Die langweilige PCI-DSS-Compliance in eine sinnvolle Übung für alle verwandeln: Teil 2 - CISOs und Entwicklerbewusstsein
Dies ist Teil 2 einer Miniserie über PCI-DSS-Compliance innerhalb einer Organisation. In diesem abschließenden Kapitel gehen wir darauf ein, wie CTOs und CISOs bei der Verringerung des Cyber-Risikos von der Spitze aus führen und den Prozess nahtlos und erfolgreich gestalten können... und vielleicht auch ein bisschen Spaß für Entwickler. (Haben Sie Teil 1 verpasst? Lesen Sie ihn hier und erfahren Sie, wie AppSec-Spezialisten diese Chance für bessere Sicherheitsergebnisse ergreifen können).
PCI-DSS-Best-Practice ist zweifellos eine geteilte Verantwortung, aber CISOs und CTOs können ihren beträchtlichen Einfluss nutzen, um ein gedeihliches, positives Sicherheitsprogramm von oben zu gestalten. Sie sind das Aushängeschild für das Vertrauen in die Cybersicherheit und die damit verbundene Stimmung bei den Endbenutzern. Eine frühzeitige Sensibilisierung hat einen starken "Trickle-Down"-Effekt und hilft Entwicklern und AppSec-Experten, das Wissen, die Tools und die Unterstützung zu erhalten, die sie benötigen, um zu einer robusten Sicherheitslage im Unternehmen beizutragen.
Es ist wichtig, die Vorschriften einzuhalten, aber wenn jeder mit dem "Warum" einverstanden ist, Ergebnisse sieht und auf die richtige Weise gefördert wird, kann ein Programm über die Gesetzgebung hinausgehen und zur zweiten Natur werden.
CTOs und CISOs haben die Aufgabe, gegenseitiges Vertrauen zu schaffen
Waren Sie in letzter Zeit auf einer Website und haben zweimal darüber nachgedacht, ob Sie Ihre Kreditkartendaten aushändigen sollten? Sofern es sich nicht um die skizzenhaft aussehende Web-App handelt, die die Online-Bestellung für Ihren örtlichen Pizzaladen durchführt, ist dies wahrscheinlich nicht etwas, das Sie sehr oft erleben, insbesondere nicht bei großen Unternehmen und bekannten Namen im Online-Handel.
Es sei denn, sie geben eine Datenpanne bekannt, natürlich.
Der globale Beherbergungsgigant Marriott hat soeben den zweiten Einbruch innerhalb von drei Jahren bekannt gegeben, der zum Diebstahl von 5,2 Millionen Kundendaten führte. Dieses Mal scheint es noch nicht so, als ob Zahlungsinformationen Teil des Raubes waren, obwohl der katastrophale Einbruch im Jahr 2018 dafür gesorgt hat; 383 Millionen Kunden wurden kompromittiert, wobei 5 Millionen unverschlüsselte Passnummern sowie 8 Millionen Kreditkartennummern gestohlen wurden.
Wenn das Vertrauen der Kunden in die Marke Marriott nicht schon so niedrig wäre, wie es nur sein kann, würde ich sagen, dass es bald den Tiefpunkt erreicht hat. Dies ist die Art von Dingen, die CISOs nachts wach hält, da sie sich wie leichte Beute im Krieg gegen Cyber-Bedrohungen fühlen. Schauen Sie sich nur Equifax, Yahoo, Sony, Target an - das sind nur einige große Namen, die großflächige Sicherheitsverletzungen erlitten haben, die Milliarden von gestohlenen Datensätzen, Hunderte von Milliarden Dollar an Schaden und kundenförmige Löcher in ihre wirtschaftlichen Herzen gestanzt haben. Es ist eine Katastrophe für das Unternehmen (Target meldete einen Gewinneinbruch von 440 Millionen Dollar im Quartal nach dem Einbruch von 2014), und obwohl einzelne Personen in der Regel nicht dafür verantwortlich gemacht werden - schließlich sollte Softwaresicherheit eine gemeinsame Verantwortung sein -, ist es etwas, das man nicht unbedingt in einem ansonsten glänzenden Lebenslauf sehen möchte, wenn man zufällig zu dieser Zeit für diese Organisationen arbeitet.
Der Verzicht auf ein robustes Sicherheitsprogramm zur Erreichung der Compliance in einem Unternehmen, das mit Zahlungen, sensiblen Daten und dem immateriellen Gold der positiven Kundenstimmung zu tun hat, ist ein Indikator für ein Unternehmen, das nicht nur gefährdet ist, sondern auch ernsthaft hinter der Innovation zurückbleibt.
Jeder sollte sich um Vertrauensfragen in der Beziehung Kunde/Organisation kümmern.
Abgesehen von dem Stress und dem Unheil, dem die IT-, Entwicklungs- und Sicherheitsabteilungen nach einer Sicherheitsverletzung ausgesetzt sind, ist der Faktor Vertrauen ein wichtiges Element für den langfristigen Erfolg eines neueren Unternehmens oder das weitere Wachstum eines etablierten Unternehmens. Das Offensichtliche, was Sie zu verlieren drohen, ist Ihr Job, sollte das Unternehmen aufgrund des verlorenen Vertrauens mit einem wirtschaftlichen Abschwung konfrontiert werden.
Die PCI-DSS-Vorschriften nehmen Unternehmen in die Pflicht - und wie oben erwähnt, hat das Ignorieren dieser gut durchdachten Pläne enorme Auswirkungen -, aber sie sind nur so gut wie das Sicherheitsprogramm, das eingerichtet wurde, und die Mitarbeiter, die darin arbeiten. Wenn Sie sie ernst nehmen, aufmerksam bleiben und ein Beispiel für andere geben, dann heben Sie sich auf eine sehr positive Art und Weise ab.
