Enabler 1: Definierte und messbare Erfolgskriterien

Wir beginnen mit einer eingehenden Untersuchung der 10 grundlegenden Faktoren für den Erfolg. Der erste Faktor ist: Definierte und messbare Erfolgskriterien. Wenn das Secure-Coding-Programm mit einer Reise verglichen werden kann, dann ist der erste und wichtigste Schritt, genau zu wissen, wohin man reisen möchte. Das ist der Kern des ersten Faktors.

Erfolgskriterien mit Geschäftsergebnissen verknüpfen

Um ein erfolgreiches Programm für sicheres Codieren aufzubauen, sind klare Ziele erforderlich, die eng mit den Geschäftsergebnissen verknüpft sind. Enabler 1 beantwortet die zentrale Frage: „Was sind die Probleme und Herausforderungen, die mit dem Programm für sicheres Codieren gelöst werden sollen, in sehr konkreten und messbaren Begriffen?“

Vermutlich sucht Ihr Unternehmen nach Möglichkeiten, um Compliance-Anforderungenzu erfüllenoder Sicherheitsverletzungen und Cyberangriffe zu vermeiden. Oder vielleicht möchten Sie als Unternehmen von Grund auf neu beginnen, um die Kosten und den Zeitaufwand für Nachbesserungen zu reduzieren und Ihre Entwickler so zu schulen, dass sie von Anfang an sicher programmieren können.

Unabhängig von der Motivation, der aktuellen Situation der Organisation oder der gewählten Sicherheits-Schulungsplattform hängt der langfristige Erfolg des Programms in hohem Maße davon ab, dass klare Ziele festgelegt werden, die mit den Geschäftszielen verknüpft sind, um Zustimmung zu gewinnen und dauerhaften Erfolg sicherzustellen.

Berücksichtigen Sie bei der Festlegung der Erfolgskriterien die wichtigsten Stakeholder Ihres Programms. Wenn Sie Ihre Sponsoren in der Führungsetage und deren Geschäftsziele kennen, können Sie eine breitere Akzeptanz in allen Abteilungen erreichen.

Erfolg konkret und messbar machen

Diese Ziele müssen aufgrund ihrer Natur organisationsspezifisch sein. Dennoch sollten Sie die folgenden typischen Geschäftsziele überprüfen und überlegen, wie sie neue Ideen hervorbringen können.

Risikominderung: Mindern Sie Entwicklerrisiken und reduzieren Sie Schwachstellen, die durch Fehler im Code entstehen. Dazu gehören die Identifizierung von Risiken und die Verringerung der Angriffsfläche von Anwendungen.

Programme zielen häufig auf Kennzahlen wie die Reduzierung und Vermeidung der Schwachstellendichte oder der Schwachstellen-Injektionsrate ab.

Operative Geschwindigkeit: Maximieren Sie die Geschwindigkeit der Produktlieferung, reduzieren Sie die Frustration und Fluktuation der Entwickler und verringern Sie den Zeitaufwand für Nacharbeiten. Schulungen zum Thema sicherer Code sind ein wichtiger Anreiz für Entwickler, da sie ihnen helfen, zeitaufwändige Nacharbeiten an fehlerhaftem Code zu vermeiden, der erst später im Softwareentwicklungszyklus entdeckt wird.

Programme zielen häufig darauf ab, die durchschnittliche Zeit bis zur Behebung (MTTR) von Schwachstellen durch Entwickler zu reduzieren.

Einhaltung gesetzlicher Vorschriften: Erreichen Sie externe Compliance, beispielsweise durch die Einhaltung von Standards wie PCI-DSS (der Schulungen für alle Entwickler vorschreibt, die an Zahlungssystemen arbeiten).

Talent und Vertrauen: Steigern Sie das Engagement und das Bewusstsein für Sicherheit und Schwachstellen innerhalb der Entwicklerorganisation und stärken Sie gleichzeitig das Vertrauen Ihrer Kunden. Für einige Unternehmen tragen sicherheitsbewusste Entwickler dazu bei, sich vom Markt abzuheben.

Programme legen häufig Mindestanforderungen an die Fähigkeiten von Entwicklern fest oder schaffen sogar spezielle Security-Champion-Programme.

Dokumentation des Erfolgs im gemeinsamen Erfolgsplan

Nachdem die Erfolgskriterien definiert wurden, besteht der nächste Schritt darin, diese Kriterien in einem gemeinsamen Erfolgsplanzu dokumentieren. Dieser Plan ist ein Entwurf, der mit den wichtigsten Stakeholdern des Programms und über Abteilungsgrenzen hinweg geteilt wird, einschließlich externer Unterstützung wie der Schulungsplattform CSM.

Der Erfolgsplan umfasst Folgendes:

1. Wertetreiber: Dazu gehören allgemeine Geschäftsziele wie die Verbesserung der Codesicherheit und die Beantwortung der Frage nach dem „Grund“ für das Programm.
2. Aktueller Stand: Damit wird festgestellt, wo wir derzeit stehen (z. B. aktuelle Kenntnisse im Bereich sicheres Programmieren und vorhandene Schulungsprogramme).
3. Zukünftiger (wünschenswerter) Zustand: Als Nächstes halten Sie fest, „wo wir hinwollen“. Machen Sie dann deutlich, wie Sie die Lücken in Ihren Secure-Coding-Fähigkeiten schließen wollen.
4. KPI / Major: Diese sind Indikatoren für den Erfolg und zeigen, dass sich die Lücke zwischen dem aktuellen und dem zukünftigen Zustand mit der Entwicklung des Programms verringert.

Es wird empfohlen, mit einem oder zwei spezifischen Kennzahlen zu beginnen und diese bei Bedarf später zu erweitern.Diese KPIs/Maßnahmen müssen den S.M.A.R.T.-Prinzipien (spezifisch, messbar, erreichbar, relevant, terminiert) entsprechen. Sie müssen leicht nachverfolgbar sein und keine vagen Interpretationen zulassen. Um den Plan in die Tat umzusetzen, ist eine umfassende Rechenschaftspflicht erforderlich, und es ist notwendig, gemeinsam mit den Führungskräften regelmäßig und in vereinbarten Abständen den Wert und den ROI zu überprüfen.

Durch die explizite Definition und Messung dieser Kriterien wird das Secure-Coding-Programm von einer reinen Kostenstelle zu einem nachweisbaren Motor für wichtige Geschäftsergebnisse. Dies ist der erste Schritt, der erforderlich ist, um das Programm ausgereift zu gestalten.

Als Nächstes werde ich näher darauf eingehen. Enabler 2: Senior Leadership Sponsorship Wir werden die wichtige Rolle der Führung bei der erfolgreichen Umsetzung des Secure Coding Programms diskutieren.

Haben Sie weitere Fragen?Kunden können sich an das Account-Team wenden oder eine E-Mail an support@securecodewarrior.comsenden. Interessenten können sich an uns wenden, um mit einem Mitglied unseres Vertriebsteams zu sprechen. Hier.