Gold für das Tor: Der rasante Anstieg der Sicherheitscode-Standards von Paysafe

Paysafe ist bestrebt, Finanztransaktionen zu einer vertrauenswürdigen Erfahrung zu machen, und ist sich bewusst, dass die Erfüllung grundlegender Compliance-Standards nicht ausreicht, um eine sichere und nahtlose Plattform für Transaktionen mit einem jährlichen Volumen von über 152 Milliarden US-Dollar bereitzustellen.In den letzten vier Jahren hat Paysafe durch seine Partnerschaft mit Secure Code Warrior einen ganzheitlichen Ansatz für das Risikomanagement von Entwicklern vorangetrieben. Das Anwendungssicherheitsprogramm des Unternehmens hat sich positiv auf die folgenden geschäftlichen Anforderungen ausgewirkt:

Aufgabe: Verbesserung der Sicherheitscode-Standards für Paysafe insgesamt

Als multinationaler Online-Zahlungsanbieter hat Paysafe sicheres Codieren stets als strategische Priorität betrachtet, die über die bloße Erfüllung der PCI-DSS-Compliance-Anforderungen hinausgeht. Formelle Präsenzschulungen durch Experten und Kompetenzbewertungen waren Teil der ersten Maßnahmen, aberdas Ziel von Paysafe war es jedoch stets, den Umfang und die Reichweite der Initiative für sicheres Codieren kontinuierlich zu erweitern, um einen erstklassigen Ansatz für die Anwendungssicherheit zu gewährleisten und sicherzustellen, dass Ingenieure von Anfang an sicheren Code erstellen können.

„Für uns ging es bei der Bereitstellung von Schulungen nicht nur darum, eine Checkliste abzuarbeiten. Unser Ziel ist es, die Mitarbeiter stets über den aktuellen Stand der Entwicklung zu informieren. Wir sind ständig bestrebt, uns zu verbessern und mehr zu leisten. Wir möchten, dass das Engineering-Team und das Sicherheitsteam zusammenarbeiten. Ein Team, das selbst entwickeln kann, erhält mehr Informationen und kann besseren Code entwerfen“, sagt Boyan Hristov, Partner für Personalentwicklung bei Paysafe.

Die Vision von Paysafe war es, das Sicherheitsbewusstsein zu stärken und sicherheitsbewusste Ingenieure auszubilden, die sichere Codierungspraktiken in alle Phasen des Softwareentwicklungslebenszyklus integrieren. Um dies zu unterstützen, war nicht nur die Bereitstellung von Audit-Nachweisen für die PCI-Compliance erforderlich,ein skalierbares, attraktives und kontinuierliches Programm erforderlich, das einen tiefgreifenden und dauerhaften kulturellen Wandel fördert. Dazu gehörten gamifizierte Lernerfahrungen, regelmäßige Turniere und fortlaufende Schulungen, um Entwickler anzusprechen und sie dazu zu motivieren, an der Spitze der Sicherheitstrends der Branche zu bleiben.

Lösung: Ein hochmoderner Ansatz durch sichere Code-Krieger

Paysafe hat die Entwickler-Risikomanagement-Plattform Secure Code Warrior eingeführt, um sichere Codierungspraktiken zu fördern, das Engagement der Ingenieure zu stärken und die Integration von Sicherheitsmaßnahmen in frühen Phasen des Entwicklungszyklus zu unterstützen. Das Security-Champion-Programm des Unternehmens wurde im Laufe der Zeit erweitert, und Secure Code Warrior hat eine wichtige Rolle bei der Erreichung der Ziele zur Verhinderung von Cyberrisiken gespielt.

Paysafe ermöglichte es Entwicklern, sich organisch mit der Plattform zu verbinden, und förderte die Teilnahme und Begeisterung der Entwickler, indem es gamifizierte Aktivitäten wie Turniere mit attraktiven Preisen anbot. Als das Programm erstmals gestartet wurde, waren einige Bewertungen erforderlich, um die PCI-Compliance-Anforderungen zu erfüllen, und es wurden optional weitere Inhalte und Aktivitäten angeboten.

Mit zunehmender Dynamik des Programms stellte die Geschäftsleitung weitere Unterstützung bereit und stimmte die Ziele des Entwicklungsteams und des Teams für Informationssicherheit noch besser aufeinander ab. Dadurch konnte das Paysafe-Team das Programm auf die nächste Stufe heben und ein formelleres Zertifizierungsprogramm mit festgelegten KPIs und Erfolgsanreizen einführen.

In der nächsten Phase des Programms haben wir uns auf die Themen der OWASP Top 10 konzentriert und eine Zertifizierungsstufe eingeführt, in der Entwickler verschiedene Leistungsstufen erreichen können. Das Programm hat nun eine neue Dimension und Reife erreicht, und die Basisstandards für Entwickler, von festangestellten bis hin zu Leiharbeitern, wurden umfassend angehoben.

