Der Vertrauenswert zeigt den Wert der Initiative „Secure By-Design-Upskilling” auf.

Eine bewährte Methode zur Verbesserung der Sicherheitslage einer Organisation ist die Verbesserung der Fähigkeiten der Entwickler in Bezug auf bewährte Verfahren für sicheres Codieren, die in einem Rahmenwerk mit Baselines und Benchmarks bereitgestellt werden, das darauf ausgelegt ist, Entwicklern die erforderlichen spezifischen Lernpfade anzubieten. Sicheres Codieren ist jedoch kein Problem, das mit einem Schlag gelöst werden kann. Es muss in die DNA der Organisation eingebettet werden und zu einer Selbstverständlichkeit werden. Entwickler müssen nicht nur nach links gehen oder links beginnen, sondern auch weiterhin nach links gehen.

Es reicht nicht aus, nur Schulungen anzubieten. Unternehmen müssen sicherstellen, dass Entwickler das Gelernte vollständig verinnerlicht haben und die Best Practices bereits in der frühen Phase des SDLC (Software Development Life Cycle) als Teil ihrer täglichen Arbeit anwenden. Der ROI der Schulungsinvestitionen sollte effektiv gemessen werden, indem die Leistung der Entwickler anhand interner Standards und Branchenbenchmarks verfolgt und ihre Fortschritte gemessen werden.

Secure Code Warriors Trust Score bietet Transparenz über die Leistung einzelner Entwickler und bewertet die Gesamtleistung des Unternehmens durch die Aggregation von Daten.Sie identifizieren Bereiche mit Verbesserungspotenzial und zeigen gleichzeitig die Wirksamkeit von Programmen zur Verbesserung der Fähigkeiten auf. Darüber hinaus helfen sie Ihnen, verschiedene Compliance-Anforderungen zu erfüllen, unabhängig davon, ob diese der Datenschutz-Grundverordnung (DSGVO), dem Datensicherheitsstandard der Zahlungskartenindustrie (PCI DSS), dem kalifornischen Verbraucherschutzgesetz (CCPA) oder anderen Vorschriften entsprechen.

Unsere Untersuchungen haben gezeigt, dass Schulungen zu Sicherheitscodes wirksam sind. Der Trust Score basiert auf einem Algorithmus, der mehr als 20 Millionen Lern-Datenpunkte von über 250.000 Lernenden aus mehr als 600 Organisationen berücksichtigt. Er zeigt, wie Schwachstellen beseitigt und Initiativen effektiver gestaltet werden können.

Durch Schulungen wird die Sicherheit erhöht – wenn Entwickler geschult werden,

Über viele Jahre hinweg schien die Anwendung von Sicherheitsbestpraktiken zu Beginn des SDLC in der Softwarebranche ein eher ehrgeiziges Unterfangen zu sein. Das ist zwar grundsätzlich eine gute Sache, hat aber heute keine Priorität mehr. Da jedoch die Geschwindigkeit der Softwareentwicklung immer weiter zunimmt und auch die Geschwindigkeit der ausgeklügelten und zerstörerischen Cyber-Bedrohungen, die oft auf Software-Schwachstellen abzielen, immer weiter zunimmt, ist sicheres Codieren mittlerweile unverzichtbar geworden. Die Cybersecurity and Infrastructure Security Agency (CISA) stellt sicheres Codieren in den Vordergrund. Eine Initiative, die sich zu einer internationalen Bewegung für sicherheitsbewusstes Design entwickelt.

Unsere Untersuchungen haben gezeigt, dass ein klarer Zusammenhang zwischen dem Secure-by-Design-Ansatz und der Reduzierung von Software-Schwachstellen besteht.Die Analyse der Daten zur Schwachstellenreduzierung bei 26 % der SCW-Kunden ergab, dass die Software-Schwachstellen durch Entwicklerschulungen um 22 % bis 84 % reduziert werden konnten. Dieser Bereich ergibt sich aus Variablen wie der Größe des betreffenden Unternehmens (je kleiner das Unternehmen mit relativ wenigen Entwicklern, desto dramatischer die Ergebnisse), der Frage, ob sich die Lerngruppe auf bestimmte Probleme konzentriert hat, und In diesem Fall war die Fehlerquote höher.

Die Ergebnisse der Großunternehmen waren weitgehend übereinstimmend. Bei Unternehmen mit mehr als 7.000 Entwicklern ist aufgrund der verbesserten Sicherheitskompetenzen der Entwickler mit einem Rückgang der Schwachstellen von 47 % auf 53 % zu rechnen. So verzeichnete beispielsweise ein Unternehmen mit mehr als 10.000 Entwicklern (das weder das beste Ergebnis auf der Plattform erzielte noch den höchsten Benchmark aufwies) einen Rückgang der Schwachstellen um 53 %.

Natürlich ist für eine möglichst effektive Schulung kein umfassender und einheitlicher Ansatz erforderlich. Die Schulung muss an die Arbeitsumgebung der Entwickler und die Art der von ihnen durchgeführten Entwicklung angepasst werden.

