Wie CISOs von Weltrang im Jahr 2023 mehr Budget und Vertrauen des Vorstands gewinnen können
Dieser Artikel erschien zuerst in SC-Magazin. Er wurde hier aktualisiert und zusammengefasst.
CISOs befinden sich in einer zunehmend angespannten Lage: Sie müssen mehr Anlagen schützen, mehr Code ausliefern, eine größere Angriffsfläche reduzieren und das alles mit immer knapper werdenden finanziellen Mitteln. Es ist eine unausweichliche Tatsache, dass Cybersicherheit als Kostenstelle betrachtet wird, und obwohl das Sicherheitsprogramm einer Organisation das ist, was einen Bedrohungsakteur daran hindert, sie zur katastrophalen Schlagzeile von morgen zu machen, müssen Sicherheitsverantwortliche mehr tun, um den Gesamtwert der Abteilung für das Unternehmen zu verkaufen und zu beweisen, und zwar in einer Sprache, die für das Führungsgremium Sinn macht.
CISOs von Weltrang stellen sich der Herausforderung und leiten ganzheitliche Sicherheitsprogramme, die das Vertrauen der Kunden und den Ruf der Marke stärken und alle ihnen zur Verfügung stehenden Tools nutzen, um einen unbestreitbaren Mehrwert zu schaffen. Dies beginnt mit einem strategischen, präventiven Ansatz, um häufige Sicherheitsfallen zu vermeiden und die Mentalität hinter sich zu lassen, dass es nie genug Zeit, Ressourcen oder Personal gibt, um die Sicherheit auf höchstem Niveau zu halten.
Ändern Sie die Diskussion im Sitzungssaal.
In der aktuellen Wirtschaftslage entgehen nur wenige Unternehmen und Abteilungen der Überprüfung ihrer Ausgaben, ihrer Einstellungen und ihrer strategischen Auswirkungen auf die Geschäftsziele. Obwohl es offensichtlich ist, dass ein modernes Unternehmen ein umfassendes Cybersicherheitsprogramm benötigt, stellt es für die Organisation erhebliche Kosten dar, die sich nicht ohne Weiteres in Bezug auf die Investitionsrendite rechtfertigen lassen.
Führungskräfte und Vorstandsmitglieder müssen die prognostizierten Ergebnisse der Cybersecurity-Initiativen klar verstehen, und zwar in Begriffen, die über die Zahlen in einer Tabelle hinausgehen. Sie verfügen über ein unterschiedliches Maß an technischem Wissen und Verständnis, und CISOs müssen sich bemühen, ihre Argumente mit verständlichen Botschaften zu präsentieren. Erläutern Sie den Umfang des Programms, was geschützt werden muss und wer dazu befähigt werden muss, um ein Best-in-Class-Beispiel zu liefern. Die Angriffe nehmen zu, doch die Budgets halten nicht Schritt, und der Kampf für das Gute beginnt mit einer verbalen Kampagne, um seine Vorteile zu rechtfertigen.
Es wird seit langem gesagt, dass jedes Unternehmen, unabhängig von der Branche, schnell zu einem Technologieunternehmen wird. Da ein digitaler Ansatz in den meisten Unternehmen die Norm ist, stellt dies eine enorme Angriffsfläche dar, die den besten Schutz erfordert, den man sich zu diesem Zeitpunkt leisten kann. Sicherheitsverantwortliche tragen viele Hüte, aber einer, der oft übersehen wird (bis es zu spät ist), ist, dass sie im Wesentlichen die Hüter des Kundenvertrauens sind. Dies kann als Wertversprechen nicht hoch genug eingeschätzt werden und ist ebenso wichtig wie die Vertriebs- und Marketingziele.
Beweisen Sie den Wert eines präventiven Ansatzes für die Sicherheit.
Die aktuellen Cybersicherheitsstatistiken sind haarsträubend, aber auf FUD und Panikmache zu setzen, ist in der Regel eine vergebliche Taktik, wenn es darum geht, mehr Budget zu erhalten. Nur wenige Mitglieder des Führungsteams eines Unternehmens würden behaupten, dass die Cybersicherheit keine Priorität hat, aber sie sind weitaus wahrscheinlicher für Budgeterhöhungen empfänglich, wenn eine unternehmungslustige Strategie vorgeschlagen wird, die die vorhandenen Ressourcen für bessere Ergebnisse nutzt.
Laut einer aktuellen Studie des Neustar International Security Council haben nur 50 % der Unternehmen das Gefühl, dass sie über ein angemessenes Budget verfügen, um ihre bekannten Cybersicherheitsprobleme zu bewältigen. Und da die weltweiten Cyberangriffe zwischen 2021 und 2022 um 38 % zun ehmen werden, dürfte dies für den durchschnittlichen CISO ein noch schwierigerer Weg sein. Wirklich erstklassige Sicherheitsverantwortliche sind jedoch in der Lage, sich über diese Probleme hinwegzusetzen und trotz aller Widrigkeiten innovativ zu sein.