Achtsamkeit ist alles.
Ein fehlendes Security-Awareness-Programm wird die meisten Versuche, PCI-konform zu bleiben, nahezu nutzlos machen. Organisationsweite Security Awareness bildet den kritischsten Teil der Best-Practice-Richtlinien; sie bieten sogar eigene Trainingsmodule dazu an, wie dies in funktionsübergreifenden Rollen umgesetzt werden kann und wie dies in Unternehmen aussieht, die es richtig machen.
Auf dem Weg zu DevSecOps als aktuellem Goldstandard in der sicheren Softwareentwicklung - bei dem Sicherheit als gemeinsame Verantwortung grundlegend ist - müssen Unternehmen die Zeit, das Geld und den Aufwand aufwenden, um sicherzustellen, dass jeder, einschließlich Anbieter und Auftragnehmer, sicherheitsbewusst ist und Best Practices befolgt.
Ein sicherheitsbewusster Entwickler ist ein regelkonformer Entwickler (und der Weg dahin muss nicht langweilig sein)
Wenn es darum geht, ein "zertifizierter" PCI-DSS-konformer Entwickler zu werden, gibt es nicht viele offensichtliche Möglichkeiten. Und warum? Wahrscheinlich, weil es keine "One-and-Done"-Übung sein kann.
Die OWASP-Organisation ist eine der besten auf dem Planeten, wenn es darum geht, zu lernen, wie man häufige Schwachstellen vereitelt, und ihre Top 10 ist offiziell in den PCI-DSS-Richtlinien für Entwickler aufgeführt. Sicherheit im Blick zu behalten und die Fähigkeiten zu verfeinern, erfordert jedoch Zeit und kontinuierliche Bemühungen. Und niemand möchte, dass dies uninspiriert und eine Verschwendung von Mühe ist.
Eine positive Sicherheitskultur ist kein "nice to have" in einer Organisation; wenn sie die Sicherheit ernst nehmen, dann muss sie Teil des Unternehmensalltags sein.
Entwickler stehen an vorderster Front, wenn es darum geht, Schwachstellen zu beseitigen. Erhalten sie die Unterstützung, die Tools und das Training, um ihren Teil des Sicherheitsdeals bei der PCI-DSS-Compliance einzuhalten?
Die Wahrheit ist, dass das richtige Training nahtloser ist; es sollte sich nicht wie eine Vorlesung anfühlen, und es sollte für die tägliche Arbeit höchst relevant sein. Und diese Art von praktischem Training ist eine Möglichkeit zur Weiterbildung - ein Karriereschritt, der nur Vorteile für Entwickler hat, die es ernst damit meinen, Schwachstellen zu stoppen und mit dem Rest des Teams zusammenzuarbeiten, um einen höheren Standard des Codes zu produzieren.
Möchten Sie Ihre Fähigkeiten im sicheren Programmieren gleich testen? Wählen Sie Ihre Mission.


Dies ist Teil 2 einer Miniserie über PCI-DSS-Compliance innerhalb einer Organisation. In diesem abschließenden Kapitel gehen wir darauf ein, wie CTOs und CISOs von der Spitze aus bei der Reduzierung von Cyber-Risiken führen und den Prozess nahtlos und erfolgreich gestalten können... und vielleicht auch ein bisschen Spaß für Entwickler.
Matias Madou, Ph.D., ist Sicherheitsexperte, Forscher, CTO und Mitbegründer von Secure Code Warrior. Matias promovierte an der Universität Gent im Bereich Anwendungssicherheit und konzentrierte sich dabei auf statische Analyselösungen. Später wechselte er zu Fortify in den USA, wo er erkannte, dass es nicht ausreicht, nur Codeprobleme zu erkennen, ohne den Entwicklern beim Schreiben von sicherem Code zu helfen. Dies inspirierte ihn dazu, Produkte zu entwickeln, die Entwickler unterstützen, den Aufwand für die Sicherheit verringern und die Erwartungen der Kunden übertreffen. Wenn er nicht an seinem Schreibtisch im Team Awesome sitzt, steht er gerne auf der Bühne und hält Vorträge auf Konferenzen wie der RSA Conference, BlackHat und DefCon.

Secure Code Warrior ist für Ihr Unternehmen da, um Sie dabei zu unterstützen, Ihren Code über den gesamten Lebenszyklus der Softwareentwicklung hinweg zu sichern und eine Kultur zu schaffen, in der Cybersicherheit an erster Stelle steht. Ganz gleich, ob Sie AppSec-Manager, Entwickler, CISO oder ein anderer Sicherheitsverantwortlicher sind, wir können Ihrem Unternehmen helfen, die mit unsicherem Code verbundenen Risiken zu reduzieren.
Demo buchenMatias Madou, Ph.D., ist Sicherheitsexperte, Forscher, CTO und Mitbegründer von Secure Code Warrior. Matias promovierte an der Universität Gent im Bereich Anwendungssicherheit und konzentrierte sich dabei auf statische Analyselösungen. Später wechselte er zu Fortify in den USA, wo er erkannte, dass es nicht ausreicht, nur Codeprobleme zu erkennen, ohne den Entwicklern beim Schreiben von sicherem Code zu helfen. Dies inspirierte ihn dazu, Produkte zu entwickeln, die Entwickler unterstützen, den Aufwand für die Sicherheit verringern und die Erwartungen der Kunden übertreffen. Wenn er nicht an seinem Schreibtisch im Team Awesome sitzt, steht er gerne auf der Bühne und hält Vorträge auf Konferenzen wie der RSA Conference, BlackHat und DefCon.
