Das Jahrzehnt der Defenders: Secure Code Warrior Zehnte Runde

In meinen jüngeren Jahren habe ich viel DOOM gespielt, und am Anfang musste ich natürlich zwischen den verschiedenen Schwierigkeitsgraden hin- und herschalten, um meine ersten Durchgänge zu schaffen. Sie reichten von "I'm Too Young To Die" (Leicht) bis "Nightmare" (Sehr schwer). Es gibt Tage, an denen ich mir wünschte, ich könnte den Schwierigkeitsgrad der Leitung eines Technologieunternehmens einfach zurücksetzen und ändern, vor allem in der Anfangsphase, in der so viele Elemente heikel, prekär und scheiterungsanfällig sind.

Die Statistiken sind bekannt und ernüchternd: Neugründungen scheitern zu etwa 90 %, und das schon seit vielen Jahren, aber wenn man genauer hinsieht, stellt man fest, dass 21 % der Neugründungen im ersten Jahr scheitern, 30 % innerhalb von zwei Jahren, 50 % nach fünf Jahren und 70 % innerhalb des ersten Jahrzehnts. 

Ich bin stolz darauf, dass meine Mitbegründer Matias Madou, Fatemah Beydoun, Colin Wong, Nathan Desmet und Jaap Karan Singh es bis zu "Level 10" geschafft haben, unterstützt von unseren Investoren Goldman Sachs, Cisco Investment, Paladin Capital, Forgepoint, Airtree und Tidal sowie meinen unabhängigen Vorstandsmitgliedern Jim Pflaging und Nanhi Singh.

Das Gründungsteam ist zusammengeblieben und hat das Schiff ein ganzes Jahrzehnt lang durch alle Lektionen, Triumphe und Rückschläge gesteuert. Wir skalieren und sind bereit für unser nächstes Kapitel, SCW 2.0, als Marktführer im Risikomanagement für Entwickler.

2024: Das Jahr, in dem wir die ersten Dateneinsichtstools der Branche auf den Markt bringen.

Es ist äußerst schwierig, die Rentabilität von Weiterbildungsmaßnahmen nachzuweisen, aber im Jahr 2024 hat der SCW erreicht, was die gesamte Branche gefordert hat: "Können Sie nachweisen, dass unsere Software durch die Weiterbildung unserer Entwickler sicherer wird?". Wir haben Daten zu Schwachstellen und zur Behebung von Problemen bei einigen unserer größten Kunden gesammelt, die bewährte Programme durchführen, und wir können mit Stolz beweisen - mit Bestätigung unserer Kunden -, dass die durchschnittliche Verringerung der Schwachstellen bei Code, der von sicheren Entwicklern erstellt wurde, 53 % betrug, verglichen mit Code, der von anderen erstellt wurde. Wir haben auch bewiesen, dass sichere Entwickler Sicherheitsprobleme 2-3 Mal schneller beheben können, was Zeit spart und das Risiko verringert.

Als erstes wurde der SCW Trust Score vorgestellt, die einzige Benchmarking-Funktion, die die Auswirkungen von Programmen zur sicheren Codierung in Unternehmen quantifiziert. Zum ersten Mal können Sicherheitsverantwortliche detaillierte, datengestützte Einblicke in die sicheren Kodierungsfähigkeiten des Entwicklungsteams gewinnen und sie mit Branchenstandards vergleichen. Dies ist der tadellose Einblick, auf den viele gewartet haben, um kritische Anpassungen an ihren Programmen vorzunehmen und einzelnen Entwicklern Lernpfade zu bieten, die ihre Sicherheitskompetenzen für das ganze Leben stärken. Wir haben sogar ein Forschungspapier mit dem ehemaligen US National Cyber Director Chris Inglis und Kemba Walden, Präsident des Paladin Global Institute und ehemals amtierender US National Cyber Director, veröffentlicht.

Später brachten wir SCW Trust Agent heraus, ein zusätzliches Angebot, das Transparenz über das gesamte Code-Repository eines Unternehmens bietet und jeden Commit im Hinblick auf die Fähigkeiten der Entwickler zur sicheren Programmierung analysiert. SCW Trust Agent baut auf SCW Trust Score auf und zeigt gemeinsam, wie effektiv das Sicherheitsprogramm des Unternehmens bei jeder Übertragung angewendet wird.