In vielen Szenarien ist Vorbeugung einfacher und unkomplizierter als eine Heilung, und bei der Cybersicherheit ist das nicht anders. Ein ganzheitliches Sicherheitsprogramm muss weit über reaktive Maßnahmen hinausgehen, und da das Schwachstellenmanagement für viele CISOs zu den drei wichtigsten Anliegen gehört, ist es sinnvoll, dass Entwickler ein wesentlicher Bestandteil dieser Bewegung sind. Sie brauchen eine praktische Ausbildung, um häufige Sicherheitslücken direkt anzugehen, damit sie diese Probleme an der Quelle beseitigen und sicherstellen können, dass sie gar nicht erst in die Produktion gelangen. Wir sind jetzt an einem Punkt angelangt, an dem wir minderwertigen, unsicheren Code nicht mehr entschuldigen können, und die Weiterbildung der Entwickler ist bei weitem das kosteneffektivste und wirksamste Mittel gegen Sicherheitslücken auf Code-Ebene.
Es ist von entscheidender Bedeutung, dass CISOs um die Beibehaltung des bestehenden Budgets kämpfen, und die Vorteile einer rollenbasierten Sicherheitsschulung, insbesondere für Entwickler, zu erläutern, ist ein schnellerer Erfolg als das Hinzufügen der nächsten "Silberkugel" zu einem unhandlichen Sicherheitstechnologiepaket.
Sicherheit sollte zu den Grundlagen der Marke gehören.
Die meisten CISOs sind nicht in ihre Rolle hineingewachsen, um eine Leidenschaft für Marketing auszuüben, aber dies ist ein Bereich, an dem Sie arbeiten könnten, zumindest wenn Sie Ihre Argumente denjenigen präsentieren, die die finanziellen Fäden in der Hand halten.
Die Auswirkungen eines Cybersicherheitsprogramms auf das Kundenvertrauen und die Markentreue können gar nicht hoch genug eingeschätzt werden, und eine groß angelegte Sicherheitsverletzung kann eine Abwanderung biblischen Ausmaßes verursachen. Wenn Sie dagegen Ihre strengen Sicherheitspraktiken mit den zentralen Markenwerten in Einklang bringen, senden Sie die klare Botschaft, dass Datenschutz und -sicherheit nicht nur im Vordergrund stehen, sondern etwas sind, worauf sich die Kunden verlassen können.
Es ist von entscheidender Bedeutung, dass der moderne CISO sich die Zeit nimmt, die Wettbewerbsvorteile der Sicherheitsstrategie und -politik hervorzuheben, da sie sich auf die anhaltende positive Stimmung und das Vertrauen der Kunden beziehen. Reaktive Sicherheit allein wird nicht die gleiche Wirkung haben, und ein ausgewogener Ansatz, der sich auf den Schutz privilegierter Werte mit allen verfügbaren Ressourcen konzentriert, kann das ultimative Unterscheidungsmerkmal sein.
Es gibt keinen Platz mehr für Ausreden, aber es gibt viele zwingende Gründe, die CISOs bei ihrer Suche nach angemessenen Mitteln für eine wirklich transformative Sicherheitsstrategie hervorheben können.
CISOs befinden sich in einer zunehmend angespannten Lage: Sie müssen mehr Anlagen schützen, mehr Code ausliefern, eine größere Angriffsfläche reduzieren und das alles mit immer knapperen finanziellen Ressourcen. Es ist eine unausweichliche Tatsache, dass Cybersicherheit als Kostenstelle betrachtet wird, und obwohl das Sicherheitsprogramm einer Organisation das ist, was einen Bedrohungsakteur daran hindert, sie zur katastrophalen Schlagzeile von morgen zu machen, müssen Sicherheitsverantwortliche mehr tun, um den Gesamtwert der Abteilung für das Unternehmen zu verkaufen und zu beweisen, und zwar in einer Sprache, die für das Führungsgremium Sinn macht.
Matias Madou, Ph.D., ist Sicherheitsexperte, Forscher, CTO und Mitbegründer von Secure Code Warrior. Matias promovierte an der Universität Gent im Bereich Anwendungssicherheit und konzentrierte sich dabei auf statische Analyselösungen. Später wechselte er zu Fortify in den USA, wo er erkannte, dass es nicht ausreicht, nur Codeprobleme zu erkennen, ohne den Entwicklern beim Schreiben von sicherem Code zu helfen. Dies inspirierte ihn dazu, Produkte zu entwickeln, die Entwickler unterstützen, den Aufwand für die Sicherheit verringern und die Erwartungen der Kunden übertreffen. Wenn er nicht an seinem Schreibtisch im Team Awesome sitzt, steht er gerne auf der Bühne und hält Vorträge auf Konferenzen wie der RSA Conference, BlackHat und DefCon.
Secure Code Warrior ist für Ihr Unternehmen da, um Sie dabei zu unterstützen, Ihren Code über den gesamten Lebenszyklus der Softwareentwicklung hinweg zu sichern und eine Kultur zu schaffen, in der Cybersicherheit an erster Stelle steht. Ganz gleich, ob Sie AppSec-Manager, Entwickler, CISO oder ein anderer Sicherheitsverantwortlicher sind, wir können Ihrem Unternehmen helfen, die mit unsicherem Code verbundenen Risiken zu reduzieren.
Demo buchenMatias Madou, Ph.D., ist Sicherheitsexperte, Forscher, CTO und Mitbegründer von Secure Code Warrior. Matias promovierte an der Universität Gent im Bereich Anwendungssicherheit und konzentrierte sich dabei auf statische Analyselösungen. Später wechselte er zu Fortify in den USA, wo er erkannte, dass es nicht ausreicht, nur Codeprobleme zu erkennen, ohne den Entwicklern beim Schreiben von sicherem Code zu helfen. Dies inspirierte ihn dazu, Produkte zu entwickeln, die Entwickler unterstützen, den Aufwand für die Sicherheit verringern und die Erwartungen der Kunden übertreffen. Wenn er nicht an seinem Schreibtisch im Team Awesome sitzt, steht er gerne auf der Bühne und hält Vorträge auf Konferenzen wie der RSA Conference, BlackHat und DefCon.