Matias ist ein Forscher und Entwickler mit mehr als 15 Jahren praktischer Erfahrung im Bereich der Softwaresicherheit. Er hat Lösungen für Unternehmen wie Fortify Software und sein eigenes Unternehmen Sensei Security entwickelt. Im Laufe seiner Karriere hat Matias mehrere Forschungsprojekte zur Anwendungssicherheit geleitet, die zu kommerziellen Produkten geführt haben, und kann auf über 10 Patente verweisen. Wenn er nicht am Schreibtisch sitzt, ist Matias als Ausbilder für fortgeschrittene Anwendungssicherheitstrainings courses tätig und hält regelmäßig Vorträge auf globalen Konferenzen wie RSA Conference, Black Hat, DefCon, BSIMM, OWASP AppSec und BruCon.
Matias hat einen Doktortitel in Computertechnik von der Universität Gent, wo er die Sicherheit von Anwendungen durch Programmverschleierung untersuchte, um die innere Funktionsweise einer Anwendung zu verbergen.


Dies ist Teil 2 einer Miniserie über PCI-DSS-Compliance innerhalb einer Organisation. In diesem abschließenden Kapitel gehen wir darauf ein, wie CTOs und CISOs bei der Verringerung des Cyber-Risikos von der Spitze aus führen und den Prozess nahtlos und erfolgreich gestalten können... und vielleicht auch ein bisschen Spaß für Entwickler. (Haben Sie Teil 1 verpasst? Lesen Sie ihn hier und erfahren Sie, wie AppSec-Spezialisten diese Chance für bessere Sicherheitsergebnisse ergreifen können).
PCI-DSS-Best-Practice ist zweifellos eine geteilte Verantwortung, aber CISOs und CTOs können ihren beträchtlichen Einfluss nutzen, um ein gedeihliches, positives Sicherheitsprogramm von oben zu gestalten. Sie sind das Aushängeschild für das Vertrauen in die Cybersicherheit und die damit verbundene Stimmung bei den Endbenutzern. Eine frühzeitige Sensibilisierung hat einen starken "Trickle-Down"-Effekt und hilft Entwicklern und AppSec-Experten, das Wissen, die Tools und die Unterstützung zu erhalten, die sie benötigen, um zu einer robusten Sicherheitslage im Unternehmen beizutragen.
Es ist wichtig, die Vorschriften einzuhalten, aber wenn jeder mit dem "Warum" einverstanden ist, Ergebnisse sieht und auf die richtige Weise gefördert wird, kann ein Programm über die Gesetzgebung hinausgehen und zur zweiten Natur werden.
CTOs und CISOs haben die Aufgabe, gegenseitiges Vertrauen zu schaffen
Waren Sie in letzter Zeit auf einer Website und haben zweimal darüber nachgedacht, ob Sie Ihre Kreditkartendaten aushändigen sollten? Sofern es sich nicht um die skizzenhaft aussehende Web-App handelt, die die Online-Bestellung für Ihren örtlichen Pizzaladen durchführt, ist dies wahrscheinlich nicht etwas, das Sie sehr oft erleben, insbesondere nicht bei großen Unternehmen und bekannten Namen im Online-Handel.
Es sei denn, sie geben eine Datenpanne bekannt, natürlich.
Der globale Beherbergungsgigant Marriott hat soeben den zweiten Einbruch innerhalb von drei Jahren bekannt gegeben, der zum Diebstahl von 5,2 Millionen Kundendaten führte. Dieses Mal scheint es noch nicht so, als ob Zahlungsinformationen Teil des Raubes waren, obwohl der katastrophale Einbruch im Jahr 2018 dafür gesorgt hat; 383 Millionen Kunden wurden kompromittiert, wobei 5 Millionen unverschlüsselte Passnummern sowie 8 Millionen Kreditkartennummern gestohlen wurden.
Wenn das Vertrauen der Kunden in die Marke Marriott nicht schon so niedrig wäre, wie es nur sein kann, würde ich sagen, dass es bald den Tiefpunkt erreicht hat. Dies ist die Art von Dingen, die CISOs nachts wach hält, da sie sich wie leichte Beute im Krieg gegen Cyber-Bedrohungen fühlen. Schauen Sie sich nur Equifax, Yahoo, Sony, Target an - das sind nur einige große Namen, die großflächige Sicherheitsverletzungen erlitten haben, die Milliarden von gestohlenen Datensätzen, Hunderte von Milliarden Dollar an Schaden und kundenförmige Löcher in ihre wirtschaftlichen Herzen gestanzt haben. Es ist eine Katastrophe für das Unternehmen (Target meldete einen Gewinneinbruch von 440 Millionen Dollar im Quartal nach dem Einbruch von 2014), und obwohl einzelne Personen in der Regel nicht dafür verantwortlich gemacht werden - schließlich sollte Softwaresicherheit eine gemeinsame Verantwortung sein -, ist es etwas, das man nicht unbedingt in einem ansonsten glänzenden Lebenslauf sehen möchte, wenn man zufällig zu dieser Zeit für diese Organisationen arbeitet.
Der Verzicht auf ein robustes Sicherheitsprogramm zur Erreichung der Compliance in einem Unternehmen, das mit Zahlungen, sensiblen Daten und dem immateriellen Gold der positiven Kundenstimmung zu tun hat, ist ein Indikator für ein Unternehmen, das nicht nur gefährdet ist, sondern auch ernsthaft hinter der Innovation zurückbleibt.
Jeder sollte sich um Vertrauensfragen in der Beziehung Kunde/Organisation kümmern.
Abgesehen von dem Stress und dem Unheil, dem die IT-, Entwicklungs- und Sicherheitsabteilungen nach einer Sicherheitsverletzung ausgesetzt sind, ist der Faktor Vertrauen ein wichtiges Element für den langfristigen Erfolg eines neueren Unternehmens oder das weitere Wachstum eines etablierten Unternehmens. Das Offensichtliche, was Sie zu verlieren drohen, ist Ihr Job, sollte das Unternehmen aufgrund des verlorenen Vertrauens mit einem wirtschaftlichen Abschwung konfrontiert werden.
