Goldmedaille im Visier: Paysafes schnell wachsender Sicherheitscode-Standard

Paysafe hilft dabei, Finanztransaktionen zu einer vertrauenswürdigen Erfahrung zu machen. Wir wissen, dass es mehr als die Erfüllung grundlegender Compliance-Standards erfordert, um eine sichere und reibungslose Plattform bereitzustellen, über die jährlich Transaktionen im Wert von über 15,2 Milliarden US-Dollar abgewickelt werden. In den letzten vier Jahren hat Paysafe durch die Partnerschaft mit Secure Code Warrior kontinuierlich einen ganzheitlichen Ansatz für das Risikomanagement von Entwicklern vorangetrieben, und das Anwendungssicherheitsprogramm hat sich positiv auf die allgemeinen Geschäftsanforderungen ausgewirkt, darunter

Aufgabe: Stärkung der Sicherheitscodestandards bei Paysafe insgesamt

Der multinationale Online-Zahlungsanbieter Paysafe hat sicheres Codieren stets als strategische Priorität betrachtet, die über die bloße Einhaltung der PCI-DSS-Vorschriften hinausgeht.Das Ziel von Paysafe war es, den Umfang und die Reichweite der Initiative für sicheres Codieren kontinuierlich zu erweitern, um einen erstklassigen Ansatz für die Anwendungssicherheit zu gewährleisten und sicherzustellen, dass die Ingenieure von Anfang an sicheres Code schreiben.

„Für uns ist es keineswegs einfach, die Kästchen anzukreuzen, die uns die Ausbildung ermöglicht haben. Unser Ziel ist es, dass die Mitarbeiter stets über den aktuellen Stand der Entwicklung informiert sind. Wir sind stets bestrebt, uns weiterzuentwickeln und noch mehr zu leisten. Wir wünschen uns eine Zusammenarbeit zwischen dem Engineering-Team und dem Sicherheitsteam. Ein Team, das sich selbst weiterentwickeln kann, erhält mehr Informationen und kann besseren Code entwerfen“, so Boyan Hristov, Partner für Personalentwicklung bei Paysafe.

Die Vision von Paysafe war es, sicherheitsbewusste Ingenieure auszubilden, die Sicherheitslücken schließen und in allen Phasen des Softwareentwicklungszyklus sichere Codierungspraktiken anwenden. Um dies zu unterstützen, war ein skalierbares, partizipatives und kontinuierliches Programm erforderlich, das nicht nur Nachweise für die Einhaltung der PCI-Vorschriften liefert, sondern auch einen tiefgreifenden und nachhaltigen kulturellen Wandel vorantreibt.Dazu gehörten spielerische Lernerfahrungen, regelmäßige Turniere und kontinuierliche Schulungen, um Entwickler zu motivieren und sie an die Spitze der Sicherheitsentwicklungen in der Branche zu bringen.

Lösung: Modernster Ansatz mit Security Code Warrior

Paysafe hat die Entwickler-Risikomanagement-Plattform von Secure Code Warrior eingeführt, um sichere Codierungspraktiken zu fördern, Ingenieure einzubinden und die Einbindung von Sicherheitsaspekten bereits in einer frühen Phase des Entwicklungszyklus zu unterstützen. Das Security Champion-Programm hat sich im Laufe der Zeit weiterentwickelt, wobei Secure Code Warrior eine wichtige Rolle bei der Erreichung der Ziele zur Prävention von Cyberrisiken spielt.

Paysafe ermöglichte Entwicklern eine organische Teilnahme an der Plattform und förderte spielerische Aktivitäten wie Turniere und attraktive Preise, um das Interesse und die Beteiligung der Entwickler zu wecken. Als das Programm erstmals eingeführt wurde, wurden einige Bewertungen vorgeschrieben, die zur Erfüllung der PCI-Compliance-Anforderungen beitrugen, während andere Inhalte und Aktivitäten optional waren.

Als das Programm an Popularität gewann, stellte die Geschäftsleitung zusätzliche Unterstützung bereit, um die Ziele des Entwicklungs- und Informationssicherheitsteams besser aufeinander abzustimmen. Dadurch konnte das Paysafe-Team das Programm auf die nächste Stufe heben und ein formelleres Zertifizierungsprogramm mit festgelegten KPIs und Erfolgsprämien einführen.

In der nächsten Phase des Programms liegt der Schwerpunkt auf den Themen der OWASP Top 10, einem Industriestandard. Durch die Zertifizierungsphase können Entwickler verschiedene Leistungsstufen erreichen. Das Programm hat nun ein neues Maß an Umfang und Reife erreicht, wodurch die Standards für Entwickler insgesamt angehoben wurden, von festangestellten bis hin zu freiberuflichen Mitarbeitern.