Matias ist ein Forscher und Entwickler mit mehr als 15 Jahren praktischer Erfahrung im Bereich der Softwaresicherheit. Er hat Lösungen für Unternehmen wie Fortify Software und sein eigenes Unternehmen Sensei Security entwickelt. Im Laufe seiner Karriere hat Matias mehrere Forschungsprojekte zur Anwendungssicherheit geleitet, die zu kommerziellen Produkten geführt haben, und kann auf über 10 Patente verweisen. Wenn er nicht am Schreibtisch sitzt, ist Matias als Ausbilder für fortgeschrittene Anwendungssicherheitstrainings courses tätig und hält regelmäßig Vorträge auf globalen Konferenzen wie RSA Conference, Black Hat, DefCon, BSIMM, OWASP AppSec und BruCon.
Matias hat einen Doktortitel in Computertechnik von der Universität Gent, wo er die Sicherheit von Anwendungen durch Programmverschleierung untersuchte, um die innere Funktionsweise einer Anwendung zu verbergen.
Dieser Artikel erschien zuerst in SC-Magazin. Er wurde hier aktualisiert und zusammengefasst.
CISOs befinden sich in einer zunehmend angespannten Lage: Sie müssen mehr Anlagen schützen, mehr Code ausliefern, eine größere Angriffsfläche reduzieren und das alles mit immer knapper werdenden finanziellen Mitteln. Es ist eine unausweichliche Tatsache, dass Cybersicherheit als Kostenstelle betrachtet wird, und obwohl das Sicherheitsprogramm einer Organisation das ist, was einen Bedrohungsakteur daran hindert, sie zur katastrophalen Schlagzeile von morgen zu machen, müssen Sicherheitsverantwortliche mehr tun, um den Gesamtwert der Abteilung für das Unternehmen zu verkaufen und zu beweisen, und zwar in einer Sprache, die für das Führungsgremium Sinn macht.
CISOs von Weltrang stellen sich der Herausforderung und leiten ganzheitliche Sicherheitsprogramme, die das Vertrauen der Kunden und den Ruf der Marke stärken und alle ihnen zur Verfügung stehenden Tools nutzen, um einen unbestreitbaren Mehrwert zu schaffen. Dies beginnt mit einem strategischen, präventiven Ansatz, um häufige Sicherheitsfallen zu vermeiden und die Mentalität hinter sich zu lassen, dass es nie genug Zeit, Ressourcen oder Personal gibt, um die Sicherheit auf höchstem Niveau zu halten.
Ändern Sie die Diskussion im Sitzungssaal.
In der aktuellen Wirtschaftslage entgehen nur wenige Unternehmen und Abteilungen der Überprüfung ihrer Ausgaben, ihrer Einstellungen und ihrer strategischen Auswirkungen auf die Geschäftsziele. Obwohl es offensichtlich ist, dass ein modernes Unternehmen ein umfassendes Cybersicherheitsprogramm benötigt, stellt es für die Organisation erhebliche Kosten dar, die sich nicht ohne Weiteres in Bezug auf die Investitionsrendite rechtfertigen lassen.
Führungskräfte und Vorstandsmitglieder müssen die prognostizierten Ergebnisse der Cybersecurity-Initiativen klar verstehen, und zwar in Begriffen, die über die Zahlen in einer Tabelle hinausgehen. Sie verfügen über ein unterschiedliches Maß an technischem Wissen und Verständnis, und CISOs müssen sich bemühen, ihre Argumente mit verständlichen Botschaften zu präsentieren. Erläutern Sie den Umfang des Programms, was geschützt werden muss und wer dazu befähigt werden muss, um ein Best-in-Class-Beispiel zu liefern. Die Angriffe nehmen zu, doch die Budgets halten nicht Schritt, und der Kampf für das Gute beginnt mit einer verbalen Kampagne, um seine Vorteile zu rechtfertigen.
Es wird seit langem gesagt, dass jedes Unternehmen, unabhängig von der Branche, schnell zu einem Technologieunternehmen wird. Da ein digitaler Ansatz in den meisten Unternehmen die Norm ist, stellt dies eine enorme Angriffsfläche dar, die den besten Schutz erfordert, den man sich zu diesem Zeitpunkt leisten kann. Sicherheitsverantwortliche tragen viele Hüte, aber einer, der oft übersehen wird (bis es zu spät ist), ist, dass sie im Wesentlichen die Hüter des Kundenvertrauens sind. Dies kann als Wertversprechen nicht hoch genug eingeschätzt werden und ist ebenso wichtig wie die Vertriebs- und Marketingziele.
Beweisen Sie den Wert eines präventiven Ansatzes für die Sicherheit.