Unternehmen müssen zunächst die grundlegenden Fähigkeiten etablieren, die erforderlich sind, damit Entwickler Sicherheitscode so selbstverständlich schreiben können wie normalen Code. Upskilling-Programme sollten aus praktischen und agilen Schulungen bestehen, die reale Szenarien verwenden, die auf die Art der ausgeführten Aufgaben und die verwendeten Sprachen zugeschnitten sind. Außerdem müssen die Schulungssitzungen so flexibel sein, dass sie sich in den Arbeitsalltag integrieren lassen.

Für Entwickler umfasst das technische Repertoire mehr als nur das Schreiben von Code. Entwickler müssen in der Lage sein, künstliche Intelligenz-Assistenten und Software von Drittanbietern (z. B. Open-Source-Repositorys) zu überprüfen. Entwickler schätzen die Vorteile der von ihnen entwickelten generativen KI-Modelle, die in der Regel dazu beitragen, mehr Code schneller zu generieren.Allerdings gaben 76 % der Befragten an, dass der von der KI generierte Code sicherer sei als der von Menschen erstellte Code, während 56,4 % angaben, dass die KI immer noch gelegentlich oder häufig Fehler produziere. Dieselbe Umfrage ergab, dass 80 % der Entwickler die Sicherheitsrichtlinien für KI-Code umgehen, was darauf hindeutet, dass die Probleme mit KI-Code nicht gelöst sind.

Beim Secure-by-Design-Ansatz arbeiten Entwickler nicht getrennt vom Sicherheitsteam, sondern kooperieren mit diesem, um solche Probleme bereits in der frühen Phase des SDLC zu lösen und Fehler zu identifizieren und zu beheben, bevor der Code in die Produktion gelangt.

Der Vertrauenswert misst die Leistung von Einzelpersonen und Unternehmen.

Es ist auch wichtig, kontinuierlich Schulungen durchzuführen. Unternehmen sollten eine Sicherheitskultur einführen, die für alle Mitarbeiter gilt, von den höchsten Führungspositionen bis hin zu den niedrigsten Positionen. Der Schwerpunkt sollte auf kontinuierlicher Verbesserung und der Anwendung bewährter Sicherheitspraktiken im gesamten SDLC liegen. Technologien und Cyberkriminelle entwickeln sich ständig weiter, ebenso wie die Cybersicherheit. Für Unternehmen, die Software entwickeln, sind Entwickler mit Sicherheitsschulungen die Grundlage.

Daher ist es ebenso wichtig wie das Training selbst, dessen Wirksamkeit nachzuweisen. Vertrauenswürdige Bewertungen ermöglichen es nicht nur, die Leistung einzelner Entwickler und der gesamten Organisation zu erfassen, sondern auch, Leistungsdaten detailliert zu analysieren, um den Fokus auf bestimmte Sprachen, Entwicklerteams oder Softwarekategorien zu legen. Die Daten zu individuellen und aggregierten Leistungsergebnissen helfen auch dabei, Bereiche zu identifizieren, in denen das Training verbessert werden muss (z. B. ob es den gewünschten Einfluss auf die tägliche Leistung der Entwickler hat).

Organisationen können anhand des Trust Score die Leistung von Entwicklern bewerten und sicherstellen, dass diese die erforderlichen Sicherheitstechniken erworben haben und anwenden, um eine Lizenz zum Schreiben von Code zu erhalten. Auf diese Weise können Organisationen qualifizierten Entwicklern vertrauensvoll Zugriff auf die sensibelsten Daten und wichtigsten Softwareprojekte gewähren und Entwicklern, die noch nicht über die erforderlichen Kenntnisse verfügen, den Zugriff verweigern.

Beweis für eine sich wandelnde Sicherheitskultur

Cybersicherheit ist nicht mehr nur eine Frage der Sicherheit. Es handelt sich um ein geschäftliches Problem, das sich auf die Integrität der Daten auswirkt, die für viele Unternehmen das wichtigste Kapital darstellen. Schwerwiegende Verstöße beeinträchtigen den Betrieb, den Ruf und möglicherweise sogar die Existenzfähigkeit eines Unternehmens. Angesichts immer strengerer Vorschriften und der Bereitschaft von Aufsichtsbehörden, gegen CISOs und möglicherweise auch andere Führungskräfte rechtliche Schritte einzuleiten, hat die Bedeutung der Cybersicherheit nicht an Bedeutung verloren. Diese Regulierungsbehörden sind sogar bereit, Strafanzeige zu erstatten, wie die Fälle Uber und SolarWinds zeigen.

In der heutigen Umgebung ist es unerlässlich, eine unternehmensweite Sicherheitskultur zu etablieren. Da ein erheblicher Teil des Unternehmenswertes in Daten, Anwendungen und Diensten steckt, ist sicheres Programmieren ein zentraler Bestandteil der Unternehmenskultur. Zielgerichtete Schulungen und die Verbesserung von Fähigkeiten, die Teil der kulturellen Denkweise sind, können zusammen mit Belegen dafür, dass Schulungen zur Veränderung der Kultur beigetragen haben, den Weg für Unternehmen ebnen, ihre Sicherheitsvorkehrungen zu verbessern.

Entwicklergesteuerte Sicherheitsprogramme sind wertvoll. Der Beweis dafür ist die Vertrauenswürdigkeit.