Habilitador 1: Definierte und messbare Erfolgskriterien

Wir beginnen unsere eingehende Betrachtung der 10 Erfolgsfaktoren mit dem grundlegenden Schritt des ersten Erfolgsfaktors: Definierte und messbare Erfolgskriterien. Wenn ein sicheres Programmierprogramm eine Reise ist, dann ist der erste und wichtigste Schritt, genau zu wissen, wohin die Reise geht. Das ist der Kern des ersten Erfolgsfaktors.

Erfolgskriterien mit den Unternehmensergebnissen verknüpfen

Die Erstellung eines erfolgreichen Programms für sichere Kodierung erfordert klare Ziele, die eng mit den Unternehmensergebnissen verbunden sind. Enabler 1 beantwortet die wichtigsten Fragen: „Was ist, in sehr spezifischen und messbaren Begriffen, das Problem oder die Schwachstelle, die wir mit unserem Programm für sichere Kodierung zu lösen versuchen?“

Vielleicht möchte Ihr Unternehmen Compliance-Anforderungen erfüllen oder Sicherheitslücken und Cyberangriffe vermeiden. Oder vielleicht möchten Sie als Unternehmen einen Neuanfang machen, Kosten und Nachbearbeitungszeit reduzieren, indem Sie Entwickler darin schulen, von Anfang an sicher zu programmieren.

Unabhängig von Ihren Beweggründen, dem aktuellen Stand Ihrer Organisation oder sogar der von Ihnen gewählten Sicherheitsausbildungsplattform hängt der langfristige Erfolg Ihres Programms in hohem Maße davon ab, dass Sie klar definierte Ziele haben, die mit den Unternehmenszielen verknüpft sind, um Akzeptanz zu erreichen und einen dauerhaften Erfolg zu gewährleisten.

Berücksichtigen Sie bei der Festlegung der Erfolgskriterien die wichtigsten Stakeholder Ihres Programms. Wenn Sie Ihre Sponsoren in der Führungsetage und deren Geschäftsziele kennen, können Sie eine breitere Akzeptanz in allen Abteilungen erreichen.

Erfolg greifbar und messbar machen

Diese Ziele müssen naturgemäß spezifisch auf Ihre Organisation zugeschnitten sein. Sehen Sie sich dennoch diese typischen Unternehmensziele an und überlegen Sie, wie sie Sie zu weiteren Ideen inspirieren könnten:

Risikominderung: Mindern Sie Entwicklerrisiken und reduzieren Sie Schwachstellen, die durch Fehler im Code entstehen. Dazu gehören die Identifizierung von Risiken und die Verringerung der Angriffsfläche von Anwendungen.

Programme zielen häufig auf Kennzahlen wie die Reduzierung und Vermeidung der Schwachstellendichte oder der Schwachstellen-Injektionsrate ab.

Operative Geschwindigkeit: Maximieren Sie die Geschwindigkeit der Produktlieferung, reduzieren Sie die Frustration und Fluktuation der Entwickler und verringern Sie den Zeitaufwand für Nacharbeiten. Schulungen zum Thema sicherer Code sind ein wichtiger Anreiz für Entwickler, da sie ihnen helfen, zeitaufwändige Nacharbeiten an fehlerhaftem Code zu vermeiden, der erst später im Softwareentwicklungszyklus entdeckt wird.

Programme zielen häufig darauf ab, die durchschnittliche Zeit bis zur Behebung (MTTR) von Schwachstellen durch Entwickler zu reduzieren.

Einhaltung gesetzlicher Vorschriften: Erreichen Sie externe Compliance, beispielsweise durch die Einhaltung von Standards wie PCI-DSS (der Schulungen für alle Entwickler vorschreibt, die an Zahlungssystemen arbeiten).

Talent und Vertrauen: Steigern Sie das Engagement und das Bewusstsein für Sicherheit und Schwachstellen innerhalb der Entwicklerorganisation und stärken Sie gleichzeitig das Vertrauen Ihrer Kunden. Für einige Unternehmen tragen sicherheitsbewusste Entwickler dazu bei, sich vom Markt abzuheben.

Programme legen häufig Mindestanforderungen an die Fähigkeiten von Entwicklern fest oder schaffen sogar spezielle Security-Champion-Programme.

Den Erfolg in einem gemeinsamen Erfolgsplan dokumentieren

Sobald SieIhre Erfolgskriterien definiert haben, besteht der nächste Schritt darin, diese in einem gemeinsamen Erfolgsplan zu dokumentieren. Dieser Plan ist ein interdisziplinär geteiltes Modell, an dem alle wichtigen Interessengruppen Ihres Programms beteiligt sind, einschließlich externer Unterstützung wie Ihrer CSM-Schulungsplattform.

Der Erfolgsplan enthält:

1. Wertsteigernde Faktoren: Dazu gehören hochrangige Unternehmensziele im Zusammenhang mit der Verbesserung der Codesicherheit und der Beantwortung der Frage „Warum?“ Ihres Programms.
2. Aktueller Stand: Hier wird festgelegt, „wo wir derzeit stehen“ (z. B. aktuelle Fähigkeiten im Bereich sicheres Codieren oder bestehende Schulungsprogramme).
3. Zukünftiger Zustand (gewünscht): Dokumentieren Sie anschließend „Wo wollen wir hin?“ und legen Sie fest, wie die Lücke bei den sicheren Programmierkenntnissen geschlossen werden soll.
4. KPIs/Kennzahlen: Dies sind die Kennzahlen, die den Erfolg zeigen und belegen, dass sich die Lücke zwischen dem aktuellen und dem zukünftigen Zustand mit der Umsetzung des Programms schließt.

Wir empfehlen, mit 1 oder 2 spezifischen Kennzahlen zu beginnen und diese später bei Bedarf zu erweitern. Diese KPIs/Kennzahlen müssen dem S.M.A.R.T.-Prinzip entsprechen (spezifisch, messbar, erreichbar, relevant und zeitgebunden). Sie müssen leicht nachverfolgbar sein und dürfen keinen Raum für vage Interpretationen lassen. Alle Beteiligten müssen zur Umsetzung des Plans Rechenschaft ablegen, wobei in regelmäßigen, vereinbarten Abständen der Wert und die Kapitalrendite mit der Geschäftsleitung überprüft werden müssen.

Durch die explizite Definition und Messung dieser Kriterien wird Ihr Programm für sicheres Codieren von einer reinen Kostenstelle zu einem nachweisbaren Treiber für wichtige Geschäftsergebnisse – ein erster notwendiger Schritt, um die Reife des Programms zu erreichen.

Als Nächstes befassen wir uns mit Enabler 2: Unterstützung durch Führungskräfte, um die Schlüsselrolle der Führung bei der erfolgreichen Umsetzung eines sicheren Programmierprogramms zu analysieren.

Haben Sie weitere Fragen? Kunden können sich an das Account-Team oder an support@securecodewarrior.com wenden. Potenzielle Kunden können mit einem Mitglied unseres Vertriebsteams sprechen, indem sie uns hier kontaktieren.