Warum wir den Faktor Mensch in der Cybersicherheit niemals außer Acht lassen dürfen

Vor kurzem waren wir sehr begeistert, als wir den ersten Beitrag unseres Präsidenten und CEO Pieter Danhieux im Forbes Technology Council live mitverfolgen konnten. Der Beitrag beschrieb, wie die Verbesserung der Fähigkeiten von Entwicklern zur Erstellung sicherer Codes entscheidend zur Verhinderung von Cyberangriffen und Datenlecks beiträgt. Darüber hinaus wurde aufgezeigt, wie genau diese sicherheitsbewussten Entwickler dazu beitragen können, einen besseren und sichereren Code zu liefern, und zwar schneller, als viele IT-Abteilungen glauben. Die Notwendigkeit dieses Ansatzes ist zweifellos dringend. Eine aktuelle Studie hat ergeben, dass mittlerweile alle 39 Sekunden ein Cyberangriff stattfindet, und wir alle haben die Unterbrechung miterlebt, die durch einen einzigen erfolgreichen Ransomware-Angriff auf Colonial Pipeline verursacht wurde, der im Großen und Ganzen nicht so zerstörerisch war wie der Hackerangriff auf SolarWinds.

‍

Es gibt nach wie vor viele gängige Schwachstellen, weil sich niemand die Mühe gemacht hat, den Entwicklern zu zeigen, wie sie mangelhafte Codierungsmuster durch eine bessere Methode ersetzen können, um dieselben Funktionen auf sicherere und geschütztere Weise auszuführen. Darüber hinaus ist die Korrektur von Software in einer fortgeschrittenen Entwicklungsphase extrem kostspielig, sowohl in Bezug auf den Zeitaufwand als auch auf Verzögerungen bei der Implementierung. Die Reparatur des Codes nach der Implementierung, insbesondere nachdem ein Angreifer eine zuvor unentdeckte Schwachstelle ausgenutzt hat, kann manchmal Millionen von Dollar kosten. Und dabei sind die Schäden für den Ruf eines Unternehmens nach einer schwerwiegenden Sicherheitsverletzung noch nicht einmal berücksichtigt.

Entwickler mit einer Ausbildung im Bereich Sicherheit werden ganz natürlich zu besseren Programmierern. Es steht außer Frage, dass CISOs ihre Sicherheitswerkzeuge nicht kurzfristig aufgeben sollten, aber wenn sie einen integrativen und präventiven Sicherheitsansatz von oben verfolgen, können sie die größte Ressource ihres Unternehmens, den Faktor Mensch, nutzen, insbesondere wenn es darum geht, die Codierung von Beginn des Softwareentwicklungszyklus an zu schützen.

Dazu sind die folgenden drei übergeordneten Strategien zu berücksichtigen.

1. Seien Sie proaktiv, nicht reaktiv.

Unternehmen geraten oft in die Falle, reaktiv zu handeln, indem sie beispielsweise auf die Maßnahmen der Konkurrenz reagieren, anstatt eine eigene Vision zu entwickeln und zu verfolgen. Viele Unternehmen verfolgen diesen Ansatz auch standardmäßig, wenn es um Sicherheitslücken im Code geht, und nehmen Cybersicherheit nur dann ernst, wenn sie aufgrund einer erfolgreichen Sicherheitsverletzung dazu gezwungen sind. Leider ist der Schaden dann bereits angerichtet, und Strafen, Wiederherstellungskosten, Kundenverluste und die Wiederherstellung der Marke wirken sich auf die Bilanz aus. Eine weitere Möglichkeit, zu reagieren statt zu handeln, besteht darin, automatische oder manuelle Code-Scans durchzuführen, um Schwachstellen im bestehenden Code zu finden, anstatt sich darauf zu konzentrieren, von Anfang an sicheren Code zu erstellen. Leider ist das Scannen von Code keine perfekte Lösung, was bedeutet, dass je mehr Schwachstellen im Code vorhanden sind, desto größer die Wahrscheinlichkeit ist, dass einige davon übersehen werden.

Nur wenn ein proaktiver Ansatz verfolgt wird und mit den Entwicklern zusammengearbeitet wird, um ihnen zu helfen, von Anfang an sicheren Code zu erstellen, kann ein Softwareentwicklungszyklus etabliert werden, der die Wahrscheinlichkeit, dass Benutzer Schwachstellen im Code entdecken, erheblich verringert.

2. Verbessere deine Fähigkeiten, übertreibe es nicht.

Wenn Sie sich entschließen, Entwicklern das nötige Wissen für die Erstellung sicherer Codes zu vermitteln, wählen Sie Ihren Ansatz mit Bedacht. Interne Schulungsworkshops, die das Programmieren unterbrechen, frustrieren sowohl Entwickler als auch Administratoren. Präsenzkurse, die eine Teilnahme am Abend oder am Wochenende erfordern, sind noch unbeliebter. Der beste Ansatz besteht darin, die Programmierkenntnisse schrittweise zu entwickeln und während des Programmierprozesses Schritt für Schritt relevante Informationen bereitzustellen – im Grunde genommen geht es darum, die Fähigkeiten zu verbessern, ohne die Entwickler wesentlich abzulenken oder den Entwicklungsprozess zu verlangsamen.

3. Anreize, nicht übernehmen

Entwickler sollten die Verbesserung ihrer Sicherheitsfähigkeiten nicht als Strafe oder Belastung betrachten. Manager sollten Entwickler motivieren, indem sie ihnen vermitteln, wie wichtig sicherer Code für den Erfolg des Unternehmens ist. Es ist auch wichtig zu vermitteln, dass sichere Programmierer für das Unternehmen wertvoller sind und in Zukunft bessere Karrierechancen haben werden.

Die Biden-Regierung ist willkommen Die Exekutivverordnung hat den Fokus auf Cybersicherheit und die Notwendigkeit verstärkt, „Kriterien zur Bewertung der Sicherheitspraktiken der Entwickler und Anbieter selbst einzubeziehen und innovative Tools oder Methoden zu identifizieren, um die Einhaltung sicherer Praktiken nachzuweisen”. Tools sind zwar unerlässlich, reichen aber nicht aus. Kein Tool kann vollständig verhindern, dass eine Person die eingerichteten Systeme und Tools ignoriert, falsch interpretiert, missbraucht oder auf andere Weise umgeht. Um die Sicherheit ihrer Unternehmen zu maximieren, müssen CISOs den Faktor Mensch nutzen und Entwickler dazu ermutigen, sich zu Verteidigern und Sicherheitsfachleuten zu entwickeln, die bereit sind, dies zu tun.