Die PCI-DSS-Vorschriften nehmen Unternehmen in die Pflicht - und wie oben erwähnt, hat das Ignorieren dieser gut durchdachten Pläne enorme Auswirkungen -, aber sie sind nur so gut wie das Sicherheitsprogramm, das eingerichtet wurde, und die Mitarbeiter, die darin arbeiten. Wenn Sie sie ernst nehmen, aufmerksam bleiben und ein Beispiel für andere geben, dann heben Sie sich auf eine sehr positive Art und Weise ab.
Achtsamkeit ist alles.
Ein fehlendes Security-Awareness-Programm wird die meisten Versuche, PCI-konform zu bleiben, nahezu nutzlos machen. Organisationsweite Security Awareness bildet den kritischsten Teil der Best-Practice-Richtlinien; sie bieten sogar eigene Trainingsmodule dazu an, wie dies in funktionsübergreifenden Rollen umgesetzt werden kann und wie dies in Unternehmen aussieht, die es richtig machen.
Auf dem Weg zu DevSecOps als aktuellem Goldstandard in der sicheren Softwareentwicklung - bei dem Sicherheit als gemeinsame Verantwortung grundlegend ist - müssen Unternehmen die Zeit, das Geld und den Aufwand aufwenden, um sicherzustellen, dass jeder, einschließlich Anbieter und Auftragnehmer, sicherheitsbewusst ist und Best Practices befolgt.
Ein sicherheitsbewusster Entwickler ist ein regelkonformer Entwickler (und der Weg dahin muss nicht langweilig sein)
Wenn es darum geht, ein "zertifizierter" PCI-DSS-konformer Entwickler zu werden, gibt es nicht viele offensichtliche Möglichkeiten. Und warum? Wahrscheinlich, weil es keine "One-and-Done"-Übung sein kann.
Die OWASP-Organisation ist eine der besten auf dem Planeten, wenn es darum geht, zu lernen, wie man häufige Schwachstellen vereitelt, und ihre Top 10 ist offiziell in den PCI-DSS-Richtlinien für Entwickler aufgeführt. Sicherheit im Blick zu behalten und die Fähigkeiten zu verfeinern, erfordert jedoch Zeit und kontinuierliche Bemühungen. Und niemand möchte, dass dies uninspiriert und eine Verschwendung von Mühe ist.
Eine positive Sicherheitskultur ist kein "nice to have" in einer Organisation; wenn sie die Sicherheit ernst nehmen, dann muss sie Teil des Unternehmensalltags sein.
Entwickler stehen an vorderster Front, wenn es darum geht, Schwachstellen zu beseitigen. Erhalten sie die Unterstützung, die Tools und das Training, um ihren Teil des Sicherheitsdeals bei der PCI-DSS-Compliance einzuhalten?
Die Wahrheit ist, dass das richtige Training nahtloser ist; es sollte sich nicht wie eine Vorlesung anfühlen, und es sollte für die tägliche Arbeit höchst relevant sein. Und diese Art von praktischem Training ist eine Möglichkeit zur Weiterbildung - ein Karriereschritt, der nur Vorteile für Entwickler hat, die es ernst damit meinen, Schwachstellen zu stoppen und mit dem Rest des Teams zusammenzuarbeiten, um einen höheren Standard des Codes zu produzieren.
Möchten Sie Ihre Fähigkeiten im sicheren Programmieren gleich testen? Wählen Sie Ihre Mission.

Dies ist Teil 2 einer Miniserie über PCI-DSS-Compliance innerhalb einer Organisation. In diesem abschließenden Kapitel gehen wir darauf ein, wie CTOs und CISOs bei der Verringerung des Cyber-Risikos von der Spitze aus führen und den Prozess nahtlos und erfolgreich gestalten können... und vielleicht auch ein bisschen Spaß für Entwickler. (Haben Sie Teil 1 verpasst? Lesen Sie ihn hier und erfahren Sie, wie AppSec-Spezialisten diese Chance für bessere Sicherheitsergebnisse ergreifen können).
PCI-DSS-Best-Practice ist zweifellos eine geteilte Verantwortung, aber CISOs und CTOs können ihren beträchtlichen Einfluss nutzen, um ein gedeihliches, positives Sicherheitsprogramm von oben zu gestalten. Sie sind das Aushängeschild für das Vertrauen in die Cybersicherheit und die damit verbundene Stimmung bei den Endbenutzern. Eine frühzeitige Sensibilisierung hat einen starken "Trickle-Down"-Effekt und hilft Entwicklern und AppSec-Experten, das Wissen, die Tools und die Unterstützung zu erhalten, die sie benötigen, um zu einer robusten Sicherheitslage im Unternehmen beizutragen.
Es ist wichtig, die Vorschriften einzuhalten, aber wenn jeder mit dem "Warum" einverstanden ist, Ergebnisse sieht und auf die richtige Weise gefördert wird, kann ein Programm über die Gesetzgebung hinausgehen und zur zweiten Natur werden.
CTOs und CISOs haben die Aufgabe, gegenseitiges Vertrauen zu schaffen
Waren Sie in letzter Zeit auf einer Website und haben zweimal darüber nachgedacht, ob Sie Ihre Kreditkartendaten aushändigen sollten? Sofern es sich nicht um die skizzenhaft aussehende Web-App handelt, die die Online-Bestellung für Ihren örtlichen Pizzaladen durchführt, ist dies wahrscheinlich nicht etwas, das Sie sehr oft erleben, insbesondere nicht bei großen Unternehmen und bekannten Namen im Online-Handel.
Es sei denn, sie geben eine Datenpanne bekannt, natürlich.