Diese Tools unterstützen die Sicherheitsverantwortlichen in Unternehmen bei der Erreichung von Zielen wie den CISA-Richtlinien für Secure-by-Design, bei denen es um die Überprüfung der Sicherheitskompetenzen von Entwicklern, sichere Commits und letztlich um die Beseitigung von Schwachstellenkategorien geht, die notwendige Elemente bewährter sicherer Designprinzipien sind. 

Guten Tag, Partner! Unser Partnernetzwerk wächst weiter, ebenso wie unser Kundenstamm.

Einer der herzerwärmenden Aspekte der Cybersicherheitsbranche ist die Erkenntnis, dass wir im Grunde alle nur eine große, leidenschaftliche Gemeinschaft sind, die nur allzu bereit ist, ihre Kräfte zu bündeln, um nicht nur gemeinsam erfolgreich zu sein, sondern auch eine sicherere digitale Welt für alle zu schaffen.

Wir haben das Privileg, eine Vielzahl von Sicherheits- und Technologieunternehmen zu unseren Geschäftspartnern zählen zu dürfen, und unser Partnerprogramm trägt entscheidend dazu bei, unser Wachstum zu fördern. Gegen Ende des Jahres 2024 haben wir unsere zweite OEM-Partnerschaft mit dem weltweit führenden Unternehmen für Informationsmanagement, OpenText, bekannt gegeben. Diese Entwicklung, zusammen mit unserem Flaggschiff-OEM-Partner Black Duck, bietet uns eine unglaubliche Möglichkeit, umfassende, ganzheitliche Lösungen anzubieten, die den aktuellen Anforderungen von Unternehmen und ihren Sicherheitsprogrammen gerecht werden.

Darüber hinaus haben wir mittlerweile über 650 Unternehmenskunden. Von den bescheidenen Anfängen vor zehn Jahren, als ich mich noch daran erinnern kann, dass wir unserem 4-köpfigen Team zur Feier unseres ersten großen Kunden ein billiges Mittagessen spendiert haben, haben wir uns einen gesunden Fußabdruck von Kunden geschaffen, die sich nicht scheuen, präventive Sicherheit mit Entwicklern als Agenten des Wandels anzugehen.

KI, der ultimative Disruptor, und die Zukunft der entwicklergesteuerten Sicherheit.

Künstliche Intelligenz, LLMs und KI-Coding-Tools sind seit über zwei Jahren in aller Munde, und wir befinden uns - als Gesellschaft - an einem entscheidenden Punkt in unserer Technologiegeschichte. Das große Angebot an KI-Tools in fast jeder Kategorie verspricht enorme Produktivitätssteigerungen, und in der Softwareentwicklung hat eine kürzlich durchgeführte GitHub-Umfrage ergeben, dass die meisten Ingenieure mit der Einführung von KI-gestützten Programmierassistenten begonnen haben. 

Diese Tools sind heute Teil der Softwareentwicklungslandschaft, obwohl nur 38 % der Unternehmen ihre Verwendung genehmigen. Ihr Einsatz ist unvermeidlich, und anstatt eine "Schatten-KI"-Situation zu schaffen, sollten sich Sicherheitsverantwortliche darauf konzentrieren, Entwickler auf den Weg zu einer sicheren, verantwortungsvollen Programmierung zu bringen. Sicherheitsbewusste Entwickler können diese Tools mit dem kritischen Denken und der erforderlichen Sicherheitskompetenz einsetzen, um wirklich von der gesteigerten Produktivität zu profitieren, ohne das Risiko zu erhöhen, das von Entwicklern mit geringen Sicherheitskenntnissen ausgeht. 

2025 ist das Jahr, in dem Sie weitere Fortschritte bei der KI-Codierung sehen werden. Dennoch haben wir vielleicht noch das eine oder andere in petto, um Unternehmen bei der effektiven Anwendung des Risikomanagements für Entwickler in diesem und vielen anderen Bereichen zu unterstützen. Bleiben Sie dran und sehen Sie, wohin uns unsere Reise führt.