Warum man den menschlichen Faktor der Cybersicherheit niemals außer Acht lassen darf

Wir haben uns sehr gefreut, kürzlich das erste Exemplar zu sehen. Es wurde von Pieter Danhieux, dem Vorsitzenden und CEO des Forbes Technology Council Post, selbst verfasst. In diesem Beitrag wurde ausführlich beschrieben, wie wichtig es ist, die Fähigkeiten von Entwicklern zu verbessern, um sichereren Code zu erstellen und so Cyberangriffe und Datenverletzungen zu verhindern. Darüber hinaus haben wir erfahren, wie sicherheitsbewusste Entwickler dazu beitragen können, schneller besseren und sichereren Code zu liefern, als viele IT-Abteilungen glauben.Die Notwendigkeit eines solchen Ansatzes ist zweifellos überzeugend. Jüngsten Studien zufolge findet mittlerweile alle 39 Sekunden ein Cyberangriff statt.Und wir alle haben die Verwüstungen gesehen, die ein einziger erfolgreicher Ransomware-Angriff anrichten kann. Der Angriff auf Colonial Pipeline war im Großen und Ganzen nicht so zerstörerisch wie der Hackerangriff auf SolarWinds.

‍

Viele allgemeine Schwachstellen bestehen weiterhin. Das liegt daran, dass niemand den Entwicklern gezeigt hat, wie sie fehlerhafte Codierungsmuster durch sicherere und bessere Methoden ersetzen können, die dieselben Funktionen erfüllen. Außerdem entstehen enorme Kosten in Form von Zeitaufwand und Verzögerungen bei der Bereitstellung, wenn Software in einer späten Entwicklungsphase korrigiert werden muss. Nach der Bereitstellung kann die Korrektur des Codes manchmal Millionen von Dollar kosten, insbesondere wenn Angreifer zuvor unentdeckte Schwachstellen ausnutzen. Dabei ist der Reputationsschaden für das Unternehmen aufgrund schwerwiegender Sicherheitsverletzungen noch nicht einmal berücksichtigt.

Entwickler, die eine Sicherheitsschulung absolviert haben, werden automatisch zu besseren Programmierern. Natürlich sollte der CISO nicht sofort auf Sicherheits-Tools verzichten. Aber indem er von ganz oben einen umfassenden und präventiven Sicherheitsansatz vorantreibt, kann der CISO die größte Ressource des Unternehmens nutzen: den Faktor Mensch. Dies gilt insbesondere für die Sicherheit beim Programmieren, und zwar schon in den frühen Phasen des Softwareentwicklungszyklus.

Dazu sollten Sie die folgenden drei übergeordneten Strategien im Auge behalten:

1. Handeln Sie proaktiv, statt nur nachträglich zu reagieren.

Beispielsweise geraten Unternehmen häufig in die Falle, nur reaktiv zu handeln, indem sie beispielsweise auf das Verhalten ihrer Mitbewerber reagieren, anstatt eine einzigartige Vision zu entwickeln und zu verfolgen. Auch in Bezug auf Sicherheitslücken im Code verfolgen viele Unternehmen diesen Ansatz und nehmen Cybersicherheit erst dann ernst, wenn eine Sicherheitsverletzung erfolgreich war und unvermeidbar ist. Leider sind zu diesem Zeitpunkt bereits Schäden wie Geldstrafen, Wiederherstellungskosten, Kundenabwanderung und Markenwiederherstellung entstanden, die letztendlich zu Gewinneinbußen führen.Eine andere Form der Reaktion, die anstelle von Maßnahmen ergriffen werden kann, besteht darin, sich nicht auf die Erstellung von Sicherheitscode zu konzentrieren, sondern sich auf automatische oder manuelle Code-Scans zu verlassen, um Schwachstellen im bestehenden Code zu finden. Leider ist Code-Scanning keine perfekte Lösung. Das heißt, je mehr Schwachstellen der Code aufweist, desto größer ist die Wahrscheinlichkeit, dass einige Schwachstellen übersehen werden.

Durch einen präventiven Ansatz und die Zusammenarbeit mit Entwicklern kann ein Softwareentwicklungslebenszyklus eingerichtet werden, der die Wahrscheinlichkeit, dass Codierungsschwachstellen für Benutzer sichtbar werden, erheblich verringert, indem von Anfang an sichere Codes erstellt werden.

2. Verbessern Sie Ihre Fähigkeiten, aber übertreiben Sie es nicht.

Wenn Sie sich dazu entschlossen haben, Entwicklern das für die Erstellung von Sicherheitscode erforderliche Wissen zu vermitteln, sollten Sie Ihren Ansatz mit Bedacht wählen. Interne Schulungsworkshops, die die Programmierarbeit unterbrechen, sind sowohl für Entwickler als auch für Manager frustrierend. Externe Schulungskurse, die abends oder am Wochenende besucht werden müssen, sind noch weniger beliebt. Der beste Ansatz ist es, die Programmierkenntnisse schrittweise aufzubauen. Stellen Sie relevante Informationen schrittweise während des Programmierprozesses bereit – so können Sie die Fähigkeiten grundlegend verbessern, ohne die Entwickler abzulenken oder den Entwicklungsprozess zu verzögern.

3. Bieten Sie Anreize, statt davon auszugehen.

Entwickler sollten die Verbesserung der Sicherheitstechnologie nicht als Strafe oder lästige Pflicht betrachten. Manager sollten Entwickler inspirieren, indem sie ihnen vermitteln, wie wichtig Sicherheitscode für den Erfolg des Unternehmens ist. Außerdem ist es wichtig, ihnen zu vermitteln, dass sichere Programmierer für das Unternehmen wertvoller sind und in Zukunft mehr Karrierechancen haben werden.

Begrüßung durch die Biden-Regierung Verwaltungsanordnung Der Fokus auf Cybersicherheit und die Notwendigkeit, „kritische Kriterien für die Bewertung der Sicherheitspraktiken von Entwicklern und Anbietern selbst sowie für die Identifizierung innovativer Tools oder Methoden zum Nachweis der Einhaltung von Sicherheitspraktiken“ zu integrieren, haben an Bedeutung gewonnen. Tools sind zwar unverzichtbar, reichen aber allein nicht aus. Kein Tool kann die Fähigkeit von Personen, bestehende Systeme und Tools zu ignorieren, missverstehen, missbrauchen oder auf andere Weise umgehen können. Um die Sicherheit des Unternehmens zu maximieren, muss der CISO den Faktor Mensch nutzen und Entwickler dazu ermutigen, sich bereitwillig als Sicherheitsbefürworter und -praktiker zu engagieren.