Der globale Beherbergungsgigant Marriott hat soeben den zweiten Einbruch innerhalb von drei Jahren bekannt gegeben, der zum Diebstahl von 5,2 Millionen Kundendaten führte. Dieses Mal scheint es noch nicht so, als ob Zahlungsinformationen Teil des Raubes waren, obwohl der katastrophale Einbruch im Jahr 2018 dafür gesorgt hat; 383 Millionen Kunden wurden kompromittiert, wobei 5 Millionen unverschlüsselte Passnummern sowie 8 Millionen Kreditkartennummern gestohlen wurden.
Wenn das Vertrauen der Kunden in die Marke Marriott nicht schon so niedrig wäre, wie es nur sein kann, würde ich sagen, dass es bald den Tiefpunkt erreicht hat. Dies ist die Art von Dingen, die CISOs nachts wach hält, da sie sich wie leichte Beute im Krieg gegen Cyber-Bedrohungen fühlen. Schauen Sie sich nur Equifax, Yahoo, Sony, Target an - das sind nur einige große Namen, die großflächige Sicherheitsverletzungen erlitten haben, die Milliarden von gestohlenen Datensätzen, Hunderte von Milliarden Dollar an Schaden und kundenförmige Löcher in ihre wirtschaftlichen Herzen gestanzt haben. Es ist eine Katastrophe für das Unternehmen (Target meldete einen Gewinneinbruch von 440 Millionen Dollar im Quartal nach dem Einbruch von 2014), und obwohl einzelne Personen in der Regel nicht dafür verantwortlich gemacht werden - schließlich sollte Softwaresicherheit eine gemeinsame Verantwortung sein -, ist es etwas, das man nicht unbedingt in einem ansonsten glänzenden Lebenslauf sehen möchte, wenn man zufällig zu dieser Zeit für diese Organisationen arbeitet.
Der Verzicht auf ein robustes Sicherheitsprogramm zur Erreichung der Compliance in einem Unternehmen, das mit Zahlungen, sensiblen Daten und dem immateriellen Gold der positiven Kundenstimmung zu tun hat, ist ein Indikator für ein Unternehmen, das nicht nur gefährdet ist, sondern auch ernsthaft hinter der Innovation zurückbleibt.
Jeder sollte sich um Vertrauensfragen in der Beziehung Kunde/Organisation kümmern.
Abgesehen von dem Stress und dem Unheil, dem die IT-, Entwicklungs- und Sicherheitsabteilungen nach einer Sicherheitsverletzung ausgesetzt sind, ist der Faktor Vertrauen ein wichtiges Element für den langfristigen Erfolg eines neueren Unternehmens oder das weitere Wachstum eines etablierten Unternehmens. Das Offensichtliche, was Sie zu verlieren drohen, ist Ihr Job, sollte das Unternehmen aufgrund des verlorenen Vertrauens mit einem wirtschaftlichen Abschwung konfrontiert werden.
Die PCI-DSS-Vorschriften nehmen Unternehmen in die Pflicht - und wie oben erwähnt, hat das Ignorieren dieser gut durchdachten Pläne enorme Auswirkungen -, aber sie sind nur so gut wie das Sicherheitsprogramm, das eingerichtet wurde, und die Mitarbeiter, die darin arbeiten. Wenn Sie sie ernst nehmen, aufmerksam bleiben und ein Beispiel für andere geben, dann heben Sie sich auf eine sehr positive Art und Weise ab.
Achtsamkeit ist alles.
Ein fehlendes Security-Awareness-Programm wird die meisten Versuche, PCI-konform zu bleiben, nahezu nutzlos machen. Organisationsweite Security Awareness bildet den kritischsten Teil der Best-Practice-Richtlinien; sie bieten sogar eigene Trainingsmodule dazu an, wie dies in funktionsübergreifenden Rollen umgesetzt werden kann und wie dies in Unternehmen aussieht, die es richtig machen.
Auf dem Weg zu DevSecOps als aktuellem Goldstandard in der sicheren Softwareentwicklung - bei dem Sicherheit als gemeinsame Verantwortung grundlegend ist - müssen Unternehmen die Zeit, das Geld und den Aufwand aufwenden, um sicherzustellen, dass jeder, einschließlich Anbieter und Auftragnehmer, sicherheitsbewusst ist und Best Practices befolgt.
Ein sicherheitsbewusster Entwickler ist ein regelkonformer Entwickler (und der Weg dahin muss nicht langweilig sein)
Wenn es darum geht, ein "zertifizierter" PCI-DSS-konformer Entwickler zu werden, gibt es nicht viele offensichtliche Möglichkeiten. Und warum? Wahrscheinlich, weil es keine "One-and-Done"-Übung sein kann.
Die OWASP-Organisation ist eine der besten auf dem Planeten, wenn es darum geht, zu lernen, wie man häufige Schwachstellen vereitelt, und ihre Top 10 ist offiziell in den PCI-DSS-Richtlinien für Entwickler aufgeführt. Sicherheit im Blick zu behalten und die Fähigkeiten zu verfeinern, erfordert jedoch Zeit und kontinuierliche Bemühungen. Und niemand möchte, dass dies uninspiriert und eine Verschwendung von Mühe ist.
Eine positive Sicherheitskultur ist kein "nice to have" in einer Organisation; wenn sie die Sicherheit ernst nehmen, dann muss sie Teil des Unternehmensalltags sein.
Entwickler stehen an vorderster Front, wenn es darum geht, Schwachstellen zu beseitigen. Erhalten sie die Unterstützung, die Tools und das Training, um ihren Teil des Sicherheitsdeals bei der PCI-DSS-Compliance einzuhalten?
