen kritischen Sicherheitsfehler einzubringen.

Wenn man weiß, was Sicherheit bedeutet und wie man Probleme vermeiden kann, macht man sich auch mehr Gedanken über die Gesamtqualität des Codes und darüber, wie man ihn so schreiben kann, dass ein Fehler nicht einfach aus Versehen eingeschleust werden kann. Sicherheitsschulungen sind eine Win-Win-Situation. Die Entwickler lernen nicht nur etwas über sichere Programmierung, sondern werden in der Zwischenzeit auch zu besseren Ingenieuren. 

In Zahlen liegt die Kraft

Eine weitere gute Taktik, um Ihre Führungskräfte für die Einführung eines sicheren Codes learning platform zu gewinnen, besteht darin, Ihre Kollegen mit ins Boot zu holen. Je mehr Entwickler daran interessiert sind, ihre Sicherheitskenntnisse zu verbessern, desto leichter wird es sein, die Geschäftsleitung oder den Vorstand davon zu überzeugen, in dieses Thema zu investieren.

Wie kann man das also machen? In Anbetracht der Tatsache, dass die meisten Entwickler die Notwendigkeit verstehen, sich in Sachen Sicherheit zu verbessern und lernen wollen, sollte das nicht allzu schwer sein. Sie können sie auch einen Blick auf diesen secure code warrior developer showcase werfen lassen, um einen kleinen Einblick in unser Produkt zu bekommen und ihre Fähigkeiten im sicheren Programmieren zu testen. Sobald sie die Auswirkungen von unsicherem Code sehen und erfahren, dass das Lernen über Sicherheit Spaß machen kann, werden sie sich ermutigt fühlen, mehr zu lernen.

Sobald Sie das richtige Tool ausgewählt haben, können Sie Ihre Entwickler mit einem gesunden Wettbewerb anspornen. Starten Sie Ihr Schulungsprogramm mit einem tournament. 

Sehen Sie sich an, wie Nelnet mit tournaments wirklich kreativ wurde, um eine Sicherheitskultur in ihrem Unternehmen aufzubauen.

Kontinuierliche Sicherheitsschulungen fördern eine wünschenswerte Unternehmenskultur

Schulungen müssen nicht langweilig sein, und das sollten sie auch nicht. Wir wissen, dass Vorträge teuer und schwer zu organisieren sind - vor allem bei verteilten Teams - und dass Sie wahrscheinlich nicht viel davon mitnehmen werden. Aber Unternehmen bieten Entwicklern immer noch Schulungen zur sicheren Programmierung an, die kaum mehr bewirken, als jedes Jahr ein Kästchen für die Einhaltung der Vorschriften anzukreuzen. Es reicht nicht mehr aus, einfach den Status quo beizubehalten. Es ist an der Zeit, dass Entwicklungsleiter und AppSec gemeinsam an der Implementierung eines Schulungsinstruments arbeiten, das kontinuierliches und ansprechendes Lernen fördert. Und das beginnt damit, die Entscheidungsträger zu überzeugen.

Kontinuierliche, praxisnahe Schulungen sind aus mehreren Gründen notwendig. Die Bedrohungen für die Cybersicherheit entwickeln sich ständig weiter, daher ist es nur natürlich, dass auch die Schulungen zur Bekämpfung dieser Bedrohungen kontinuierlich stattfinden. Und nicht nur das: Wie bereits erwähnt, ist es viel wahrscheinlicher, dass wir das Gelernte behalten, wenn wir in Echtzeit lernen. Eine sicherheitsorientierte Programmierung ist schwer umzusetzen, denn es ist unrealistisch, von einem Entwickler zu erwarten, dass er sich an etwas erinnert, das er vielleicht vor fast einem Jahr in einer Diashow gelernt hat. Wenn sie aber lernen, wie man eine bestimmte Software-Schwachstelle in dem Moment vermeidet, in dem sie ihnen gemeldet wird, und gleichzeitig das Gefühl haben, ein Spiel zu spielen, ist das eine ganz andere Sache. 

Sobald eine praxisnahe, relevante Schulung durchgeführt wird, wird die Sicherheit Teil der Unternehmenskultur und wird nicht mehr als nachträglicher Gedanke behandelt. Sie wird vom Beginn des Softwareentwicklungszyklus an in den Entwicklungsprozess integriert. 

Worauf warten Sie also noch? Machen Sie sich auf den Weg, die Sicherheit in Ihrem Unternehmen zu verbessern und wichtige Unternehmens- und Kundendaten zu schützen. Holen Sie Ihre Entwickler und Chefs ins Boot, um die sichere Programmierung in Ihrem Unternehmen auf die nächste Stufe zu heben. Hören Sie ein für alle Mal auf, immer wieder dieselben Schwachstellen zu erleben, indem Sie von Anfang an an die Sicherheit denken. 

Brauchen Sie mehr Ressourcen?

Laden Sie das vollständige "Convince your CISO / CTO kit" herunter