Situation

Colgate-Palmolive durchläuft wie fast jedes andere Unternehmen einen digitalen Wandel, um seine Kunden besser bedienen zu können, und dies hat zu einem Wandel in der Herangehensweise des Unternehmens an die Anwendungssicherheit geführt.

Alex Schuchman, CISO bei Colgate-Palmolive, drückt es so aus:

"Es ist uns sehr wichtig, dass wir die Daten unserer Kunden schützen und somit Vertrauen aufbauen können - nicht nur in unsere Produkte, sondern auch in die digitalen Interaktionen unserer Kunden mit uns."

Für Alex bestand die Herausforderung jedoch darin, die eigentliche Quelle potenzieller Verletzungen der Kundendaten zu sichern - den Code selbst.

"Die Arbeit an der Entwicklung von Anwendungen war sehr hilfreich, als ich in meine Rolle als CISO wechselte. Ich weiß, wie schmerzhaft es ist, Tickets von AppSec zurückzubekommen, oder wie frustrierend es ist, wenn man aufgrund von Nacharbeiten Fristen verpasst. Mein Ziel als CISO ist es daher nicht nur, die Sicherheit im Lebenszyklus der Softwareentwicklung zu erhöhen, sondern auch die Implementierung zu rationalisieren."

Aktion

Colgate-Palmolive ging an diese Herausforderung heran, indem es seine Sicherheitsschulungen in kleinere, mundgerechte Häppchen aufteilte. Dies machte es für die Entwickler schmackhafter, so dass sie es in ihren Arbeitsablauf einbauen konnten, anstatt der langen, monolithischen Compliance-Schulungen, an die sie gewöhnt waren. Durch die Nutzung des agilen, kontextbezogenen Ansatzes von Secure Code Warriorzum Erlernen von sicherem Code konnten die Entwickler die Schwachstellen im Kontext ihrer realen Projekte verstehen, was zu einem höheren Engagement und einer langfristigen Beibehaltung der Fähigkeiten zur sicheren Programmierung führte.

"Ich wollte diese bewährten Verfahren einführen und gleichzeitig die Entwickler einbinden", sagt Alex. "Wir haben immer noch kritische Teile des Programms vorgeschrieben, aber wir haben die Schulungen überschaubar gehalten und auf das Feedback der Entwickler gehört, was zum Erfolg des Programms beigetragen hat."

Colgate-Palmolive hat einen Okta-Workflow implementiert, der das GitHub-Repository sperrt und nur Entwicklern, die bestimmte SCW-Bewertungen bestanden haben, den Zugriff auf Pull-Requests erlaubt, wie im folgenden Diagramm zu sehen ist.

Ergebnisse

Alex meint dazu, "Uns war klar, dass wir unsere Entwickler von Anfang an an Bord haben mussten, um den Erfolg zu optimieren. Wir stellten also sicher, dass die Entwickler wussten, dass sie ein wichtiger Teil des Erfolgs des Programms sein würden. Das Ergebnis war eine viel bessere Beziehung zwischen unserem Sicherheitsteam und unseren Entwicklern, und wir hatten wirklich das Gefühl, dass wir bei diesem Programm als Team zusammenarbeiten. Wir werden das Sicherheitsprogramm weiter ausbauen und skalieren und dabei auf dem Erfolg aufbauen, den wir bereits erzielt haben.

Die wichtigsten Erkenntnisse

1. Definieren Sie die Programmziele klar und betonen Sie die Beteiligung der Entwickler. Entwickler sind eher bereit, ein Programm zum Erlernen von sicherem Code zu unterstützen, das in ihren Arbeitsablauf integriert ist und mit den Entwicklungstools, die sie täglich verwenden, zusammenarbeitet.
2. Die Verwendung eines SSO-Tools wie Okta für das Code-Repository schafft Anreize für das Team. Nur Entwickler, die bestimmte SCW courses und assessment erfolgreich absolviert haben, dürfen Pull-Anfragen stellen.  
3. Bauen Sie mit der Zeit eine Sicherheitskultur auf, die eine enge Zusammenarbeit zwischen AppSec- und Entwicklungsteams fördert.

‍