Die Wahrheit ist, dass das richtige Training nahtloser ist; es sollte sich nicht wie eine Vorlesung anfühlen, und es sollte für die tägliche Arbeit höchst relevant sein. Und diese Art von praktischem Training ist eine Möglichkeit zur Weiterbildung - ein Karriereschritt, der nur Vorteile für Entwickler hat, die es ernst damit meinen, Schwachstellen zu stoppen und mit dem Rest des Teams zusammenzuarbeiten, um einen höheren Standard des Codes zu produzieren.
Möchten Sie Ihre Fähigkeiten im sicheren Programmieren gleich testen? Wählen Sie Ihre Mission.

Klicken Sie auf den unten stehenden Link und laden Sie die PDF-Datei dieser Ressource herunter.
Secure Code Warrior ist für Ihr Unternehmen da, um Sie dabei zu unterstützen, Ihren Code über den gesamten Lebenszyklus der Softwareentwicklung hinweg zu sichern und eine Kultur zu schaffen, in der Cybersicherheit an erster Stelle steht. Ganz gleich, ob Sie AppSec-Manager, Entwickler, CISO oder ein anderer Sicherheitsverantwortlicher sind, wir können Ihrem Unternehmen helfen, die mit unsicherem Code verbundenen Risiken zu reduzieren.
Bericht ansehenDemo buchenMatias Madou, Ph.D., ist Sicherheitsexperte, Forscher, CTO und Mitbegründer von Secure Code Warrior. Matias promovierte an der Universität Gent im Bereich Anwendungssicherheit und konzentrierte sich dabei auf statische Analyselösungen. Später wechselte er zu Fortify in den USA, wo er erkannte, dass es nicht ausreicht, nur Codeprobleme zu erkennen, ohne den Entwicklern beim Schreiben von sicherem Code zu helfen. Dies inspirierte ihn dazu, Produkte zu entwickeln, die Entwickler unterstützen, den Aufwand für die Sicherheit verringern und die Erwartungen der Kunden übertreffen. Wenn er nicht an seinem Schreibtisch im Team Awesome sitzt, steht er gerne auf der Bühne und hält Vorträge auf Konferenzen wie der RSA Conference, BlackHat und DefCon.
Matias ist ein Forscher und Entwickler mit mehr als 15 Jahren praktischer Erfahrung im Bereich der Softwaresicherheit. Er hat Lösungen für Unternehmen wie Fortify Software und sein eigenes Unternehmen Sensei Security entwickelt. Im Laufe seiner Karriere hat Matias mehrere Forschungsprojekte zur Anwendungssicherheit geleitet, die zu kommerziellen Produkten geführt haben, und kann auf über 10 Patente verweisen. Wenn er nicht am Schreibtisch sitzt, ist Matias als Ausbilder für fortgeschrittene Anwendungssicherheitstrainings courses tätig und hält regelmäßig Vorträge auf globalen Konferenzen wie RSA Conference, Black Hat, DefCon, BSIMM, OWASP AppSec und BruCon.
Matias hat einen Doktortitel in Computertechnik von der Universität Gent, wo er die Sicherheit von Anwendungen durch Programmverschleierung untersuchte, um die innere Funktionsweise einer Anwendung zu verbergen.
Dies ist Teil 2 einer Miniserie über PCI-DSS-Compliance innerhalb einer Organisation. In diesem abschließenden Kapitel gehen wir darauf ein, wie CTOs und CISOs bei der Verringerung des Cyber-Risikos von der Spitze aus führen und den Prozess nahtlos und erfolgreich gestalten können... und vielleicht auch ein bisschen Spaß für Entwickler. (Haben Sie Teil 1 verpasst? Lesen Sie ihn hier und erfahren Sie, wie AppSec-Spezialisten diese Chance für bessere Sicherheitsergebnisse ergreifen können).
PCI-DSS-Best-Practice ist zweifellos eine geteilte Verantwortung, aber CISOs und CTOs können ihren beträchtlichen Einfluss nutzen, um ein gedeihliches, positives Sicherheitsprogramm von oben zu gestalten. Sie sind das Aushängeschild für das Vertrauen in die Cybersicherheit und die damit verbundene Stimmung bei den Endbenutzern. Eine frühzeitige Sensibilisierung hat einen starken "Trickle-Down"-Effekt und hilft Entwicklern und AppSec-Experten, das Wissen, die Tools und die Unterstützung zu erhalten, die sie benötigen, um zu einer robusten Sicherheitslage im Unternehmen beizutragen.
Es ist wichtig, die Vorschriften einzuhalten, aber wenn jeder mit dem "Warum" einverstanden ist, Ergebnisse sieht und auf die richtige Weise gefördert wird, kann ein Programm über die Gesetzgebung hinausgehen und zur zweiten Natur werden.
CTOs und CISOs haben die Aufgabe, gegenseitiges Vertrauen zu schaffen
Waren Sie in letzter Zeit auf einer Website und haben zweimal darüber nachgedacht, ob Sie Ihre Kreditkartendaten aushändigen sollten? Sofern es sich nicht um die skizzenhaft aussehende Web-App handelt, die die Online-Bestellung für Ihren örtlichen Pizzaladen durchführt, ist dies wahrscheinlich nicht etwas, das Sie sehr oft erleben, insbesondere nicht bei großen Unternehmen und bekannten Namen im Online-Handel.
Es sei denn, sie geben eine Datenpanne bekannt, natürlich.
Der globale Beherbergungsgigant Marriott hat soeben den zweiten Einbruch innerhalb von drei Jahren bekannt gegeben, der zum Diebstahl von 5,2 Millionen Kundendaten führte. Dieses Mal scheint es noch nicht so, als ob Zahlungsinformationen Teil des Raubes waren, obwohl der katastrophale Einbruch im Jahr 2018 dafür gesorgt hat; 383 Millionen Kunden wurden kompromittiert, wobei 5 Millionen unverschlüsselte Passnummern sowie 8 Millionen Kreditkartennummern gestohlen wurden.
