Dies ist Teil 2 einer Miniserie über PCI-DSS-Compliance innerhalb einer Organisation. In diesem abschließenden Kapitel gehen wir darauf ein, wie CTOs und CISOs bei der Verringerung des Cyber-Risikos von der Spitze aus führen und den Prozess nahtlos und erfolgreich gestalten können... und vielleicht auch ein bisschen Spaß für Entwickler. (Haben Sie Teil 1 verpasst? Lesen Sie ihn hier und erfahren Sie, wie AppSec-Spezialisten diese Chance für bessere Sicherheitsergebnisse ergreifen können).

PCI-DSS-Best-Practice ist zweifellos eine geteilte Verantwortung, aber CISOs und CTOs können ihren beträchtlichen Einfluss nutzen, um ein gedeihliches, positives Sicherheitsprogramm von oben zu gestalten. Sie sind das Aushängeschild für das Vertrauen in die Cybersicherheit und die damit verbundene Stimmung bei den Endbenutzern. Eine frühzeitige Sensibilisierung hat einen starken "Trickle-Down"-Effekt und hilft Entwicklern und AppSec-Experten, das Wissen, die Tools und die Unterstützung zu erhalten, die sie benötigen, um zu einer robusten Sicherheitslage im Unternehmen beizutragen.

Es ist wichtig, die Vorschriften einzuhalten, aber wenn jeder mit dem "Warum" einverstanden ist, Ergebnisse sieht und auf die richtige Weise gefördert wird, kann ein Programm über die Gesetzgebung hinausgehen und zur zweiten Natur werden.

CTOs und CISOs haben die Aufgabe, gegenseitiges Vertrauen zu schaffen

Waren Sie in letzter Zeit auf einer Website und haben zweimal darüber nachgedacht, ob Sie Ihre Kreditkartendaten aushändigen sollten? Sofern es sich nicht um die skizzenhaft aussehende Web-App handelt, die die Online-Bestellung für Ihren örtlichen Pizzaladen durchführt, ist dies wahrscheinlich nicht etwas, das Sie sehr oft erleben, insbesondere nicht bei großen Unternehmen und bekannten Namen im Online-Handel.

Es sei denn, sie geben eine Datenpanne bekannt, natürlich.

Der globale Beherbergungsgigant Marriott hat soeben den zweiten Einbruch innerhalb von drei Jahren bekannt gegeben, der zum Diebstahl von 5,2 Millionen Kundendaten führte. Dieses Mal scheint es noch nicht so, als ob Zahlungsinformationen Teil des Raubes waren, obwohl der katastrophale Einbruch im Jahr 2018 dafür gesorgt hat; 383 Millionen Kunden wurden kompromittiert, wobei 5 Millionen unverschlüsselte Passnummern sowie 8 Millionen Kreditkartennummern gestohlen wurden.

Wenn das Vertrauen der Kunden in die Marke Marriott nicht schon so niedrig wäre, wie es nur sein kann, würde ich sagen, dass es bald den Tiefpunkt erreicht hat. Dies ist die Art von Dingen, die CISOs nachts wach hält, da sie sich wie leichte Beute im Krieg gegen Cyber-Bedrohungen fühlen. Schauen Sie sich nur Equifax, Yahoo, Sony, Target an - das sind nur einige große Namen, die großflächige Sicherheitsverletzungen erlitten haben, die Milliarden von gestohlenen Datensätzen, Hunderte von Milliarden Dollar an Schaden und kundenförmige Löcher in ihre wirtschaftlichen Herzen gestanzt haben. Es ist eine Katastrophe für das Unternehmen (Target meldete einen Gewinneinbruch von 440 Millionen Dollar im Quartal nach dem Einbruch von 2014), und obwohl einzelne Personen in der Regel nicht dafür verantwortlich gemacht werden - schließlich sollte Softwaresicherheit eine gemeinsame Verantwortung sein -, ist es etwas, das man nicht unbedingt in einem ansonsten glänzenden Lebenslauf sehen möchte, wenn man zufällig zu dieser Zeit für diese Organisationen arbeitet.

Der Verzicht auf ein robustes Sicherheitsprogramm zur Erreichung der Compliance in einem Unternehmen, das mit Zahlungen, sensiblen Daten und dem immateriellen Gold der positiven Kundenstimmung zu tun hat, ist ein Indikator für ein Unternehmen, das nicht nur gefährdet ist, sondern auch ernsthaft hinter der Innovation zurückbleibt.