„Wir schätzen die Partnerschaft mit SCW in den letzten vier Jahren sehr“, sagt Alan Osborne, Chief Information Security Officer bei Paysafe. „Dank dieser Partnerschaft konnten wir maßgeschneiderte Schulungen zur Anwendungssicherheit anbieten und die Beziehung zwischen dem Sicherheitsteam und dem Engineering-Team stärken, basierend auf unserer gemeinsamen Verpflichtung, Sicherheitscode so früh wie möglich im SDLC zu entwickeln.“

Durch die kontinuierliche Unterstützung und Koordination von CISO, CTO und der Geschäftsleitung im gesamten Engineering-Bereich hat Paysafe in Zusammenarbeit mit Secure Code Warrior das Programm kontinuierlich weiterentwickelt. Heute ist das Programm eng mit den Geschäftsanforderungen verknüpft, liefert sichtbare Ergebnisse und ist für die internen Teams von hoher Relevanz und Beteiligung.

Ergebnis: Neue Standards für Sicherheitscodes in der gesamten Organisation

Die Anwendungssicherheitsinitiative von Paysafe hat sich seit Beginn ihrer Reise vor vier Jahren weiterentwickelt. Durch die Partnerschaft mit Secure Code Warrior hat Paysafe gezeigt, dass ein ganzheitlicher Ansatz für das Risikomanagement von Entwicklern enorme Auswirkungen auf das gesamte Unternehmen haben kann.

Die Analyse der SAST-Scan-Daten durch Paysafe ergab, dass die von Teams, die mit Secure Code Warrior geschult wurden, entwickelten Anwendungen deutlich weniger Schwachstellen aufwiesen, die beim ersten Entwicklungsscan entdeckt wurden. In Teams, deren Entwickler die SCW-Plattform aktiver nutzten, war die Anzahl der beim ersten Scan gefundenen Schwachstellen noch geringer.

Das Team mit der höchsten Aktivität und Beteiligung bei Secure Code Warrior konnte die Anzahl der in der frühen Entwicklungsphase entdeckten Schwachstellen von Jahr zu Jahr deutlich reduzieren. Dies unterstreicht den Mehrwert einer kontinuierlichen, technologiebasierten Schulung zur Stärkung sicherer Programmiergewohnheiten. Da von Anfang an sicherer Code erstellt wurde, konnten das Team und andere Teams bei der Verwendung von SDLC erheblich Zeit sparen.Durch die Vermeidung von Code-Schwachstellen in der frühen Entwicklungsphase mussten diese nicht identifiziert, dokumentiert und überarbeitet werden, wodurch Tausende von Stunden an Entwicklungszeit eingespart werden konnten. Infolgedessen stieg die Produktivität der Entwickler um 45 %, was die Vorteile der Verbesserung der Sicherheitscodierungskenntnisse unterstreicht und zur Verbesserung des täglichen Entwicklungsprozesses beiträgt. Dies ist eine Win-Win-Situation für das Engineering-Team und das AppSec-Team.

Paysafe hat sich durch sein Engagement für Sicherheitscodes hervorgetan und den vierten Platz im SCW-Vertrauensranking erreicht.^® Dies ist eine Leistung, auf die Paysafe im Rahmen des Benchmarks^{für Banken} und Finanzdienstleistungen stolz ist, doch die Bemühungen von Paysafe um die Initiative für Sicherheitscodes gehen noch weiter. Auf der Grundlage der durch die Partnerschaft mit Secure Code Warrior erzielten Ergebnisse möchte Paysafe das Programm weiterentwickeln.

Alan Osborne, Chief Information Security Officer bei Paysafe, sagt: „Secure Code Warrior hat dazu beigetragen, die Produktivität der Entwickler zu steigern, die Markteinführung von Produkten und Verbesserungen zu beschleunigen und die Kosten und Risiken im Laufe der Zeit erheblich zu reduzieren.“ „Wir haben bewiesen, dass sicheres Codieren auf der Grundlage einer verbesserten Entwicklerschulung nicht nur ein „nice to have“ ist, sondern eine bewährte Investition, die die Fähigkeiten, Erfahrungen und Kompetenzen der Entwickler stärkt und gleichzeitig einen messbaren ROI liefert.“

Als Nächstes strebt Paysafe an, die Sicherheitsstandards weiter zu verbessern, indem es zusätzliche Governance- und Risikomanagementmaßnahmen in den Prozess integriert, um die langjährige Partnerschaft mit Secure Code Warrior zu stärken und sein Engagement für herausragende Cybersicherheit unter Beweis zu stellen.