Wenn das Vertrauen der Kunden in die Marke Marriott nicht schon so niedrig wäre, wie es nur sein kann, würde ich sagen, dass es bald den Tiefpunkt erreicht hat. Dies ist die Art von Dingen, die CISOs nachts wach hält, da sie sich wie leichte Beute im Krieg gegen Cyber-Bedrohungen fühlen. Schauen Sie sich nur Equifax, Yahoo, Sony, Target an - das sind nur einige große Namen, die großflächige Sicherheitsverletzungen erlitten haben, die Milliarden von gestohlenen Datensätzen, Hunderte von Milliarden Dollar an Schaden und kundenförmige Löcher in ihre wirtschaftlichen Herzen gestanzt haben. Es ist eine Katastrophe für das Unternehmen (Target meldete einen Gewinneinbruch von 440 Millionen Dollar im Quartal nach dem Einbruch von 2014), und obwohl einzelne Personen in der Regel nicht dafür verantwortlich gemacht werden - schließlich sollte Softwaresicherheit eine gemeinsame Verantwortung sein -, ist es etwas, das man nicht unbedingt in einem ansonsten glänzenden Lebenslauf sehen möchte, wenn man zufällig zu dieser Zeit für diese Organisationen arbeitet.
Der Verzicht auf ein robustes Sicherheitsprogramm zur Erreichung der Compliance in einem Unternehmen, das mit Zahlungen, sensiblen Daten und dem immateriellen Gold der positiven Kundenstimmung zu tun hat, ist ein Indikator für ein Unternehmen, das nicht nur gefährdet ist, sondern auch ernsthaft hinter der Innovation zurückbleibt.
Jeder sollte sich um Vertrauensfragen in der Beziehung Kunde/Organisation kümmern.
Abgesehen von dem Stress und dem Unheil, dem die IT-, Entwicklungs- und Sicherheitsabteilungen nach einer Sicherheitsverletzung ausgesetzt sind, ist der Faktor Vertrauen ein wichtiges Element für den langfristigen Erfolg eines neueren Unternehmens oder das weitere Wachstum eines etablierten Unternehmens. Das Offensichtliche, was Sie zu verlieren drohen, ist Ihr Job, sollte das Unternehmen aufgrund des verlorenen Vertrauens mit einem wirtschaftlichen Abschwung konfrontiert werden.
Die PCI-DSS-Vorschriften nehmen Unternehmen in die Pflicht - und wie oben erwähnt, hat das Ignorieren dieser gut durchdachten Pläne enorme Auswirkungen -, aber sie sind nur so gut wie das Sicherheitsprogramm, das eingerichtet wurde, und die Mitarbeiter, die darin arbeiten. Wenn Sie sie ernst nehmen, aufmerksam bleiben und ein Beispiel für andere geben, dann heben Sie sich auf eine sehr positive Art und Weise ab.
Achtsamkeit ist alles.
Ein fehlendes Security-Awareness-Programm wird die meisten Versuche, PCI-konform zu bleiben, nahezu nutzlos machen. Organisationsweite Security Awareness bildet den kritischsten Teil der Best-Practice-Richtlinien; sie bieten sogar eigene Trainingsmodule dazu an, wie dies in funktionsübergreifenden Rollen umgesetzt werden kann und wie dies in Unternehmen aussieht, die es richtig machen.
Auf dem Weg zu DevSecOps als aktuellem Goldstandard in der sicheren Softwareentwicklung - bei dem Sicherheit als gemeinsame Verantwortung grundlegend ist - müssen Unternehmen die Zeit, das Geld und den Aufwand aufwenden, um sicherzustellen, dass jeder, einschließlich Anbieter und Auftragnehmer, sicherheitsbewusst ist und Best Practices befolgt.
Ein sicherheitsbewusster Entwickler ist ein regelkonformer Entwickler (und der Weg dahin muss nicht langweilig sein)
Wenn es darum geht, ein "zertifizierter" PCI-DSS-konformer Entwickler zu werden, gibt es nicht viele offensichtliche Möglichkeiten. Und warum? Wahrscheinlich, weil es keine "One-and-Done"-Übung sein kann.
Die OWASP-Organisation ist eine der besten auf dem Planeten, wenn es darum geht, zu lernen, wie man häufige Schwachstellen vereitelt, und ihre Top 10 ist offiziell in den PCI-DSS-Richtlinien für Entwickler aufgeführt. Sicherheit im Blick zu behalten und die Fähigkeiten zu verfeinern, erfordert jedoch Zeit und kontinuierliche Bemühungen. Und niemand möchte, dass dies uninspiriert und eine Verschwendung von Mühe ist.
Eine positive Sicherheitskultur ist kein "nice to have" in einer Organisation; wenn sie die Sicherheit ernst nehmen, dann muss sie Teil des Unternehmensalltags sein.
Entwickler stehen an vorderster Front, wenn es darum geht, Schwachstellen zu beseitigen. Erhalten sie die Unterstützung, die Tools und das Training, um ihren Teil des Sicherheitsdeals bei der PCI-DSS-Compliance einzuhalten?
Die Wahrheit ist, dass das richtige Training nahtloser ist; es sollte sich nicht wie eine Vorlesung anfühlen, und es sollte für die tägliche Arbeit höchst relevant sein. Und diese Art von praktischem Training ist eine Möglichkeit zur Weiterbildung - ein Karriereschritt, der nur Vorteile für Entwickler hat, die es ernst damit meinen, Schwachstellen zu stoppen und mit dem Rest des Teams zusammenzuarbeiten, um einen höheren Standard des Codes zu produzieren.
Möchten Sie Ihre Fähigkeiten im sicheren Programmieren gleich testen? Wählen Sie Ihre Mission.
