Auf dem Weg zu Gold: Steigende Standards für sicheren Code bei Paysafe

Paysafe hilft dabei, Finanztransaktionen in vertrauensvolle Erlebnisse zu verwandeln. Das Unternehmen weiß, dass die Bereitstellung einer sicheren, nahtlosen Plattform, die ein jährliches Transaktionsvolumen von über 152 Milliarden US-Dollar verarbeitet, weit mehr erfordert als die Einhaltung grundlegender Compliance-Standards. In den letzten vier Jahren hat Paysafe durch seine Partnerschaft mit Secure Code Warrior einen ganzheitlichen Ansatz für das Risikomanagement von Entwicklern verfolgt, wobei das Programm für Anwendungssicherheit einen positiven Einfluss auf die allgemeinen Geschäftsanforderungen gezeigt hat:    

‍
Die Herausforderung: Anhebung der Standards für sicheren Code bei Paysafe

Als multinationaler Anbieter von Online-Zahlungen hat Paysafe sichere Kodierung schon immer als eine strategische Priorität betrachtet, die über die Erfüllung der PCI DSS-Anforderungen hinausgeht. Während formelle, von Experten geleitete Schulungen und Kompetenzbewertungen Teil der frühen Bemühungen waren, war es immer das Ziel von Paysafe, den Umfang und das Ausmaß seiner Initiative für sichere Programmierung kontinuierlich zu erweitern, um einen erstklassigen Ansatz für die Anwendungssicherheit zu gewährleisten und sicherzustellen, dass die Ingenieure von Anfang an sicheren Code schreiben.

"Für uns ging es nie darum, nur ein Kästchen anzukreuzen, dass wir eine Schulung durchgeführt haben. Unser Ziel ist es, unsere Mitarbeiter über die laufenden Entwicklungen auf dem Laufenden zu halten. Wir sind immer bestrebt, besser zu werden und mehr zu tun. Wir wollen, dass Technik- und Sicherheitsteams zusammenarbeiten. Teams, die sich selbst weiterentwickeln können, sind besser informiert und entwickeln besseren Code", sagte Boyan Hristov, People Development Partner bei Paysafe.

Die Vision von Paysafe war es, die Sicherheit nach links zu verlagern und sicherheitsbewusste Ingenieure zu entwickeln, die sichere Kodierungspraktiken in jede Phase des Softwareentwicklungszyklus einbetten. Um dies zu unterstützen, benötigte das Unternehmen ein skalierbares, ansprechendes und kontinuierliches Programm, das nicht nur einen Audit-Nachweis für die PCI-Compliance liefern, sondern auch einen tiefgreifenden und dauerhaften kulturellen Wandel bewirken würde. Dazu gehörten spielerische Lernerfahrungen, regelmäßige tournaments und ständige Schulungen, um die Entwickler zu motivieren und sie dazu zu bringen, bei den Sicherheitstrends der Branche an vorderster Front zu bleiben.

Die Lösung: Ein hochmoderner Ansatz mit Secure Code Warrior

Paysafe hat die Secure Code Warriorfür das Risikomanagement von Entwicklern eingeführt, um die Skalierung sicherer Codierungspraktiken zu unterstützen, Ingenieure einzubinden und Sicherheit früher in den Entwicklungszyklus einzubinden. Das Security-Champions-Programm ist im Laufe der Zeit gewachsen, wobei Secure Code Warrior eine entscheidende Rolle bei der Erreichung der Ziele zur Prävention von Cyberrisiken spielt.

Paysafe ermöglichte es den Entwicklern, sich organisch mit der Plattform zu beschäftigen und förderte spielerische Aktivitäten wie tournaments mit verlockenden Preisen, um die Entwickler einzubinden und zu begeistern. Bei der Einführung des Programms waren einige Bewertungen obligatorisch, um die PCI-Compliance-Anforderungen zu erfüllen, und andere Inhalte und Aktivitäten wurden als Option angeboten.

Als das Programm an Zugkraft gewann, leistete die Unternehmensleitung zusätzliche Unterstützung und stimmte die Ziele der Entwicklungs- und Informationssicherheitsteams weiter aufeinander ab. Dies ermöglichte es dem Paysafe-Team, das Programm auf die nächste Stufe zu heben und formellere Zertifizierungsprogramme mit festgelegten KPI und Erfolgsanreizen einzuführen. 

Die nächste Phase des Programms konzentrierte sich auf die branchenüblichen OWASP-Top-10-Themen, mit Zertifizierungsstufen, die es Entwicklern ermöglichen, verschiedene Leistungsstufen zu erreichen. Jetzt hat das Programm einen neuen Umfang und Reifegrad erreicht und hebt die grundlegenden Standards für Entwickler auf breiter Front an, von Vollzeitangestellten bis hin zu externen Mitarbeitern.

