Enabler 1: Definierte und messbare Erfolgskriterien

Wir beginnen unser tiefes Eintauchen in die 10 Wegbereiter des Erfolgs mit dem grundlegenden Schritt von Enabler 1: Definierte und messbare Erfolgskriterien. Wenn ein sicheres Codierungsprogramm eine Reise ist, ist der erste und wichtigste Schritt darin, genau zu wissen, wohin Sie gehen. Das ist die Essenz des ersten Enablers.

Verknüpfung von Erfolgskriterien mit Geschäftsergebnissen

Der Aufbau eines erfolgreichen Programms für sichere Codierung erfordert klare Ziele, die mit den Unternehmensdienstleistungen verknüpft sind. Enabler 1 beantwortete die Kernfragen: „Was, ganz konkret und messbar, ist das Problem oder der Schwachpunkt, den wir mit unserem Programm zur sicheren Codierung zu lösen versuchen? “

Vielleicht sucht Ihre Organisation nach einer Möglichkeit, Compliance-Anforderungen zu erfüllen oder Sicherheitslücken und Cyberangriffe zu vermeiden. Oder vielleicht möchten Sie als Organisation damit beginnen, die Kosten und den Zeitaufwand für die Nachbereitung durch unsere Entwickler von Anfang an zu reduzieren und dort in Schulen sicher bis zum Programmieren zu unterrichten.

Unabhängig von Ihren Beweggründen hängt der aktuelle Stand Ihres Unternehmens oder sogar von der von Ihnen bestimmten Sicherheitstrainingsplattform davon ab, dass klar definierte Ziele mit den Geschäftszielen verknüpft sind, um Akzeptanz zu gewinnen und dauerhaften Erfolg zu gewährleisten.

Berücksichtigen Sie bei der Festlegung der Erfolgskriterien die wichtigsten Stakeholder Ihres Programms. Wenn Sie Ihre Sponsoren in der Führungsetage und deren Geschäftsziele kennen, können Sie eine breitere Akzeptanz in allen Abteilungen erreichen.

Erfolg greifbar und messbar machen

Diese Ziele müssen natürlich spezifisch für Ihr Unternehmen sein. Sie sehen sich jedoch diese typischen Geschäftsziele an und überlegen, wie sie zu weiteren Ideen inspirieren könnten:

Risikominderung: Mindern Sie Entwicklerrisiken und reduzieren Sie Schwachstellen, die durch Fehler im Code entstehen. Dazu gehören die Identifizierung von Risiken und die Verringerung der Angriffsfläche von Anwendungen.

Programme zielen häufig auf Kennzahlen wie die Reduzierung und Vermeidung der Schwachstellendichte oder der Schwachstellen-Injektionsrate ab.

Operative Geschwindigkeit: Maximieren Sie die Geschwindigkeit der Produktlieferung, reduzieren Sie die Frustration und Fluktuation der Entwickler und verringern Sie den Zeitaufwand für Nacharbeiten. Schulungen zum Thema sicherer Code sind ein wichtiger Anreiz für Entwickler, da sie ihnen helfen, zeitaufwändige Nacharbeiten an fehlerhaftem Code zu vermeiden, der erst später im Softwareentwicklungszyklus entdeckt wird.

Programme zielen häufig darauf ab, die durchschnittliche Zeit bis zur Behebung (MTTR) von Schwachstellen durch Entwickler zu reduzieren.

Einhaltung gesetzlicher Vorschriften: Erreichen Sie externe Compliance, beispielsweise durch die Einhaltung von Standards wie PCI-DSS (der Schulungen für alle Entwickler vorschreibt, die an Zahlungssystemen arbeiten).

Talent und Vertrauen: Steigern Sie das Engagement und das Bewusstsein für Sicherheit und Schwachstellen innerhalb der Entwicklerorganisation und stärken Sie gleichzeitig das Vertrauen Ihrer Kunden. Für einige Unternehmen tragen sicherheitsbewusste Entwickler dazu bei, sich vom Markt abzuheben.

Programme legen häufig Mindestanforderungen an die Fähigkeiten von Entwicklern fest oder schaffen sogar spezielle Security-Champion-Programme.

Erfolgsdokumentation in einem gemeinsamen Erfolgsplan

WennSie Ihre Erfolgsfaktoren definiert haben, ist der nächste Schritt, diese in einem gemeinsamen Erfolgsplan zusammenzufassen. Dieser Plan ist an einen funktionierenden Crossplan angepasst, und alle wichtigen Akteure sind an Ihrem Programm beteiligt, einschließlich externer Unterstützung wie Ihrer Schulplattform CSM.

Der Erfolgsplan umfasst:

1. Wertetreiber: Das sind die übertriebenen Unternehmensziele im Zusammenhang mit der Verbesserung der Codesicherheit und der Antwort auf das Warum für Ihr Programm.
2. Aktueller Status: Das begründet die Frage „Wo stehen wir jetzt? “ (z. B. aktuelle Fähigkeiten zum sicheren Programmieren oder bestehende Schulungsprogramme).
3. Zukünftiger (gewünschter) Zustand: Als nächstes dokumentierst du „Wo wollen wir sein? “ und legst fest, wie die Lücke in den Fähigkeiten zum sicheren Programmieren geschlossen werden kann.
4. KPIs/Massnahmen: Das sind die Kennzahlen, der Erfolg und die Show, die mit der Einführung des Programms die Kluft zwischen dem aktuellen und dem zukünftigen Zustand verringern.

Wir empfehlen, mit 1 oder 2 spezifischen Kennzahlen zu beginnen und diese bei Bedarf später zu erweitern. Diese KPIs/Maßnahmen müssen dem S.M.A.R.T.-Prinzip (spezifisch, messbar, zugänglich, relevant, zeitgebunden) entsprechen. Sie sollten leicht nachverfolgbar sein und dürfen nicht beliebig interpretiert werden. Um den Plan in die Tat umzusetzen, ist eine Rechenschaftspflicht auf allen Seiten erforderlich, wobei der Wert und der ROI in regelmäßigen, vereinbarten Bedingungen mit der Führung überprüft werden.

Ihr Programm ist eine sichere Programmierung durch eine kostengünstige Website, um wichtige Geschäftsergebnisse zu überprüfen – ein notwendiger erster Schritt, um das Programm reif zu machen.

Als nächstes Tauchen gehen wir rein Enabler 2: Sponsoring durch Führung um die Schlüsselrolle zu lesen, den Leitfaden zur erfolgreichen Einführung eines sicheren Codierungsprogramms.

Haben Sie weitere Fragen? Kunden können sich an das Account-Team wenden oder support@securecodewarrior.com. Potenzielle Kunden können mit einem Mitglied unseres Vertriebsteams sprechen, indem sie uns hier kontaktieren.