Inhaltsübersicht
Matias Madou, Ph.D., ist Sicherheitsexperte, Forscher, CTO und Mitbegründer von Secure Code Warrior. Matias promovierte an der Universität Gent im Bereich Anwendungssicherheit und konzentrierte sich dabei auf statische Analyselösungen. Später wechselte er zu Fortify in den USA, wo er erkannte, dass es nicht ausreicht, nur Codeprobleme zu erkennen, ohne den Entwicklern beim Schreiben von sicherem Code zu helfen. Dies inspirierte ihn dazu, Produkte zu entwickeln, die Entwickler unterstützen, den Aufwand für die Sicherheit verringern und die Erwartungen der Kunden übertreffen. Wenn er nicht an seinem Schreibtisch im Team Awesome sitzt, steht er gerne auf der Bühne und hält Vorträge auf Konferenzen wie der RSA Conference, BlackHat und DefCon.

Secure Code Warrior ist für Ihr Unternehmen da, um Sie dabei zu unterstützen, Ihren Code über den gesamten Lebenszyklus der Softwareentwicklung hinweg zu sichern und eine Kultur zu schaffen, in der Cybersicherheit an erster Stelle steht. Ganz gleich, ob Sie AppSec-Manager, Entwickler, CISO oder ein anderer Sicherheitsverantwortlicher sind, wir können Ihrem Unternehmen helfen, die mit unsicherem Code verbundenen Risiken zu reduzieren.
Demo buchenHerunterladenRessourcen für den Einstieg
Benchmarking von Sicherheitskompetenzen: Optimierung von Secure-by-Design im Unternehmen
Aussagekräftige Daten über den Erfolg von Secure-by-Design-Initiativen zu finden, ist bekanntermaßen schwierig. CISOs stehen oft vor der Herausforderung, den Return on Investment (ROI) und den Geschäftswert von Sicherheitsprogrammen sowohl auf Mitarbeiter- als auch auf Unternehmensebene nachzuweisen. Ganz zu schweigen davon, dass es für Unternehmen besonders schwierig ist, Erkenntnisse darüber zu gewinnen, wie ihre Organisation im Vergleich zu aktuellen Branchenstandards abschneidet. Die Nationale Cybersicherheitsstrategie des Präsidenten forderte die Beteiligten auf, "Sicherheit und Widerstandsfähigkeit durch Design" zu erreichen. Der Schlüssel zum Erfolg von Secure-by-Design-Initiativen liegt nicht nur darin, Entwicklern die nötigen Fähigkeiten zu vermitteln, um sicheren Code zu gewährleisten, sondern auch darin, den Aufsichtsbehörden zu versichern, dass diese Fähigkeiten vorhanden sind. In dieser Präsentation stellen wir eine Vielzahl von qualitativen und quantitativen Daten vor, die aus verschiedenen Primärquellen stammen, darunter interne Daten von über 250.000 Entwicklern, datengestützte Kundeneinblicke und öffentliche Studien. Auf der Grundlage dieser gesammelten Daten wollen wir eine Vision des aktuellen Stands von Secure-by-Design-Initiativen in verschiedenen Branchen vermitteln. Der Bericht zeigt auf, warum dieser Bereich derzeit nicht ausreichend genutzt wird, welche erheblichen Auswirkungen ein erfolgreiches Schulungsprogramm auf die Minderung von Cybersecurity-Risiken haben kann und welches Potenzial zur Beseitigung von Schwachstellen in einer Codebasis besteht.
Professionelle Dienstleistungen - Beschleunigen Sie mit Fachwissen
Das PSS-Team (Program Strategy Services) von Secure Code Warriorunterstützt Sie beim Aufbau, der Verbesserung und der Optimierung Ihres Programms für sichere Codierung. Ganz gleich, ob Sie neu anfangen oder Ihren Ansatz verfeinern möchten, unsere Experten bieten Ihnen maßgeschneiderte Beratung.
Themen und Inhalte der Schulung zu sicherem Code
Unsere branchenführenden Inhalte werden ständig weiterentwickelt, um sie an die sich ständig verändernde Softwareentwicklungslandschaft anzupassen und Ihre Rolle zu berücksichtigen. Die Themen reichen von KI bis XQuery Injection und werden für eine Vielzahl von Rollen angeboten, von Architekten und Ingenieuren bis hin zu Produktmanagern und QA. Verschaffen Sie sich einen kleinen Überblick über die Inhalte, die unser Katalog nach Thema und Rolle bietet.
Quests: Branchenführendes Lernen, damit die Entwickler immer einen Schritt voraus sind und Risiken minimiert werden.
Quests ist eine learning platform , die Entwicklern hilft, Software-Sicherheitsrisiken zu verringern, indem sie ihre Fähigkeiten zur sicheren Programmierung verbessern. Mit kuratierten Lernpfaden, praktischen Herausforderungen und interaktiven Aktivitäten befähigt sie Entwickler, Schwachstellen zu erkennen und zu vermeiden.
Ressourcen für den Einstieg
Wird Vibe Coding Ihre Codebasis in eine Verbindungsparty verwandeln?
Vibe Coding ist wie eine College-Verbindungsparty, und AI ist das Herzstück aller Festivitäten, das Fass. Es macht eine Menge Spaß, sich auszutoben, kreativ zu werden und zu sehen, wohin die eigene Fantasie einen führen kann, aber nach ein paar Bierfässern ist das Trinken (oder die Verwendung von KI) in Maßen zweifellos die sicherere langfristige Lösung.
Das Jahrzehnt der Defenders: Secure Code Warrior Zehnte Runde
Secure Code WarriorDas Gründungsteam von SCW ist zusammengeblieben und hat das Schiff ein ganzes Jahrzehnt lang durch alle Lektionen, Triumphe und Rückschläge gesteuert. Wir vergrößern uns und sind bereit für unser nächstes Kapitel, SCW 2.0, als führendes Unternehmen im Risikomanagement für Entwickler.