„Wir schätzen die Partnerschaft, die wir in den letzten vier Jahren mit SCW aufgebaut haben, sehr. Alan Osborne, Chief Information Security Officer bei Paysafe, sagt: „Dies wurde durch unser gemeinsames Engagement unterstützt, sicheren Code zum ersten Mal im SDLC zu entwickeln und dies so früh wie möglich zu tun. So konnten wir gezielte Anwendungssicherheitsschulungen anbieten und eine stärkere Beziehung zwischen dem Sicherheitsteam und dem Engineering-Team aufbauen.“

Durch die kontinuierliche Unterstützung und Zusammenarbeit mit CISO, CTO und Führungskräften aus dem Bereich Engineering hat Paysafe in Zusammenarbeit mit Secure Code Warrior das Programm kontinuierlich weiterentwickelt. Heute ist das Programm eng mit den geschäftlichen Anforderungen verknüpft, liefert sichtbare Ergebnisse und ist für die internen Teams nach wie vor relevant und attraktiv.

Ergebnis: Neue Standards für die Umsetzung sicherer Codes in der gesamten Organisation

Die Bemühungen von Paysafe um Anwendungssicherheit wurden vor vier Jahren begonnen und seitdem kontinuierlich verbessert. Durch die Partnerschaft mit Secure Code Warrior hat Paysafe gezeigt, dass ein ganzheitlicher Ansatz für das Risikomanagement von Entwicklern einen enormen Einfluss auf das gesamte Unternehmen haben kann.

Die Analyse der SAST-Scan-Daten durch Paysafe ergab, dass bei den von Teams, die mit Secure Code Warrior geschult wurden, entwickelten Anwendungen die Anzahl der in der frühen Entwicklungsphase durch Scans erkannten Schwachstellen deutlich zurückging. Die Anzahl der bei ersten Scans gefundenen Schwachstellen sank bei Teams, deren Entwickler sich aktiv mit der SCW-Plattform befassten, noch weiter.

Die Teams mit den höchsten Aktivitäts- und Engagementwerten von Secure Code Warrior verzeichneten im Vergleich zum Vorjahr einen deutlichen Rückgang der in der frühen Entwicklungsphase gefundenen Schwachstellen.Dies verdeutlichte den Mehrwert kontinuierlicher, kompetenzbasierter Schulungen zur Stärkung sicherer Programmiergewohnheiten. Durch die Erstellung sicherer Codes von Anfang an konnten ihr Team und andere Teams, die zum SDLC gehören, erheblich Zeit sparen. Durch die Vermeidung von Schwachstellen in der frühen Entwicklungsphase mussten keine Code-Schwachstellen mehr identifiziert, dokumentiert und behoben werden, wodurch Tausende von Entwicklungsstunden eingespart werden konnten.Infolgedessen stieg die Produktivität der Entwickler um 45 %, was die Vorteile der Verbesserung der Fähigkeiten im Bereich sicheres Codieren und der täglichen Entwicklungsprozesse deutlich machte. Davon profitieren sowohl das Engineering-Team als auch das Anwendungssicherheitsteam.

Durch sein engagiertes Engagement für den Secure Code hat sich Paysafe einen Namen gemacht und belegt nun Platz 4 im^{SCW Trust Score®-Ranking für Banken und Finanzdienstleister} . Dies ist ein Ergebnis, auf das das Unternehmen stolz ist, doch das Engagement von Paysafe für die Secure Code Initiative geht noch weiter. Paysafe ist durch die Ergebnisse, die durch die Partnerschaft mit Secure Code Warrior erzielt wurden, motiviert und strebt eine weitere Verbesserung des Programms an.

Alan Osborne, Chief Information Security Officer bei Paysafe, sagt: „Dank Secure Code Warrior konnten wir die Produktivität unserer Entwickler steigern, die Markteinführung von Produkten und Verbesserungen beschleunigen und im Laufe der Zeit Kosten und Risiken erheblich reduzieren.“„Sicheres Codieren, das durch verbesserte Entwicklerschulungen gefördert wird, ist nicht nur ein nettes Extra, sondern eine bewährte Investition, die einen echten ROI erzielt und gleichzeitig die Fähigkeiten, Erfahrungen und Kompetenzen der Entwickler stärkt.“

Als Nächstes strebt Paysafe an, die Sicherheitsstandards weiter zu verbessern, indem zusätzliche Governance- und Risikomanagementmaßnahmen in die Prozesse integriert werden. SCW Trust Agent vertieft seine langjährige Partnerschaft mit Secure Code Warrior und demonstriert damit sein Engagement für herausragende Leistungen im Bereich Cybersicherheit.