Die aktuellen Cybersicherheitsstatistiken sind haarsträubend, aber auf FUD und Panikmache zu setzen, ist in der Regel eine vergebliche Taktik, wenn es darum geht, mehr Budget zu erhalten. Nur wenige Mitglieder des Führungsteams eines Unternehmens würden behaupten, dass die Cybersicherheit keine Priorität hat, aber sie sind weitaus wahrscheinlicher für Budgeterhöhungen empfänglich, wenn eine unternehmungslustige Strategie vorgeschlagen wird, die die vorhandenen Ressourcen für bessere Ergebnisse nutzt.
Laut einer aktuellen Studie des Neustar International Security Council haben nur 50 % der Unternehmen das Gefühl, dass sie über ein angemessenes Budget verfügen, um ihre bekannten Cybersicherheitsprobleme zu bewältigen. Und da die weltweiten Cyberangriffe zwischen 2021 und 2022 um 38 % zun ehmen werden, dürfte dies für den durchschnittlichen CISO ein noch schwierigerer Weg sein. Wirklich erstklassige Sicherheitsverantwortliche sind jedoch in der Lage, sich über diese Probleme hinwegzusetzen und trotz aller Widrigkeiten innovativ zu sein.
In vielen Szenarien ist Vorbeugung einfacher und unkomplizierter als eine Heilung, und bei der Cybersicherheit ist das nicht anders. Ein ganzheitliches Sicherheitsprogramm muss weit über reaktive Maßnahmen hinausgehen, und da das Schwachstellenmanagement für viele CISOs zu den drei wichtigsten Anliegen gehört, ist es sinnvoll, dass Entwickler ein wesentlicher Bestandteil dieser Bewegung sind. Sie brauchen eine praktische Ausbildung, um häufige Sicherheitslücken direkt anzugehen, damit sie diese Probleme an der Quelle beseitigen und sicherstellen können, dass sie gar nicht erst in die Produktion gelangen. Wir sind jetzt an einem Punkt angelangt, an dem wir minderwertigen, unsicheren Code nicht mehr entschuldigen können, und die Weiterbildung der Entwickler ist bei weitem das kosteneffektivste und wirksamste Mittel gegen Sicherheitslücken auf Code-Ebene.
Es ist von entscheidender Bedeutung, dass CISOs um die Beibehaltung des bestehenden Budgets kämpfen, und die Vorteile einer rollenbasierten Sicherheitsschulung, insbesondere für Entwickler, zu erläutern, ist ein schnellerer Erfolg als das Hinzufügen der nächsten "Silberkugel" zu einem unhandlichen Sicherheitstechnologiepaket.
Sicherheit sollte zu den Grundlagen der Marke gehören.
Die meisten CISOs sind nicht in ihre Rolle hineingewachsen, um eine Leidenschaft für Marketing auszuüben, aber dies ist ein Bereich, an dem Sie arbeiten könnten, zumindest wenn Sie Ihre Argumente denjenigen präsentieren, die die finanziellen Fäden in der Hand halten.
Die Auswirkungen eines Cybersicherheitsprogramms auf das Kundenvertrauen und die Markentreue können gar nicht hoch genug eingeschätzt werden, und eine groß angelegte Sicherheitsverletzung kann eine Abwanderung biblischen Ausmaßes verursachen. Wenn Sie dagegen Ihre strengen Sicherheitspraktiken mit den zentralen Markenwerten in Einklang bringen, senden Sie die klare Botschaft, dass Datenschutz und -sicherheit nicht nur im Vordergrund stehen, sondern etwas sind, worauf sich die Kunden verlassen können.
Es ist von entscheidender Bedeutung, dass der moderne CISO sich die Zeit nimmt, die Wettbewerbsvorteile der Sicherheitsstrategie und -politik hervorzuheben, da sie sich auf die anhaltende positive Stimmung und das Vertrauen der Kunden beziehen. Reaktive Sicherheit allein wird nicht die gleiche Wirkung haben, und ein ausgewogener Ansatz, der sich auf den Schutz privilegierter Werte mit allen verfügbaren Ressourcen konzentriert, kann das ultimative Unterscheidungsmerkmal sein.
Es gibt keinen Platz mehr für Ausreden, aber es gibt viele zwingende Gründe, die CISOs bei ihrer Suche nach angemessenen Mitteln für eine wirklich transformative Sicherheitsstrategie hervorheben können.
Dieser Artikel erschien zuerst in SC-Magazin. Er wurde hier aktualisiert und zusammengefasst.
CISOs befinden sich in einer zunehmend angespannten Lage: Sie müssen mehr Anlagen schützen, mehr Code ausliefern, eine größere Angriffsfläche reduzieren und das alles mit immer knapper werdenden finanziellen Mitteln. Es ist eine unausweichliche Tatsache, dass Cybersicherheit als Kostenstelle betrachtet wird, und obwohl das Sicherheitsprogramm einer Organisation das ist, was einen Bedrohungsakteur daran hindert, sie zur katastrophalen Schlagzeile von morgen zu machen, müssen Sicherheitsverantwortliche mehr tun, um den Gesamtwert der Abteilung für das Unternehmen zu verkaufen und zu beweisen, und zwar in einer Sprache, die für das Führungsgremium Sinn macht.
CISOs von Weltrang stellen sich der Herausforderung und leiten ganzheitliche Sicherheitsprogramme, die das Vertrauen der Kunden und den Ruf der Marke stärken und alle ihnen zur Verfügung stehenden Tools nutzen, um einen unbestreitbaren Mehrwert zu schaffen. Dies beginnt mit einem strategischen, präventiven Ansatz, um häufige Sicherheitsfallen zu vermeiden und die Mentalität hinter sich zu lassen, dass es nie genug Zeit, Ressourcen oder Personal gibt, um die Sicherheit auf höchstem Niveau zu halten.
