Enabler 1: Definierte und messbare Erfolgskriterien

Wir beginnen unsere eingehende Betrachtung der 10 Erfolgsfaktoren mit dem grundlegenden Schritt von Faktor 1: Definierte und messbare Erfolgskriterien. Wenn ein Programm für sicheres Codieren eine Reise ist, besteht der erste und wichtigste Schritt darin, genau zu wissen, wohin die Reise geht. Das ist der Kern des ersten Faktors.

Verknüpfung von Erfolgskriterien mit Geschäftsergebnissen

Der Aufbau eines erfolgreichen Programms für sicheres Codieren erfordert klare Ziele, die eng mit den Geschäftsergebnissen verknüpft sind. Enabler 1 beantwortet die Kernfrage: „Was ist konkret und messbar das Problem oder der Schwachpunkt, den wir mit unserem Programm für sicheres Codieren lösen wollen?“ 

Vielleicht möchte Ihr Unternehmen Compliance-Anforderungen erfüllen oder Sicherheitsverletzungen und Cyberangriffe vermeiden. Oder vielleicht möchten Sie als Unternehmen einen Neuanfang machen und Kosten und Zeit für Nachbesserungen reduzieren, indem Sie Entwickler darin schulen, von Anfang an sicher zu programmieren.

Unabhängig von Ihren Beweggründen, dem aktuellen Zustand Ihres Unternehmens oder sogar der von Ihnen gewählten Sicherheits-Schulungsplattform hängt der langfristige Erfolg Ihres Programms in hohem Maße davon ab, dass Sie klar definierte Ziele festlegen, die mit den Unternehmenszielen verknüpft sind, um Akzeptanz zu schaffen und dauerhaften Erfolg zu gewährleisten.

Berücksichtigen Sie bei der Festlegung der Erfolgskriterien die wichtigsten Stakeholder Ihres Programms. Wenn Sie Ihre Sponsoren in der Führungsetage und deren Geschäftsziele kennen, können Sie eine breitere Akzeptanz in allen Abteilungen erreichen.

Erfolg greifbar und messbar machen

Diese Ziele müssen naturgemäß auf Ihre Organisation zugeschnitten sein. Sehen Sie sich dennoch diese typischen Unternehmensziele an und überlegen Sie, wie sie Sie zu weiteren Ideen inspirieren könnten:

Risikominderung: Mindern Sie Entwicklerrisiken und reduzieren Sie Schwachstellen, die durch Fehler im Code entstehen. Dazu gehören die Identifizierung von Risiken und die Verringerung der Angriffsfläche von Anwendungen.

Programme zielen häufig auf Kennzahlen wie die Reduzierung und Vermeidung der Schwachstellendichte oder der Schwachstellen-Injektionsrate ab.

Operative Geschwindigkeit: Maximieren Sie die Geschwindigkeit der Produktlieferung, reduzieren Sie die Frustration und Fluktuation der Entwickler und verringern Sie den Zeitaufwand für Nacharbeiten. Schulungen zum Thema sicherer Code sind ein wichtiger Anreiz für Entwickler, da sie ihnen helfen, zeitaufwändige Nacharbeiten an fehlerhaftem Code zu vermeiden, der erst später im Softwareentwicklungszyklus entdeckt wird.

Programme zielen häufig darauf ab, die durchschnittliche Zeit bis zur Behebung (MTTR) von Schwachstellen durch Entwickler zu reduzieren.

Einhaltung gesetzlicher Vorschriften: Erreichen Sie externe Compliance, beispielsweise durch die Einhaltung von Standards wie PCI-DSS (der Schulungen für alle Entwickler vorschreibt, die an Zahlungssystemen arbeiten).

Talent und Vertrauen: Steigern Sie das Engagement und das Bewusstsein für Sicherheit und Schwachstellen innerhalb der Entwicklerorganisation und stärken Sie gleichzeitig das Vertrauen Ihrer Kunden. Für einige Unternehmen tragen sicherheitsbewusste Entwickler dazu bei, sich vom Markt abzuheben.

Programme legen häufig Mindestanforderungen an die Fähigkeiten von Entwicklern fest oder schaffen sogar spezielle Security-Champion-Programme.

Erfolge in einem gemeinsamen Erfolgsplan dokumentieren

SobaldSie Ihre Erfolgskriterien definiert haben, besteht der nächste Schritt darin, diese in einem gemeinsamen Erfolgsplan zu dokumentieren. Dieser Plan ist ein funktionsübergreifender gemeinsamer Entwurf, an dem alle wichtigen Stakeholder Ihres Programms beteiligt sind, einschließlich externer Unterstützung wie beispielsweise Ihr CSM für die Schulungsplattform. 

Der Erfolgsplan enthält:

1. Wertetreiber: Dazu gehören die übergeordneten Geschäftsziele im Zusammenhang mit der Verbesserung der Codesicherheit und der Beantwortung der Frage „Warum?“ für Ihr Programm.
2. Aktueller Stand: Hier wird festgestellt, „Wo stehen wir derzeit?“ (z. B. aktuelle Kenntnisse im Bereich sicheres Programmieren oder vorhandene Schulungsprogramme).
3. Zukünftiger (gewünschter) Zustand: Als Nächstes dokumentieren Sie, „wo wir hinwollen“, und legen fest, wie die Lücke bei den Kenntnissen im Bereich sicheres Programmieren geschlossen werden soll.
4. KPIs/Maßnahmen: Dies sind die Kennzahlen, die den Erfolg zeigen und belegen, dass sich die Lücke zwischen dem aktuellen und dem zukünftigen Zustand mit der Einführung des Programms schließt.

Wir empfehlen, mit 1 oder 2 spezifischen Kennzahlen zu beginnen und diese später bei Bedarf zu erweitern. Diese KPIs/Kennzahlen müssen dem S.M.A.R.T.-Prinzip (spezifisch, messbar, erreichbar, relevant, zeitgebunden) entsprechen. Sie sollten leicht nachzuverfolgen sein und keinen Raum für Interpretationen lassen. Um den Plan in die Tat umzusetzen, ist die Verantwortlichkeit aller Beteiligten erforderlich, wobei in regelmäßigen, vereinbarten Abständen der Wert und der ROI mit der Unternehmensleitung überprüft werden sollten.

Durch die explizite Definition und Messung dieser Kriterien entwickelt sich Ihr Programm für sicheres Codieren von einer einfachen Kostenstelle zu einem nachweisbaren Treiber für wichtige Geschäftsergebnisse – ein notwendiger erster Schritt zur Erreichung der Programmreife.

Als Nächstes befassen wir uns mit Enabler 2: Unterstützung durch die Führungsspitze, um die Schlüsselrolle zu erörtern, die die Führungsspitze bei der erfolgreichen Einführung eines Programms für sicheres Codieren spielt.

Haben Sie weitere Fragen? Kunden können sich an das Account-Team oder an support@securecodewarrior.com wenden. Interessierte Kunden können sich hier an einen Mitarbeiter unseres Vertriebsteams wenden.