Die Vertrauensbewertung zeigt den Wert von Initiativen zur Verbesserung sicherer Fähigkeiten durch Design.

Eine sichere Möglichkeit, die Sicherheitslage Ihres Unternehmens zu verbessern, besteht darin, Entwickler in bewährten Verfahren für sicheres Codieren zu schulen, die in einem Rahmen angeboten werden, der Basislinien und Referenzpunkte umfasst, die Entwicklern die spezifischen Lernwege bieten, die sie benötigen. Sicheres Codieren ist jedoch keine einmalige Angelegenheit: Es muss zu einer Lebenseinstellung werden, die in der DNA eines Unternehmens verankert ist. Entwickler müssen nicht nur nach links gehen oder links beginnen, sondern auch links bleiben.

Es reicht nicht aus, nur Schulungen anzubieten. Unternehmen müssen sicherstellen, dass die Entwickler das Gelernte vollständig verinnerlicht haben und die Best Practices zu Beginn des Softwareentwicklungslebenszyklus (SDLC) als Teil ihrer täglichen Routine befolgen. Es ist notwendig, die Leistung der Entwickler zu überwachen und ihre Fortschritte anhand interner Standards und Branchenbenchmarks zu messen, um den ROI der Investition in Schulungen effektiv zu bewerten.

Sicherheitscode: Warrior's Trust Score bietet Einblick in die Leistung einzelner Entwickler und fasst die Daten zusammen, um eine Bewertung der Gesamtleistung Ihres Unternehmens zu ermöglichen. Er zeigt die Wirksamkeit von Programmen zur Verbesserung der Fähigkeiten und identifiziert gleichzeitig Bereiche, in denen Verbesserungen erforderlich sind. Darüber hinaus trägt er dazu bei, die Einhaltung einer Reihe von Compliance-Anforderungen sicherzustellen, unabhängig davon, ob diese aus der Datenschutz-Grundverordnung (DSGVO), dem Datensicherheitsstandard der Zahlungskartenindustrie (PCI DSS), dem kalifornischen Verbraucherschutzgesetz (CCPA) oder anderen Vorschriften stammen.

Unsere Untersuchungen haben gezeigt, dass Schulungen zum Thema sicherer Code funktionieren. Trust Score, das einen Algorithmus verwendet, der auf mehr als 20 Millionen Lern-Datenpunkten basiert, die aus der Arbeit von mehr als 250.000 Schülern aus über 600 Organisationen gewonnen wurden, zeigt seine Wirksamkeit bei der Reduzierung von Schwachstellen und wie die Initiative noch effektiver gestaltet werden kann.

Schulungen verbessern die Sicherheit, wenn die Entwickler sie verstehen.

Jahrelang schien die Anwendung bewährter Sicherheitsverfahren zu Beginn des SDLC ein Wunschtraum der Softwarebranche zu sein, etwas Fantastisches für die Zukunft, aber keine Priorität für die Gegenwart. Die zunehmende Geschwindigkeit der Softwareentwicklung in Verbindung mit der rasanten Zunahme ausgeklügelter und zerstörerischer Cyberbedrohungen, die sich häufig auf die Schwachstellen von Software konzentrieren, haben jedoch dazu geführt, dass sicheres Codieren unerlässlich geworden ist. Die Cybersecurity and Infrastructure Security Agency (CISA) rückt sicheres Codieren mit ihrer Initiative „Secure Design” in den Vordergrund, die sich zu einer internationalen Bewegung entwickelt.

Unsere Untersuchungen haben gezeigt: Der Zusammenhang zwischen einem sicheren Designansatz und der Reduzierung von Software-Schwachstellen ist eindeutig. Wir haben die Daten zur Reduzierung von Schwachstellen von 26 % des Kundenstamms von SCW analysiert und festgestellt, dass die Schulung der Entwickler zu einer Reduzierung der Software-Schwachstellen um 22 bis 84 % geführt hat. Diese Spanne war auf Variablen wie die Größe der teilnehmenden Unternehmen zurückzuführen (kleinere Unternehmen mit relativ wenigen Entwicklern erzielten spektakulärere Ergebnisse) und darauf, ob sich eine Lerngruppe auf ein bestimmtes Problem konzentrierte, wodurch ein höherer Prozentsatz an Fehlern beseitigt werden konnte.

Die Ergebnisse bei den großen Unternehmen waren recht konsistent. Unternehmen mit 7000 oder mehr Entwicklern können davon ausgehen, dass die Schwachstellen um 47 bis 53 % reduziert werden, wenn die Entwickler ihre Sicherheitskompetenzen verbessern. Beispielsweise verzeichnete ein Unternehmen mit durchschnittlich mehr als 10.000 Entwicklern (das weder die beste Leistung auf der Plattform noch den höchsten Referenzindex erzielte) eine Verringerung seiner Schwachstellen um 53 %.

Natürlich ist die effektivste Schulung nicht für alle gleich. Sie muss an die Arbeitsumgebung der Entwickler und die Art der Entwicklung, die sie durchführen, angepasst werden.

