Moderator 1: Definierte und messbare Erfolgskriterien

Wir beginnen unsere eingehende Untersuchung der 10 Erfolgsfaktoren mit dem grundlegenden Schritt des ersten Erfolgsfaktors: Definierte und messbare Erfolgskriterien. Wenn ein Programm für sicheres Codieren eine Reise ist, besteht der erste und wichtigste Schritt darin, genau zu wissen, wohin Sie gehen. Das ist der Kern des ersten Erfolgsfaktors.

Die Erfolgskriterien mit den Geschäftsergebnissen verknüpfen

Die Erstellung eines wirksamen Programms für sicheres Codieren erfordert klare Ziele, die eng mit den Geschäftsergebnissen verknüpft sind. Enabler 1 beantwortet die grundlegenden Fragen: „Was ist, in ganz konkreten und messbaren Begriffen, das Problem oder die Herausforderung, die wir mit unserem Programm für sicheres Codieren lösen wollen?“

Vielleicht möchte Ihr Unternehmen Compliance-Anforderungen erfüllen oder Sicherheitslücken und Cyberangriffe vermeiden. Oder vielleicht möchten Sie als Unternehmen einen Neuanfang machen, Kosten und Nachbearbeitungszeiten reduzieren, indem Sie Entwickler darin schulen, von Anfang an sicher zu programmieren.

Unabhängig von Ihren Beweggründen, dem aktuellen Stand Ihrer Organisation oder sogar der von Ihnen gewählten Sicherheits-Schulungsplattform hängt der langfristige Erfolg Ihres Programms weitgehend von der Festlegung klar definierter Ziele ab, die mit den Geschäftszielen verknüpft sind, um die Zustimmung der Mitarbeiter zu gewinnen und einen dauerhaften Erfolg sicherzustellen.

Berücksichtigen Sie bei der Festlegung der Erfolgskriterien die wichtigsten Stakeholder Ihres Programms. Wenn Sie Ihre Sponsoren in der Führungsetage und deren Geschäftsziele kennen, können Sie eine breitere Akzeptanz in allen Abteilungen erreichen.

Erfolg greifbar und messbar machen

Diese Ziele müssen naturgemäß spezifisch auf Ihre Organisation zugeschnitten sein. Sehen Sie sich jedoch diese typischen Geschäftsziele an und überlegen Sie, wie sie Sie zu weiteren Ideen inspirieren könnten:

Risikominderung: Mindern Sie Entwicklerrisiken und reduzieren Sie Schwachstellen, die durch Fehler im Code entstehen. Dazu gehören die Identifizierung von Risiken und die Verringerung der Angriffsfläche von Anwendungen.

Programme zielen häufig auf Kennzahlen wie die Reduzierung und Vermeidung der Schwachstellendichte oder der Schwachstellen-Injektionsrate ab.

Operative Geschwindigkeit: Maximieren Sie die Geschwindigkeit der Produktlieferung, reduzieren Sie die Frustration und Fluktuation der Entwickler und verringern Sie den Zeitaufwand für Nacharbeiten. Schulungen zum Thema sicherer Code sind ein wichtiger Anreiz für Entwickler, da sie ihnen helfen, zeitaufwändige Nacharbeiten an fehlerhaftem Code zu vermeiden, der erst später im Softwareentwicklungszyklus entdeckt wird.

Programme zielen häufig darauf ab, die durchschnittliche Zeit bis zur Behebung (MTTR) von Schwachstellen durch Entwickler zu reduzieren.

Einhaltung gesetzlicher Vorschriften: Erreichen Sie externe Compliance, beispielsweise durch die Einhaltung von Standards wie PCI-DSS (der Schulungen für alle Entwickler vorschreibt, die an Zahlungssystemen arbeiten).

Talent und Vertrauen: Steigern Sie das Engagement und das Bewusstsein für Sicherheit und Schwachstellen innerhalb der Entwicklerorganisation und stärken Sie gleichzeitig das Vertrauen Ihrer Kunden. Für einige Unternehmen tragen sicherheitsbewusste Entwickler dazu bei, sich vom Markt abzuheben.

Programme legen häufig Mindestanforderungen an die Fähigkeiten von Entwicklern fest oder schaffen sogar spezielle Security-Champion-Programme.

Den Erfolg in einem gemeinsamen Erfolgsplan dokumentieren

SobaldSie Ihre Erfolgskriterien definiert haben, besteht der nächste Schritt darin, diese in einem gemeinsamen Erfolgsplan zu dokumentieren. Dieser Plan ist ein gemeinsamer, funktionsübergreifender Plan, an dem alle wichtigen Stakeholder Ihres Programms beteiligt sind, einschließlich externer Unterstützung wie Ihrer CSM-Schulungsplattform.

Der Erfolgsplan enthält:

1. Wertfaktoren: Dazu gehören insbesondere hochrangige Geschäftsziele im Zusammenhang mit der Verbesserung der Codesicherheit und der Beantwortung der Frage „Warum?“ Ihres Programms.
2. Aktueller Stand: Damit wird die Frage „Wo stehen wir derzeit?“ gestellt (z. B. aktuelle Kompetenzen im Bereich sicheres Codieren oder bestehende Schulungsprogramme).
3. Zukünftiger Zustand (gewünscht): Anschließend dokumentieren Sie „Wo wollen wir hin?“ und legen fest, wie die Qualifikationslücke im Bereich sicheres Codieren geschlossen werden soll.
4. KPI/Messgrößen: Dies sind Indikatoren, die den Erfolg anzeigen und zeigen, dass sich die Kluft zwischen dem aktuellen und dem zukünftigen Zustand im Laufe der Programmdurchführung verringert.

Wir empfehlen Ihnen, mit 1 oder 2 spezifischen Indikatoren zu beginnen und diese später bei Bedarf zu erweitern. Diese KPIs/Maßnahmen müssen dem S.M.A.R.T.-Prinzip entsprechen (spezifisch, messbar, erreichbar, relevant, zeitlich begrenzt). Sie sollten leicht zu verfolgen sein und keinen Raum für unklare Interpretationen lassen. Alle Beteiligten sind für die Umsetzung des Plans verantwortlich, wobei in regelmäßigen, vereinbarten Abständen gemeinsam mit der Geschäftsleitung der Wert und die Kapitalrendite überprüft werden sollten.

Durch die explizite Definition und Messung dieser Kriterien wird Ihr Programm für sicheres Codieren von einer reinen Kostenstelle zu einem überprüfbaren Motor für wichtige Geschäftsergebnisse – ein erster notwendiger Schritt, um die Reife des Programms zu erreichen.

Anschließend werden wir uns mit Moderator 2 befassen : Unterstützung durch die Geschäftsleitung, um die Schlüsselrolle zu erörtern, die die Führung bei der erfolgreichen Umsetzung eines Programms für sicheres Codieren spielt.

Haben Sie weitere Fragen? Kunden können sich an das Account-Team oder an support@securecodewarrior.com wenden. Potenzielle Kunden können mit einem Mitglied unseres Vertriebsteams sprechen, indem sie uns hier kontaktieren.