Ändern Sie die Diskussion im Sitzungssaal.
In der aktuellen Wirtschaftslage entgehen nur wenige Unternehmen und Abteilungen der Überprüfung ihrer Ausgaben, ihrer Einstellungen und ihrer strategischen Auswirkungen auf die Geschäftsziele. Obwohl es offensichtlich ist, dass ein modernes Unternehmen ein umfassendes Cybersicherheitsprogramm benötigt, stellt es für die Organisation erhebliche Kosten dar, die sich nicht ohne Weiteres in Bezug auf die Investitionsrendite rechtfertigen lassen.
Führungskräfte und Vorstandsmitglieder müssen die prognostizierten Ergebnisse der Cybersecurity-Initiativen klar verstehen, und zwar in Begriffen, die über die Zahlen in einer Tabelle hinausgehen. Sie verfügen über ein unterschiedliches Maß an technischem Wissen und Verständnis, und CISOs müssen sich bemühen, ihre Argumente mit verständlichen Botschaften zu präsentieren. Erläutern Sie den Umfang des Programms, was geschützt werden muss und wer dazu befähigt werden muss, um ein Best-in-Class-Beispiel zu liefern. Die Angriffe nehmen zu, doch die Budgets halten nicht Schritt, und der Kampf für das Gute beginnt mit einer verbalen Kampagne, um seine Vorteile zu rechtfertigen.
Es wird seit langem gesagt, dass jedes Unternehmen, unabhängig von der Branche, schnell zu einem Technologieunternehmen wird. Da ein digitaler Ansatz in den meisten Unternehmen die Norm ist, stellt dies eine enorme Angriffsfläche dar, die den besten Schutz erfordert, den man sich zu diesem Zeitpunkt leisten kann. Sicherheitsverantwortliche tragen viele Hüte, aber einer, der oft übersehen wird (bis es zu spät ist), ist, dass sie im Wesentlichen die Hüter des Kundenvertrauens sind. Dies kann als Wertversprechen nicht hoch genug eingeschätzt werden und ist ebenso wichtig wie die Vertriebs- und Marketingziele.
Beweisen Sie den Wert eines präventiven Ansatzes für die Sicherheit.
Die aktuellen Cybersicherheitsstatistiken sind haarsträubend, aber auf FUD und Panikmache zu setzen, ist in der Regel eine vergebliche Taktik, wenn es darum geht, mehr Budget zu erhalten. Nur wenige Mitglieder des Führungsteams eines Unternehmens würden behaupten, dass die Cybersicherheit keine Priorität hat, aber sie sind weitaus wahrscheinlicher für Budgeterhöhungen empfänglich, wenn eine unternehmungslustige Strategie vorgeschlagen wird, die die vorhandenen Ressourcen für bessere Ergebnisse nutzt.
Laut einer aktuellen Studie des Neustar International Security Council haben nur 50 % der Unternehmen das Gefühl, dass sie über ein angemessenes Budget verfügen, um ihre bekannten Cybersicherheitsprobleme zu bewältigen. Und da die weltweiten Cyberangriffe zwischen 2021 und 2022 um 38 % zun ehmen werden, dürfte dies für den durchschnittlichen CISO ein noch schwierigerer Weg sein. Wirklich erstklassige Sicherheitsverantwortliche sind jedoch in der Lage, sich über diese Probleme hinwegzusetzen und trotz aller Widrigkeiten innovativ zu sein.
In vielen Szenarien ist Vorbeugung einfacher und unkomplizierter als eine Heilung, und bei der Cybersicherheit ist das nicht anders. Ein ganzheitliches Sicherheitsprogramm muss weit über reaktive Maßnahmen hinausgehen, und da das Schwachstellenmanagement für viele CISOs zu den drei wichtigsten Anliegen gehört, ist es sinnvoll, dass Entwickler ein wesentlicher Bestandteil dieser Bewegung sind. Sie brauchen eine praktische Ausbildung, um häufige Sicherheitslücken direkt anzugehen, damit sie diese Probleme an der Quelle beseitigen und sicherstellen können, dass sie gar nicht erst in die Produktion gelangen. Wir sind jetzt an einem Punkt angelangt, an dem wir minderwertigen, unsicheren Code nicht mehr entschuldigen können, und die Weiterbildung der Entwickler ist bei weitem das kosteneffektivste und wirksamste Mittel gegen Sicherheitslücken auf Code-Ebene.
Es ist von entscheidender Bedeutung, dass CISOs um die Beibehaltung des bestehenden Budgets kämpfen, und die Vorteile einer rollenbasierten Sicherheitsschulung, insbesondere für Entwickler, zu erläutern, ist ein schnellerer Erfolg als das Hinzufügen der nächsten "Silberkugel" zu einem unhandlichen Sicherheitstechnologiepaket.
Sicherheit sollte zu den Grundlagen der Marke gehören.
Die meisten CISOs sind nicht in ihre Rolle hineingewachsen, um eine Leidenschaft für Marketing auszuüben, aber dies ist ein Bereich, an dem Sie arbeiten könnten, zumindest wenn Sie Ihre Argumente denjenigen präsentieren, die die finanziellen Fäden in der Hand halten.
