Der Vertrauenswert zeigt den Wert von Initiativen zur Stärkung sicherer Kompetenzen bereits bei der Konzeption.

Eine sichere Möglichkeit, die Sicherheitslage Ihres Unternehmens zu verbessern, besteht darin, die Kompetenzen der Entwickler in Bezug auf bewährte Verfahren für sicheres Codieren zu verbessern, und zwar in einem Rahmen, der Referenzgrundlagen und Referenzpunkte umfasst, die den Entwicklern die spezifischen Lernpfade bieten, die sie benötigen. Sichere Codierung ist jedoch keine einmalige Lösung: Sie muss zu einer Lebenseinstellung werden, die in der DNA einer Organisation verankert ist. Entwickler müssen nicht nur nach links gehen oder links beginnen, sondern auch links bleiben.

Es reicht nicht aus, nur Schulungen anzubieten. Unternehmen müssen sicherstellen, dass die Entwickler das Gelernte vollständig verinnerlicht haben und die Best Practices zu Beginn des Softwareentwicklungslebenszyklus (SDLC) in ihre tägliche Routine integrieren. Sie müssen die Leistung der Entwickler verfolgen und ihre Fortschritte anhand interner Standards und Branchenbenchmarks messen, um den Return on Investment Ihrer Schulungsmaßnahmen effektiv zu bewerten.

Der Vertrauenswert von Secure Code Warrior bietet Einblick in die Leistung jedes einzelnen Entwicklers und fasst die Daten zusammen, um eine Bewertung der Gesamtleistung Ihres Unternehmens zu liefern. Er zeigt die Wirksamkeit von Programmen zur Kompetenzsteigerung auf und identifiziert gleichzeitig Bereiche, in denen Verbesserungen erforderlich sind. Darüber hinaus gewährleistet er die Einhaltung aller gesetzlichen Compliance-Anforderungen, sei es die Datenschutz-Grundverordnung (DSGVO), der Datensicherheitsstandard der Zahlungskartenindustrie (PCI DSS), das kalifornische Gesetz zum Schutz der Privatsphäre von Verbrauchern (CCPA) oder andere.

Unsere Untersuchungen haben gezeigt, dass Schulungen zum Thema sicheres Programmieren funktionieren. Trust Score, das einen Algorithmus verwendet, der auf mehr als 20 Millionen Lern-Datenpunkten basiert, die aus der Arbeit von mehr als 250.000 Lernenden in über 600 Organisationen stammen, zeigt seine Wirksamkeit bei der Reduzierung von Schwachstellen und wie die Initiative noch effektiver gestaltet werden kann.

Schulungen verbessern die Sicherheit, wenn die Entwickler sie erhalten.

Jahrelang schien die Anwendung bewährter Sicherheitsverfahren zu Beginn des SDLC ein Ziel der Softwarebranche zu sein. Es ist gut, dies eines Tages zu erreichen, aber derzeit hat es keine Priorität. Die zunehmende Geschwindigkeit der Softwareentwicklung sowie die Zunahme raffinierter und zerstörerischer Cyberbedrohungen, die häufig auf Software-Schwachstellen abzielen, haben jedoch sicheres Codieren unerlässlich gemacht. Die Cybersecurity and Infrastructure Security Agency (CISA) stellt sicheres Codieren mit ihrer Initiative „Secure by Design“ in den Vordergrund, die sich zu einer internationalen Bewegung entwickelt.

Unsere Untersuchungen haben gezeigt: Es besteht ein klarer Zusammenhang zwischen einem sicheren Ansatz bereits in der Entwurfsphase und der Verringerung von Software-Schwachstellen. Wir haben die Daten zur Reduzierung von Schwachstellen von 26 % der Kunden von SCW analysiert und festgestellt, dass die Schulung von Entwicklern zu einer Reduzierung der Software-Schwachstellen um 22 % bis 84 % führte. Diese Spanne ergab sich aus Variablen wie der Größe der beteiligten Unternehmen (kleine Unternehmen mit relativ wenigen Entwicklern erzielten spektakulärere Ergebnisse) und der Frage, ob sich eine Lerngruppe auf ein bestimmtes Problem konzentrierte, wodurch ein höherer Prozentsatz an Schwachstellen beseitigt wurde.

Die Ergebnisse bei den großen Unternehmen waren recht einheitlich. Unternehmen mit 7.000 oder mehr Entwicklern können dank der Stärkung der Sicherheitskompetenzen ihrer Entwickler mit einer Verringerung der Schwachstellen um 47 % bis 53 % rechnen. Beispielsweise verzeichnete ein statistisch durchschnittliches Unternehmen mit mehr als 10.000 Entwicklern (das weder das leistungsstärkste auf der Plattform noch eines der leistungsstärksten Unternehmen ist) eine Verringerung seiner Schwachstellen um 53 %.

Natürlich basiert die effektivste Schulung nicht auf einem globalen und universellen Ansatz. Sie muss an die Arbeitsumgebung der Entwickler und die Art der von ihnen durchgeführten Entwicklungen angepasst sein.