Unternehmen sollten zunächst die grundlegenden Fähigkeiten festlegen, über die Entwickler verfügen müssen, damit das Schreiben von sicherem Code für sie so selbstverständlich wird wie das einfache Schreiben von Code. Weiterbildungsprogramme sollten aus praktischen und agilen Schulungen in realen Situationen bestehen, die auf die Art der Arbeit und die verwendeten Sprachen zugeschnitten sind. Darüber hinaus sollten sie flexibel genug sein, um die Schulungen an die Arbeitszeiten anzupassen.

Für Entwickler umfasst das Kompetenzspektrum mehr als nur das Schreiben von Code. Sie müssen in der Lage sein, die von KI-Assistenten und Dritten, wie beispielsweise Open-Source-Repositorys, erstellte Software zu überprüfen. Entwickler haben generative KI-Modelle eifrig genutzt und im Allgemeinen deren Vorteile gelobt, da sie ihnen helfen, schneller mehr Code zu erstellen. Obwohl 76 % der Befragten der Snyk-Umfrage angaben, dass KI-generierter Code sicherer sei als von Menschen erstellter Code, gaben 56,4 % weiterhin an, dass KI manchmal oder häufig Fehler einführt. Dieselbe Umfrage ergab, dass 80 % der Entwickler keine Sicherheitsrichtlinien in Bezug auf KI-Code anwenden, was darauf hindeutet, dass Probleme im Zusammenhang mit KI-Code nicht angegangen werden.

Mit einem sicheren Designansatz werden die Entwickler (die mit den Sicherheitsteams zusammenarbeiten, anstatt von ihnen getrennt zu sein) diese Probleme in den frühen Phasen des SDLC angehen und Fehler identifizieren und beheben, bevor der Code in Produktion geht.

Der Vertrauenswert misst die individuelle und unternehmerische Leistung.

Es ist auch von grundlegender Bedeutung, dass die Schulungen kontinuierlich stattfinden. Unternehmen müssen eine Kultur etablieren, die Sicherheit priorisiert und überall angewendet wird, von den höchsten Ebenen des Unternehmens bis hin zu den untersten Ebenen. Der Fokus sollte auf kontinuierlicher Verbesserung und der Anwendung von Best Practices für Sicherheit im gesamten SDLC liegen. Technologie und Cyberkriminelle entwickeln sich ständig weiter, und das sollte auch für die Cybersicherheit gelten. Für Unternehmen, die Software produzieren, sind in Sicherheit geschulte Entwickler die Grundlage.

Deshalb ist es genauso wichtig zu zeigen, dass sich die Schulung effektiv etabliert hat, wie die Schulung selbst. Trust Score bietet nicht nur Einblick in die Leistung einzelner Entwickler und der Organisation insgesamt, sondern ermöglicht es Unternehmen auch, Leistungsdaten detailliert zu analysieren, um sich auf bestimmte Sprachen, Entwicklerteams oder Softwarekategorien zu konzentrieren. Die Daten zu individuellen und aggregierten Leistungsergebnissen helfen auch dabei, Bereiche zu identifizieren, in denen die Schulung verbessert werden muss, beispielsweise wenn sie nicht die gewünschte Wirkung auf die tägliche Leistung der Entwickler hat.

Trust Score hat es Unternehmen ermöglicht, die Leistung von Entwicklern zu bewerten und zu überprüfen, ob sie die erforderlichen Sicherheitskenntnisse erworben haben (und anwenden), um sicherzustellen, dass sie sich die Berechtigung zum Programmieren verdient haben. Damit können Unternehmen qualifizierten Entwicklern vertrauensvoll Zugriff auf ihre vertraulichsten Daten und wichtigsten Softwareprojekte gewähren, während sie denjenigen den Zugriff verweigern, die die Tools zwar nutzen, aber noch nicht bereit sind, sie anzuwenden.

Test einer sich wandelnden Sicherheitskultur

Cybersicherheit ist nicht mehr nur ein Sicherheitsproblem. Es handelt sich um ein unternehmerisches Problem, das die Integrität des wertvollsten Vermögenswerts vieler Organisationen betrifft: ihre Daten. Ein schwerwiegender Verstoß beeinträchtigt den Betrieb, den Ruf und möglicherweise die Existenzfähigkeit einer Organisation. Die Bedeutung der Cybersicherheit ist auch den Aufsichtsbehörden nicht entgangen, die immer strengere Vorschriften erlassen haben und ihre Bereitschaft gezeigt haben, rechtliche Schritte gegen CISOs und möglicherweise auch gegen andere Mitglieder der Geschäftsleitung einzuleiten, bis hin zur Erhebung strafrechtlicher Anklagen, wie in den Fällen Uber und Solar Winds.

Die Einführung einer unternehmensweiten Sicherheitskultur ist im aktuellen Umfeld unerlässlich. Und da ein Großteil des Wertes eines Unternehmens in seinen Daten, Anwendungen und Diensten liegt, ist sichere Codierung ein grundlegender Bestandteil dieser Kultur. Spezifische Schulungen und die Verbesserung von Kompetenzen als Teil einer kulturellen Mentalität sowie der Nachweis, dass die Schulungen zu einer Veränderung der Kultur beigetragen haben, können Unternehmen dabei helfen, ihre Sicherheitsmaßnahmen zu stärken.

Von Entwicklern initiierte Sicherheitsprogramme sind wertvoll. Der Beweis dafür ist die Vertrauenswürdigkeit.