Die Auswirkungen eines Cybersicherheitsprogramms auf das Kundenvertrauen und die Markentreue können gar nicht hoch genug eingeschätzt werden, und eine groß angelegte Sicherheitsverletzung kann eine Abwanderung biblischen Ausmaßes verursachen. Wenn Sie dagegen Ihre strengen Sicherheitspraktiken mit den zentralen Markenwerten in Einklang bringen, senden Sie die klare Botschaft, dass Datenschutz und -sicherheit nicht nur im Vordergrund stehen, sondern etwas sind, worauf sich die Kunden verlassen können.
Es ist von entscheidender Bedeutung, dass der moderne CISO sich die Zeit nimmt, die Wettbewerbsvorteile der Sicherheitsstrategie und -politik hervorzuheben, da sie sich auf die anhaltende positive Stimmung und das Vertrauen der Kunden beziehen. Reaktive Sicherheit allein wird nicht die gleiche Wirkung haben, und ein ausgewogener Ansatz, der sich auf den Schutz privilegierter Werte mit allen verfügbaren Ressourcen konzentriert, kann das ultimative Unterscheidungsmerkmal sein.
Es gibt keinen Platz mehr für Ausreden, aber es gibt viele zwingende Gründe, die CISOs bei ihrer Suche nach angemessenen Mitteln für eine wirklich transformative Sicherheitsstrategie hervorheben können.
Klicken Sie auf den unten stehenden Link und laden Sie die PDF-Datei dieser Ressource herunter.
Secure Code Warrior ist für Ihr Unternehmen da, um Sie dabei zu unterstützen, Ihren Code über den gesamten Lebenszyklus der Softwareentwicklung hinweg zu sichern und eine Kultur zu schaffen, in der Cybersicherheit an erster Stelle steht. Ganz gleich, ob Sie AppSec-Manager, Entwickler, CISO oder ein anderer Sicherheitsverantwortlicher sind, wir können Ihrem Unternehmen helfen, die mit unsicherem Code verbundenen Risiken zu reduzieren.
Bericht ansehenDemo buchenMatias Madou, Ph.D., ist Sicherheitsexperte, Forscher, CTO und Mitbegründer von Secure Code Warrior. Matias promovierte an der Universität Gent im Bereich Anwendungssicherheit und konzentrierte sich dabei auf statische Analyselösungen. Später wechselte er zu Fortify in den USA, wo er erkannte, dass es nicht ausreicht, nur Codeprobleme zu erkennen, ohne den Entwicklern beim Schreiben von sicherem Code zu helfen. Dies inspirierte ihn dazu, Produkte zu entwickeln, die Entwickler unterstützen, den Aufwand für die Sicherheit verringern und die Erwartungen der Kunden übertreffen. Wenn er nicht an seinem Schreibtisch im Team Awesome sitzt, steht er gerne auf der Bühne und hält Vorträge auf Konferenzen wie der RSA Conference, BlackHat und DefCon.
Matias ist ein Forscher und Entwickler mit mehr als 15 Jahren praktischer Erfahrung im Bereich der Softwaresicherheit. Er hat Lösungen für Unternehmen wie Fortify Software und sein eigenes Unternehmen Sensei Security entwickelt. Im Laufe seiner Karriere hat Matias mehrere Forschungsprojekte zur Anwendungssicherheit geleitet, die zu kommerziellen Produkten geführt haben, und kann auf über 10 Patente verweisen. Wenn er nicht am Schreibtisch sitzt, ist Matias als Ausbilder für fortgeschrittene Anwendungssicherheitstrainings courses tätig und hält regelmäßig Vorträge auf globalen Konferenzen wie RSA Conference, Black Hat, DefCon, BSIMM, OWASP AppSec und BruCon.
Matias hat einen Doktortitel in Computertechnik von der Universität Gent, wo er die Sicherheit von Anwendungen durch Programmverschleierung untersuchte, um die innere Funktionsweise einer Anwendung zu verbergen.
Dieser Artikel erschien zuerst in SC-Magazin. Er wurde hier aktualisiert und zusammengefasst.
CISOs befinden sich in einer zunehmend angespannten Lage: Sie müssen mehr Anlagen schützen, mehr Code ausliefern, eine größere Angriffsfläche reduzieren und das alles mit immer knapper werdenden finanziellen Mitteln. Es ist eine unausweichliche Tatsache, dass Cybersicherheit als Kostenstelle betrachtet wird, und obwohl das Sicherheitsprogramm einer Organisation das ist, was einen Bedrohungsakteur daran hindert, sie zur katastrophalen Schlagzeile von morgen zu machen, müssen Sicherheitsverantwortliche mehr tun, um den Gesamtwert der Abteilung für das Unternehmen zu verkaufen und zu beweisen, und zwar in einer Sprache, die für das Führungsgremium Sinn macht.
CISOs von Weltrang stellen sich der Herausforderung und leiten ganzheitliche Sicherheitsprogramme, die das Vertrauen der Kunden und den Ruf der Marke stärken und alle ihnen zur Verfügung stehenden Tools nutzen, um einen unbestreitbaren Mehrwert zu schaffen. Dies beginnt mit einem strategischen, präventiven Ansatz, um häufige Sicherheitsfallen zu vermeiden und die Mentalität hinter sich zu lassen, dass es nie genug Zeit, Ressourcen oder Personal gibt, um die Sicherheit auf höchstem Niveau zu halten.