‍"Wir schätzen die Partnerschaft, die wir in den letzten vier Jahren mit SCW aufgebaut haben, sehr. Gemeinsam waren wir in der Lage, gezielte Schulungen zur Anwendungssicherheit anzubieten und stärkere Beziehungen zwischen unseren Sicherheits- und Entwicklungsteams zu fördern, die in der gemeinsamen Verpflichtung verankert sind, sicheren Code auf Anhieb und so früh wie möglich im SDLC zu entwickeln", sagt Alan Osborne, Chief Information Security Officer bei Paysafe.

Mit der kontinuierlichen Unterstützung des CISO, des CTO und von Führungskräften aus dem technischen Bereich hat Paysafe mit Secure Code Warrior zusammengearbeitet, um sein Programm kontinuierlich weiterzuentwickeln. Heute ist das Programm eng an den Geschäftsanforderungen ausgerichtet, liefert greifbare Ergebnisse und bleibt für interne Teams relevant und ansprechend.

Ergebnisse: Ein neuer Standard für sicheren Code in der gesamten Organisation

Die Anwendungssicherheitsinitiativen von Paysafe haben sich seit dem Beginn ihrer Reise vor vier Jahren verbessert. Durch die Partnerschaft mit Secure Code Warrior hat Paysafe gezeigt, welche enormen Auswirkungen ein ganzheitlicher Ansatz für das Risikomanagement von Entwicklern auf das gesamte Unternehmen haben kann. 

Die Analyse der SAST-Scandaten durch Paysafe zeigte, dass Anwendungen, die von Teams entwickelt wurden, die mit Secure Code Warrior geschult wurden, eine bemerkenswerte Verringerung der Schwachstellen aufwiesen, die bei Scans in der frühen Entwicklungsphase entdeckt wurden. Die Anzahl der Schwachstellen, die beim ersten Scan gefunden wurden, ging in Teams, in denen die Entwickler aktiver mit der SCW-Plattform arbeiteten, weiter zurück. 

Das Team mit dem höchsten Aktivitäts- und Engagementgrad bei Secure Code Warrior verzeichnete im Jahresvergleich einen deutlichen Rückgang der Schwachstellen, die in den frühen Entwicklungsphasen gefunden wurden - was den Mehrwert einer kontinuierlichen, kompetenzbasierten Schulung bei der Stärkung der sicheren Codierungsgewohnheiten unterstreicht. Die Erstellung von sicherem Code von Anfang an sparte ihrem Team und anderen Teams im SDLC viel Zeit. Tausende von Entwicklungsstunden konnten eingespart werden, da die Notwendigkeit entfiel, Code-Schwachstellen zu identifizieren, zu protokollieren und zu überarbeiten, da sie bereits in der frühen Entwicklungsphase vermieden wurden. Dies führte zu einer Steigerung der Entwicklerproduktivität um 45 %, was die Vorteile von Up-Skilling für sicheren Code und die Verbesserung des alltäglichen Entwicklungsprozesses verdeutlicht. Eine Win-Win-Situation für Technik- und AppSec-Teams gleichermaßen.

Das Engagement von Paysafe für sicheren Code hat dazu beigetragen, dass das Unternehmen sich von der Konkurrenz abhebt und den vierten Platz im SCW Trust ^Score® in der Benchmark Banking & Financial Services erreicht hat. Obwohl dies eine Leistung ist, auf die das Unternehmen stolz ist, hört das Engagement von Paysafe für Initiativen für sicheren Code damit nicht auf. Ermutigt durch die Ergebnisse, die sie durch die Partnerschaft mit Secure Code Warrior gesehen haben, möchte Paysafe das Programm weiter ausbauen.

"Secure Code Warrior hat uns geholfen, die Produktivität unserer Entwickler zu steigern, unsere Produkte und Verbesserungen schneller auf den Markt zu bringen und die Kosten und Risiken im Laufe der Zeit erheblich zu reduzieren", sagt Alan Osborne, Chief Information Security Officer bei Paysafe. "Wir haben bewiesen, dass sicheres Coding, angetrieben durch verbesserte Entwicklerschulungen, nicht nur ein 'nice to have' ist, sondern eine bewährte Investition, die einen echten ROI liefert und gleichzeitig die Fähigkeiten, Erfahrungen und Fertigkeiten unserer Entwickler stärkt."

Als Nächstes will Paysafe seine Sicherheitsstandards weiter operationalisieren, indem es zusätzliche Governance- und Risikomanagement-Maßnahmen in seinen Prozess einbezieht. Der SCW Trust Agent vertieft seine langjährige Partnerschaft mit Secure Code Warrior und demonstriert sein Engagement für hervorragende Cybersicherheit.