Warum man den Faktor Mensch in der Cybersicherheit niemals übersehen darf

Wir waren kürzlich sehr begeistert, als wir den ersten Beitrag des Forbes Technology Council sahen, eine Live-Übertragung von Peter Dunhu, dem Vorsitzenden und CEO. In diesem Beitrag wurde ausführlich erläutert, dass die Verbesserung der Fähigkeiten von Entwicklern zur Erstellung sichererer Codes der Schlüssel zur Verhinderung von Cyberangriffen und Datenlecks ist.Darüber hinaus wurde deutlich, wie dieselben sicherheitsbewussten Entwickler schneller als von vielen IT-Abteilungen angenommen besseren und sichereren Code liefern können. Die Notwendigkeit dieses Ansatzes ist zweifellos überzeugend. Jüngste Untersuchungen haben ergeben , dass derzeit alle 39 Sekunden ein Cyberangriff stattfindet undJeder hat erlebt, wie schon ein einziger erfolgreicher Ransomware-Angriff Chaos verursachen kann. Im Großen undGanzen war derColonial-Pipeline-Hack nicht so zerstörerisch wie der SolarWinds-Hack.

‍

Viele allgemeine Schwachstellen bestehen weiterhin, weil niemand den Entwicklern bewusst gezeigt hat, wie sie schlechte Codierungsmuster durch bessere Methoden ersetzen können, um dieselben Funktionen auf sicherere Weise zu realisieren.Außerdem ist die Korrektur von Software in einer späten Entwicklungsphase sowohl hinsichtlich des Zeitaufwands als auch der Verzögerung bei der Einführung mit sehr hohen Kosten verbunden. Nach der Bereitstellung des Codes kann die Korrektur von Code, insbesondere nachdem Angreifer bisher unentdeckte Schwachstellen ausgenutzt haben, Millionen von Dollar kosten. Dabei ist der Schaden für den Ruf des Unternehmens, das von einer schwerwiegenden Sicherheitsverletzung betroffen ist, noch nicht einmal berücksichtigt.

Entwickler, die eine Sicherheitsschulung absolviert haben, werden ganz natürlich zu hervorragenden Programmierern. Natürlich sollten CISOs nicht sofort auf Sicherheits-Tools verzichten, aber durch die Einführung eines integrativen und präventiven Sicherheitsansatzes auf Führungsebene können CISOs die größte Ressource ihres Unternehmens nutzen: den Faktor Mensch. Dies gilt insbesondere für sicheres Programmieren in den frühen Phasen des Softwareentwicklungszyklus.

Dazu sind im Folgenden die drei wichtigsten Strategien aufgeführt, die Sie sich merken sollten.

1. Handeln Sie vorausschauend, anstatt nur auf Probleme zu reagieren.

Unternehmen entwickeln und verfolgen oft keine eigene Vision, sondern geraten in die Falle, nur auf das Verhalten ihrer Konkurrenten zu reagieren. Außerdem verfolgen viele Unternehmen diesen Ansatz standardmäßig in Bezug auf Sicherheitslücken im Code und nehmen Cybersicherheit erst dann ernst, wenn sie aufgrund einer erfolgreichen Attacke dazu gezwungen sind. Leider ist der Schaden bis dahin bereits entstanden, und Geldstrafen, Wiederherstellungskosten, Kundenverluste und die Wiederherstellung der Marke beeinträchtigen den Gewinn.Anstatt sich auf Gegenmaßnahmen zu konzentrieren, kann man sich auch darauf konzentrieren, von Anfang an sicheren Code zu erstellen, indem man automatische oder manuelle Code-Scans einsetzt, um Schwachstellen im bestehenden Code aufzudecken. Leider sind Code-Scans keine perfekte Lösung. Das bedeutet, je mehr Schwachstellen der Code enthält, desto größer ist die Wahrscheinlichkeit, dass einige davon übersehen werden.

Nur durch einen proaktiven Ansatz und die Zusammenarbeit mit Entwicklern, um von Anfang an sicheren Code zu erstellen, kann ein Softwareentwicklungslebenszyklus etabliert werden, der das Risiko, dass Schwachstellen im Code für Benutzer sichtbar werden, erheblich verringert.

2. Verbessere deine Fähigkeiten, aber übertreibe es nicht.

Wenn Sie sich entschließen, Entwicklern das notwendige Wissen zur Erstellung sicherer Codes zu vermitteln, sollten Sie Ihren Ansatz mit Bedacht wählen. Interne Schulungsworkshops, die das Codieren unterbrechen, verärgern sowohl Entwickler als auch Administratoren. Externe Kurse, an denen man abends oder am Wochenende teilnehmen muss, sind noch unbeliebter. Der beste Ansatz ist es, die Codierfähigkeiten schrittweise zu vermitteln. Durch die schrittweise Bereitstellung relevanter Informationen während des Codierungsprozesses werden die Fähigkeiten grundlegend verbessert, ohne die Entwickler abzulenken oder den Entwicklungsprozess zu verlangsamen.

3. Geben Sie Anreize, ohne etwas zu vermuten.

Entwickler sollten die Verbesserung ihrer Sicherheitskompetenzen nicht als Strafe oder mühsame Arbeit betrachten. Manager müssen Entwickler motivieren, indem sie ihnen vermitteln, wie wichtig sicherer Code für den Erfolg des Unternehmens ist. Außerdem ist es wichtig, ihnen zu vermitteln, dass sichere Programmierer für das Unternehmen wertvoller sind und ihnen in Zukunft bessere Karrierechancen bieten.

Die Biden-Regierung wurde begrüßt Verwaltungsanordnung Der Fokus auf Cybersicherheit nimmt zu, und es wird immer wichtiger, „Standards zur Bewertung der Sicherheitspraktiken von Entwicklern und Lieferanten zu integrieren und innovative Tools und Methoden zu identifizieren, mit denen die Einhaltung sicherer Praktiken nachgewiesen werden kann“.Tools sind zwar unverzichtbar, reichen aber allein nicht aus. Es gibt kein Tool, das die Fähigkeit von Personen, eingeführte Systeme und Tools zu ignorieren, falsch zu interpretieren, zu missbrauchen oder auf andere Weise zu umgehen, vollständig ausschließt. Um die Sicherheit von Unternehmen zu maximieren, müssen CISOs den Faktor Mensch nutzen und Entwickler dazu ermutigen, sich aktiv für Sicherheit einzusetzen und diese zu praktizieren.