Warum man den Faktor Mensch in Sachen Cybersicherheit niemals vernachlässigen darf

Wir haben uns kürzlich sehr darüber gefreut, den ersten Beitrag unseres Vorstandsvorsitzenden Pieter Danhieux im Forbes Technology Council online zu sehen. Der Artikel erklärte, warum die Stärkung der Kompetenzen von Entwicklern zur Erstellung sicherer Codes für die Verhinderung von Cyberangriffen und Datenverstößen unerlässlich ist. Darüber hinaus zeigte er auf, wie diese sicherheitsbewussten Entwickler dazu beitragen können, qualitativ hochwertigere und sicherere Codes zu liefern, und zwar schneller, als viele IT-Abteilungen glauben. Die Notwendigkeit dieses Ansatzes ist zweifellos dringend. Eine aktuelle Studie hat ergeben, dass mittlerweile alle 39 Sekunden ein Cyberangriff stattfindet, und wir alle haben die Störungen miterlebt, die durch einen einzigen erfolgreichen Ransomware-Angriff auf die Colonial Pipeline verursacht wurden, der insgesamt nicht so zerstörerisch war wie der SolarWinds-Hack.

‍

Viele gängige Schwachstellen bestehen weiterhin, weil sich niemand die Mühe gemacht hat, Entwicklern zu zeigen, wie sie schlechte Codierungsmodelle durch eine bessere Methode ersetzen können, um dieselben Funktionen sicherer und geschützter auszuführen. Und die Auswirkungen der Korrektur einer Software in einem fortgeschrittenen Stadium ihrer Entwicklung sind extrem kostspielig, sowohl in Bezug auf den Zeitaufwand als auch auf Verzögerungen bei der Bereitstellung. Die Korrektur des Codes nach seiner Bereitstellung, insbesondere wenn ein Angreifer eine zuvor unentdeckte Schwachstelle ausgenutzt hat, kann manchmal Millionen von Dollar kosten. Dabei ist der Reputationsverlust eines Unternehmens nach einer schwerwiegenden Sicherheitsverletzung noch nicht einmal berücksichtigt.

Entwickler, die in Sicherheitsfragen geschult sind, werden automatisch zu besseren Programmierern. CISOs sollten ihre Sicherheitsinstrumente sicherlich nicht so schnell aufgeben, aber durch einen integrativen und präventiven Sicherheitsansatz von oben können CISOs die größte Ressource ihres Unternehmens, den Faktor Mensch, nutzen, insbesondere wenn es darum geht, die Programmierung bereits zu Beginn des Softwareentwicklungszyklus zu sichern.

Dazu sollten Sie die folgenden drei wichtigsten Strategien im Hinterkopf behalten.

1. Seien Sie proaktiv, nicht reaktiv.

Unternehmen geraten oft in die Falle der Reaktivität, indem sie beispielsweise auf die Maßnahmen der Konkurrenz reagieren, anstatt eine eigene Vision zu entwickeln und zu verfolgen. Viele verfolgen diesen Ansatz auch, wenn es um Sicherheitslücken im Code geht, und nehmen Cybersicherheit erst dann ernst, wenn sie nach einem erfolgreichen Angriff dazu gezwungen sind. Leider ist dann der Schaden bereits angerichtet: Bußgelder, Inkassokosten, Kundenabwanderung und die Wiederherstellung der Marke wirken sich auf das Finanzergebnis aus. Eine weitere Form der Reaktion statt des Handelns besteht darin, sich auf die automatische oder manuelle Analyse des Codes zu verlassen, um Schwachstellen im bestehenden Code zu erkennen, anstatt sich in erster Linie auf die Erstellung von sicherem Code zu konzentrieren. Leider ist die Digitalisierung von Code keine perfekte Lösung, was bedeutet, dass je mehr Schwachstellen der Code enthält, desto größer die Wahrscheinlichkeit ist, dass einige davon übersehen werden.

Nur durch einen proaktiven Ansatz und die Zusammenarbeit mit Entwicklern, um ihnen dabei zu helfen, von Anfang an sicheren Code zu erstellen, können Sie einen Softwareentwicklungslebenszyklus etablieren, der die Wahrscheinlichkeit, dass Schwachstellen im Code an die Benutzer weitergegeben werden, erheblich verringert.

2. Verbessern Sie Ihre Fähigkeiten, übertreiben Sie es nicht.

Sobald Sie sich entschieden haben, den Entwicklern das nötige Wissen für die Erstellung sicherer Codes zu vermitteln, sollten Sie Ihren Ansatz sorgfältig wählen. Interne Schulungsworkshops, die die Codierung unterbrechen, frustrieren sowohl Entwickler als auch Manager. Externe Kurse, die eine Teilnahme am Abend oder am Wochenende erfordern, sind noch unbeliebter. Der beste Ansatz besteht darin, die Programmierkenntnisse schrittweise zu erweitern und relevante Informationen während des Programmierprozesses Schritt für Schritt zu vermitteln – im Wesentlichen geht es darum, die Fähigkeiten zu verbessern, ohne die Entwickler wesentlich abzulenken oder den Entwicklungsprozess zu verlangsamen.

3. Motivieren Sie, vermuten Sie nichts

Entwickler sollten die Verbesserung ihrer Sicherheitskompetenzen nicht als Strafe oder lästige Pflicht betrachten. Die Verantwortlichen müssen die Entwickler motivieren, indem sie ihnen die wichtige Rolle eines sicheren Codes für den Erfolg des Unternehmens verdeutlichen. Es ist auch wichtig zu vermitteln, dass sichere Programmierer für das Unternehmen wertvoller sind und in Zukunft von besseren Karrierechancen profitieren werden.

Die Biden-Regierung wird positiv aufgenommen Exekutivverordnung hat den Schwerpunkt verstärkt auf Cybersicherheit und die Notwendigkeit gelegt, „Kriterien zur Bewertung der Sicherheitspraktiken der Entwickler und Anbieter selbst einzubeziehen und innovative Instrumente oder Methoden zu identifizieren, um die Einhaltung sicherer Praktiken nachzuweisen”. Doch obwohl die Tools unerlässlich sind, reichen sie allein nicht aus. Kein Tool kann vollständig verhindern, dass eine Person die eingerichteten Systeme und Tools ignoriert, falsch versteht, missbraucht oder umgeht. Um die Sicherheit ihrer Unternehmen zu optimieren, müssen CSOs den Faktor Mensch nutzen und Entwickler dazu ermutigen, sich freiwillig für die Sicherheit einzusetzen und diese zu praktizieren.