Jeder sollte sich um Vertrauensfragen in der Beziehung Kunde/Organisation kümmern.

Abgesehen von dem Stress und dem Unheil, dem die IT-, Entwicklungs- und Sicherheitsabteilungen nach einer Sicherheitsverletzung ausgesetzt sind, ist der Faktor Vertrauen ein wichtiges Element für den langfristigen Erfolg eines neueren Unternehmens oder das weitere Wachstum eines etablierten Unternehmens. Das Offensichtliche, was Sie zu verlieren drohen, ist Ihr Job, sollte das Unternehmen aufgrund des verlorenen Vertrauens mit einem wirtschaftlichen Abschwung konfrontiert werden.

Die PCI-DSS-Vorschriften nehmen Unternehmen in die Pflicht - und wie oben erwähnt, hat das Ignorieren dieser gut durchdachten Pläne enorme Auswirkungen -, aber sie sind nur so gut wie das Sicherheitsprogramm, das eingerichtet wurde, und die Mitarbeiter, die darin arbeiten. Wenn Sie sie ernst nehmen, aufmerksam bleiben und ein Beispiel für andere geben, dann heben Sie sich auf eine sehr positive Art und Weise ab.

Achtsamkeit ist alles.

Ein fehlendes Security-Awareness-Programm wird die meisten Versuche, PCI-konform zu bleiben, nahezu nutzlos machen. Organisationsweite Security Awareness bildet den kritischsten Teil der Best-Practice-Richtlinien; sie bieten sogar eigene Trainingsmodule dazu an, wie dies in funktionsübergreifenden Rollen umgesetzt werden kann und wie dies in Unternehmen aussieht, die es richtig machen.

Auf dem Weg zu DevSecOps als aktuellem Goldstandard in der sicheren Softwareentwicklung - bei dem Sicherheit als gemeinsame Verantwortung grundlegend ist - müssen Unternehmen die Zeit, das Geld und den Aufwand aufwenden, um sicherzustellen, dass jeder, einschließlich Anbieter und Auftragnehmer, sicherheitsbewusst ist und Best Practices befolgt.

Ein sicherheitsbewusster Entwickler ist ein regelkonformer Entwickler (und der Weg dahin muss nicht langweilig sein)

Wenn es darum geht, ein "zertifizierter" PCI-DSS-konformer Entwickler zu werden, gibt es nicht viele offensichtliche Möglichkeiten. Und warum? Wahrscheinlich, weil es keine "One-and-Done"-Übung sein kann.

Die OWASP-Organisation ist eine der besten auf dem Planeten, wenn es darum geht, zu lernen, wie man häufige Schwachstellen vereitelt, und ihre Top 10 ist offiziell in den PCI-DSS-Richtlinien für Entwickler aufgeführt. Sicherheit im Blick zu behalten und die Fähigkeiten zu verfeinern, erfordert jedoch Zeit und kontinuierliche Bemühungen. Und niemand möchte, dass dies uninspiriert und eine Verschwendung von Mühe ist.

Eine positive Sicherheitskultur ist kein "nice to have" in einer Organisation; wenn sie die Sicherheit ernst nehmen, dann muss sie Teil des Unternehmensalltags sein.

Entwickler stehen an vorderster Front, wenn es darum geht, Schwachstellen zu beseitigen. Erhalten sie die Unterstützung, die Tools und das Training, um ihren Teil des Sicherheitsdeals bei der PCI-DSS-Compliance einzuhalten?

Die Wahrheit ist, dass das richtige Training nahtloser ist; es sollte sich nicht wie eine Vorlesung anfühlen, und es sollte für die tägliche Arbeit höchst relevant sein. Und diese Art von praktischem Training ist eine Möglichkeit zur Weiterbildung - ein Karriereschritt, der nur Vorteile für Entwickler hat, die es ernst damit meinen, Schwachstellen zu stoppen und mit dem Rest des Teams zusammenzuarbeiten, um einen höheren Standard des Codes zu produzieren.

Möchten Sie Ihre Fähigkeiten im sicheren Programmieren gleich testen? Wählen Sie Ihre Mission.