Ändern Sie die Diskussion im Sitzungssaal.
In der aktuellen Wirtschaftslage entgehen nur wenige Unternehmen und Abteilungen der Überprüfung ihrer Ausgaben, ihrer Einstellungen und ihrer strategischen Auswirkungen auf die Geschäftsziele. Obwohl es offensichtlich ist, dass ein modernes Unternehmen ein umfassendes Cybersicherheitsprogramm benötigt, stellt es für die Organisation erhebliche Kosten dar, die sich nicht ohne Weiteres in Bezug auf die Investitionsrendite rechtfertigen lassen.
Führungskräfte und Vorstandsmitglieder müssen die prognostizierten Ergebnisse der Cybersecurity-Initiativen klar verstehen, und zwar in Begriffen, die über die Zahlen in einer Tabelle hinausgehen. Sie verfügen über ein unterschiedliches Maß an technischem Wissen und Verständnis, und CISOs müssen sich bemühen, ihre Argumente mit verständlichen Botschaften zu präsentieren. Erläutern Sie den Umfang des Programms, was geschützt werden muss und wer dazu befähigt werden muss, um ein Best-in-Class-Beispiel zu liefern. Die Angriffe nehmen zu, doch die Budgets halten nicht Schritt, und der Kampf für das Gute beginnt mit einer verbalen Kampagne, um seine Vorteile zu rechtfertigen.
Es wird seit langem gesagt, dass jedes Unternehmen, unabhängig von der Branche, schnell zu einem Technologieunternehmen wird. Da ein digitaler Ansatz in den meisten Unternehmen die Norm ist, stellt dies eine enorme Angriffsfläche dar, die den besten Schutz erfordert, den man sich zu diesem Zeitpunkt leisten kann. Sicherheitsverantwortliche tragen viele Hüte, aber einer, der oft übersehen wird (bis es zu spät ist), ist, dass sie im Wesentlichen die Hüter des Kundenvertrauens sind. Dies kann als Wertversprechen nicht hoch genug eingeschätzt werden und ist ebenso wichtig wie die Vertriebs- und Marketingziele.
Beweisen Sie den Wert eines präventiven Ansatzes für die Sicherheit.
Die aktuellen Cybersicherheitsstatistiken sind haarsträubend, aber auf FUD und Panikmache zu setzen, ist in der Regel eine vergebliche Taktik, wenn es darum geht, mehr Budget zu erhalten. Nur wenige Mitglieder des Führungsteams eines Unternehmens würden behaupten, dass die Cybersicherheit keine Priorität hat, aber sie sind weitaus wahrscheinlicher für Budgeterhöhungen empfänglich, wenn eine unternehmungslustige Strategie vorgeschlagen wird, die die vorhandenen Ressourcen für bessere Ergebnisse nutzt.
Laut einer aktuellen Studie des Neustar International Security Council haben nur 50 % der Unternehmen das Gefühl, dass sie über ein angemessenes Budget verfügen, um ihre bekannten Cybersicherheitsprobleme zu bewältigen. Und da die weltweiten Cyberangriffe zwischen 2021 und 2022 um 38 % zun ehmen werden, dürfte dies für den durchschnittlichen CISO ein noch schwierigerer Weg sein. Wirklich erstklassige Sicherheitsverantwortliche sind jedoch in der Lage, sich über diese Probleme hinwegzusetzen und trotz aller Widrigkeiten innovativ zu sein.
In vielen Szenarien ist Vorbeugung einfacher und unkomplizierter als eine Heilung, und bei der Cybersicherheit ist das nicht anders. Ein ganzheitliches Sicherheitsprogramm muss weit über reaktive Maßnahmen hinausgehen, und da das Schwachstellenmanagement für viele CISOs zu den drei wichtigsten Anliegen gehört, ist es sinnvoll, dass Entwickler ein wesentlicher Bestandteil dieser Bewegung sind. Sie brauchen eine praktische Ausbildung, um häufige Sicherheitslücken direkt anzugehen, damit sie diese Probleme an der Quelle beseitigen und sicherstellen können, dass sie gar nicht erst in die Produktion gelangen. Wir sind jetzt an einem Punkt angelangt, an dem wir minderwertigen, unsicheren Code nicht mehr entschuldigen können, und die Weiterbildung der Entwickler ist bei weitem das kosteneffektivste und wirksamste Mittel gegen Sicherheitslücken auf Code-Ebene.
Es ist von entscheidender Bedeutung, dass CISOs um die Beibehaltung des bestehenden Budgets kämpfen, und die Vorteile einer rollenbasierten Sicherheitsschulung, insbesondere für Entwickler, zu erläutern, ist ein schnellerer Erfolg als das Hinzufügen der nächsten "Silberkugel" zu einem unhandlichen Sicherheitstechnologiepaket.
Sicherheit sollte zu den Grundlagen der Marke gehören.
Die meisten CISOs sind nicht in ihre Rolle hineingewachsen, um eine Leidenschaft für Marketing auszuüben, aber dies ist ein Bereich, an dem Sie arbeiten könnten, zumindest wenn Sie Ihre Argumente denjenigen präsentieren, die die finanziellen Fäden in der Hand halten.