Unternehmen sollten damit beginnen, ihren Entwicklern die grundlegenden Kompetenzen zu vermitteln, die sie benötigen, um sicheres Programmieren so selbstverständlich zu machen wie das einfache Schreiben von Code. Programme zur Kompetenzstärkung sollten aus praktischen und agilen Schulungen bestehen, die reale Szenarien widerspiegeln, die der Art ihrer Arbeit und den von ihnen verwendeten Sprachen entsprechen. Außerdem sollten sie flexibel genug sein, um die Schulungen in den Arbeitsalltag der Mitarbeiter zu integrieren.

Für Entwickler beschränken sich die Kompetenzen nicht nur auf das Schreiben von Code. Sie müssen in der Lage sein, Software zu überprüfen, die von KI-Assistenten und Dritten, wie beispielsweise Open-Source-Repositorys, erstellt wurde. Entwickler haben sich dafür entschieden, generative KI-Modelle nicht zu verwenden, und sie haben im Allgemeinen deren Vorteile begrüßt, da sie ihnen helfen, schneller mehr Code zu erstellen. Obwohl 76 % der Befragten einer Snyk-Umfrage angaben, dass KI-generierter Code sicherer sei als von Menschen erstellter Code, gaben 56,4 % dennoch an, dass KI manchmal oder häufig Fehler einführt. Die gleiche Umfrage ergab, dass 80 % der Entwickler die Sicherheitsrichtlinien für KI-Code nicht anwenden, was darauf hindeutet, dass die Code-Probleme im KI-Code nicht gelöst werden.

Im Rahmen eines sicheren Ansatzes bereits bei der Konzeption werden die Entwickler, die mit den Sicherheitsteams zusammenarbeiten, anstatt getrennt von ihnen, diese Probleme bereits zu Beginn des SDLC angehen, indem sie Schwachstellen identifizieren und beheben, bevor der Code in Produktion geht.

Der Trust Score misst die individuelle Leistung und die Leistung des Unternehmens.

Es ist ebenfalls unerlässlich, dass die Schulungen kontinuierlich stattfinden. Unternehmen müssen eine sicherheitsorientierte Kultur einführen, die überall gilt, von den höchsten Ebenen des Unternehmens bis hin zu den untersten Ebenen. Der Schwerpunkt sollte auf der kontinuierlichen Verbesserung und der Anwendung bewährter Sicherheitsverfahren im gesamten SDLC liegen. Die Technologie und die Cyberkriminellen entwickeln sich ständig weiter, ebenso wie die Cybersicherheit. Für Unternehmen, die Software produzieren, sind in Sicherheit geschulte Entwickler die Grundlage.

Deshalb ist es genauso wichtig, die Wirksamkeit der Schulung nachzuweisen wie die Schulung selbst. Trust Score bietet nicht nur Einblick in die Leistung einzelner Entwickler und der Organisation als Ganzes, sondern ermöglicht es Unternehmen auch, Leistungsdaten zu analysieren, um sich auf bestimmte Sprachen, Entwicklerteams oder Softwarekategorien zu konzentrieren. Anhand der Daten aus den individuellen und aggregierten Leistungsergebnissen lassen sich auch Bereiche identifizieren, in denen die Schulung verbessert werden muss, beispielsweise wenn sie nicht die gewünschte Wirkung auf die tägliche Leistung der Entwickler hat.

Trust Score ermöglicht es Unternehmen, die Leistung von Entwicklern zu bewerten und zu bestätigen, dass sie die erforderlichen Sicherheitskompetenzen erworben haben und anwenden, indem sie sicherstellen, dass sie ihre Code-Lizenz erhalten haben. So können Unternehmen qualifizierten Entwicklern vertrauensvoll Zugriff auf ihre sensibelsten Daten und kritischen Softwareprojekte gewähren, während sie denjenigen, die noch nicht bereit sind, die Tools zu nutzen, diesen Zugriff verweigern.

Nachweis der Entwicklung der Sicherheitskultur

Cybersicherheit ist nicht mehr nur eine Frage der Sicherheit. Es handelt sich um ein geschäftliches Problem, das die Integrität des wertvollsten Vermögenswerts vieler Unternehmen betrifft: ihre Daten. Eine schwerwiegende Verletzung beeinträchtigt die Geschäftstätigkeit, den Ruf und möglicherweise sogar die Existenzfähigkeit eines Unternehmens. Die Bedeutung der Cybersicherheit ist auch den Aufsichtsbehörden nicht entgangen, die immer strengere Vorschriften erlassen und sich bereit gezeigt haben, gegen RSSI und möglicherweise auch andere Mitglieder der Geschäftsleitung vorzugehen, bis hin zur Einleitung strafrechtlicher Verfahren, wie in den Fällen Uber und Solar Winds.

Die Einführung einer unternehmensweiten Sicherheitskultur ist im aktuellen Umfeld unerlässlich. Und da der Wert eines Unternehmens weitgehend auf seinen Daten, Anwendungen und Diensten basiert, ist sicheres Programmieren ein zentraler Bestandteil dieser Kultur. Gezielte Schulungen und Kompetenzstärkung im Rahmen einer kulturellen Denkweise sowie der Nachweis, dass die Schulungen zu einer Veränderung der Kultur beigetragen haben, können Unternehmen dabei helfen, ihre Sicherheitslage zu verbessern.

Von Entwicklern gesteuerte Sicherheitsprogramme sind wertvoll. Der Beweis dafür findet sich im Vertrauenswert.