Die Auswirkungen eines Cybersicherheitsprogramms auf das Kundenvertrauen und die Markentreue können gar nicht hoch genug eingeschätzt werden, und eine groß angelegte Sicherheitsverletzung kann eine Abwanderung biblischen Ausmaßes verursachen. Wenn Sie dagegen Ihre strengen Sicherheitspraktiken mit den zentralen Markenwerten in Einklang bringen, senden Sie die klare Botschaft, dass Datenschutz und -sicherheit nicht nur im Vordergrund stehen, sondern etwas sind, worauf sich die Kunden verlassen können.
Es ist von entscheidender Bedeutung, dass der moderne CISO sich die Zeit nimmt, die Wettbewerbsvorteile der Sicherheitsstrategie und -politik hervorzuheben, da sie sich auf die anhaltende positive Stimmung und das Vertrauen der Kunden beziehen. Reaktive Sicherheit allein wird nicht die gleiche Wirkung haben, und ein ausgewogener Ansatz, der sich auf den Schutz privilegierter Werte mit allen verfügbaren Ressourcen konzentriert, kann das ultimative Unterscheidungsmerkmal sein.
Es gibt keinen Platz mehr für Ausreden, aber es gibt viele zwingende Gründe, die CISOs bei ihrer Suche nach angemessenen Mitteln für eine wirklich transformative Sicherheitsstrategie hervorheben können.
Inhaltsübersicht
Matias Madou, Ph.D., ist Sicherheitsexperte, Forscher, CTO und Mitbegründer von Secure Code Warrior. Matias promovierte an der Universität Gent im Bereich Anwendungssicherheit und konzentrierte sich dabei auf statische Analyselösungen. Später wechselte er zu Fortify in den USA, wo er erkannte, dass es nicht ausreicht, nur Codeprobleme zu erkennen, ohne den Entwicklern beim Schreiben von sicherem Code zu helfen. Dies inspirierte ihn dazu, Produkte zu entwickeln, die Entwickler unterstützen, den Aufwand für die Sicherheit verringern und die Erwartungen der Kunden übertreffen. Wenn er nicht an seinem Schreibtisch im Team Awesome sitzt, steht er gerne auf der Bühne und hält Vorträge auf Konferenzen wie der RSA Conference, BlackHat und DefCon.
Secure Code Warrior ist für Ihr Unternehmen da, um Sie dabei zu unterstützen, Ihren Code über den gesamten Lebenszyklus der Softwareentwicklung hinweg zu sichern und eine Kultur zu schaffen, in der Cybersicherheit an erster Stelle steht. Ganz gleich, ob Sie AppSec-Manager, Entwickler, CISO oder ein anderer Sicherheitsverantwortlicher sind, wir können Ihrem Unternehmen helfen, die mit unsicherem Code verbundenen Risiken zu reduzieren.
Demo buchenHerunterladenRessourcen für den Einstieg
Die Leistungsfähigkeit von OpenText Fortify + Secure Code Warrior
OpenText Fortify und Secure Code Warrior bündeln ihre Kräfte, um Unternehmen dabei zu helfen, Risiken zu reduzieren, Entwickler zu Sicherheits-Champions zu machen und Kundenvertrauen aufzubauen. Lesen Sie hier mehr darüber.
Benchmarking von Sicherheitskompetenzen: Optimierung von Secure-by-Design im Unternehmen
Die Secure-by-Design-Bewegung ist die Zukunft der sicheren Softwareentwicklung. Erfahren Sie mehr über die wichtigsten Elemente, die Unternehmen berücksichtigen müssen, wenn sie über eine Secure-by-Design-Initiative nachdenken.
Ressourcen für den Einstieg
OWASP Top 10 für LLM-Bewerbungen: Was ist neu, was hat sich geändert, und wie bleibt man sicher?
Bleiben Sie bei der Absicherung von LLM-Anwendungen mit den neuesten OWASP Top 10 Updates immer einen Schritt voraus. Entdecken Sie, was neu ist, was sich geändert hat und wie Secure Code Warrior Sie mit aktuellen Lernressourcen ausstattet, um Risiken in der generativen KI zu minimieren.
Trust Score zeigt den Wert von Secure-by-Design-Upskilling-Initiativen
Unsere Forschung hat gezeigt, dass Schulungen für sicheren Code funktionieren. Trust Score verwendet einen Algorithmus, der auf mehr als 20 Millionen Lerndaten aus der Arbeit von mehr als 250.000 Lernenden in über 600 Organisationen basiert, und zeigt, wie effektiv die Initiative ist, um Schwachstellen zu beseitigen und wie man sie noch effektiver gestalten kann.
Reaktive versus präventive Sicherheit: Prävention ist das bessere Heilmittel
Der Gedanke, Legacy-Code und -Systeme zur gleichen Zeit wie neuere Anwendungen mit präventiver Sicherheit auszustatten, kann entmutigend erscheinen, aber ein Secure-by-Design-Ansatz, der durch die Weiterbildung von Entwicklern durchgesetzt wird, kann die besten Sicherheitsverfahren auf diese Systeme anwenden. Dies ist für viele Unternehmen die beste Chance, ihre Sicherheitslage zu verbessern.
Die Vorteile eines Benchmarking der Sicherheitskompetenzen von Entwicklern
Der zunehmende Fokus auf sicheren Code und Secure-by-Design-Prinzipien erfordert, dass Entwickler von Beginn des SDLC an in Cybersicherheit geschult werden, wobei Tools wie Secure Code Warrior's Trust Score dabei helfen, ihre Fortschritte zu messen und zu verbessern.