Im Zeitalter von DevSecOps, Continuous Delivery und mehr Daten als je zuvor helfen kluge Unternehmen Entwicklern wie Ihnen, sich zu sicherheitsbewussten Superstars zu entwickeln, die häufige Schwachstellen beseitigen, bevor sie in die Produktion gelangen. Wenn Sie qualitativ hochwertigen Code ohne diese lästigen, auffälligen Fehler produzieren, ist das nicht nur sicherer für den Endbenutzer, sondern führt auch zu weniger Nacharbeit und Unterbrechungen für Sie. Die folgenden Kapitel konzentrieren sich auf einige der schlimmsten Sicherheitsfehler im Zusammenhang mit Anwendungsprogrammierschnittstellen (APIs). Diese sind so weit verbreitet, dass sie es in die neue Liste 2023 des Open Web Application Security Project (OWASP) der wichtigsten API-Schwachstellen geschafft haben. Angesichts der Bedeutung von APIs für moderne Computerinfrastrukturen handelt es sich hierbei um kritische Probleme, die Sie um jeden Preis aus Ihren Anwendungen und Programmen heraushalten müssen.

In diesem brandneuen eBook erfahren Sie mehr über:

• Wie jede der 10 wichtigsten API-Schwachstellen funktioniert und wie ein Angreifer sie ausnutzen kann
• Wie sie aussehen und wie man sie mit guten Codierungsmustern beheben kann (mit Links zu echten, praktischen Herausforderungen!)
• Wie Sie bei Ihrer täglichen Arbeit mit dem Innovationstempo der Sicherheit Schritt halten können.

‍

Unternehmen gehen oft mit dem Ziel an die Sicherheit heran, ihr Risikoprofil organisch zu verringern - in der Regel durch die Identifizierung von Entwicklern, die sich zu Sicherheitsbeauftragten entwickeln können. Die Herausforderung bei der Identifizierung und Förderung von Sicherheits-Champions besteht jedoch darin, ein Programm zu entwickeln, das im Laufe der Zeit skalierbar ist und Entwickler dazu befähigt, zur Verbesserung der allgemeinen Sicherheitslage eines Unternehmens beizutragen.

In diesem Bericht erhalten Sie einen Überblick über die Ergebnisse der Devlympics 2022 sowie einen tiefen Einblick in die Stärken und Möglichkeiten, die von Hunderten von Teilnehmern bei den verschiedenen Herausforderungen hervorgehoben wurden. Außerdem erfahren Sie, wie Sie die Fähigkeiten Ihres Unternehmens bewerten und Wege finden können, um einen Wandel hin zu entwicklerorientierter Sicherheit zu inspirieren.

Hintergrund

Die Thales-Gruppe ist ein französisches multinationales Unternehmen, das elektrische Systeme sowie Geräte und Ausrüstungen für die Bereiche Luft- und Raumfahrt, Verteidigung, Transport und Sicherheit entwirft, entwickelt und herstellt. Viswanath S. Chirravuri ist der technische Direktor für Software-Sicherheit bei Thales. Viswanath, oder Vis, begann seine Karriere im Bereich Sicherheit zunächst als Programmierer. Heute ist er ein Senior Security Leader bei Thales und verfügt über mehr als 18 Jahre Erfahrung in der Sicherheitsbranche. Er ist Inhaber von mehr als 30 Zertifizierungen, darunter CISSP, PMP und GSE. Er hat über 3.000 Softwareexperten in mehr als 18 Ländern geschult. Darüber hinaus gewann Vis mehr als 10 SANS-Challenge-Münzen in internationalen Cybersecurity-Wettbewerben tournaments (z. B. Netwars) und ist ein aktives Mitglied des GIAC Advisory Board. Wir sprachen mit Vis, um zu erfahren, wie er Menschen, Prozesse und Technologie aufeinander abstimmte, um ein erfolgreiches Programm zum sicheren Code-Lernen bei Thales zu entwickeln.

Situation

Als Vis bei Thales anfing, coachte er die Geschäftsbereiche, um die Quelle der durch Pen-Tests entdeckten Schwachstellen als mögliche Lösung zur Verringerung des Rückstands an technischen Schulden zu betrachten. Das Team für Anwendungssicherheit arbeitete mit sieben verschiedenen Anbietern zusammen, um seine Sicherheitslage zu festigen - von IAST/DAST-Tools bis hin zu Pen-Testing-Tools. Vis wollte die Markttrends verstehen und Bedrohungen in einer skalierbaren Art und Weise verwalten, um durch eine starke Integration von Prozessen und Technologien Abhilfestrategien zu entwickeln. Dies bedeutete eine Umstellung von einem rein toolbasierten Ansatz auf eine Strategie, die eine starke Lernkomponente enthielt. Er stellte fest, dass viele der Entwickler keinen Sicherheitshintergrund oder keine Sicherheitskenntnisse besaßen. Sein anfänglicher Ansatz bestand darin, den Entwicklern Präsenzschulungen zu Themen wie den OWASP Top 10 anzubieten, aber er erkannte schnell, dass dies angesichts der vielen Reisen, die für den persönlichen Unterricht erforderlich waren, und der Notwendigkeit, Tausende von Entwicklern auf der ganzen Welt zu erreichen, nicht zu realisieren war. Vis bemerkte das:

"Es wird immer ein Ungleichgewicht im Verhältnis zwischen Sicherheit und Entwicklung geben. Selbst wenn ich ein Verhältnis von 1:1 zwischen Sicherheitspersonal und Entwicklern hätte, könnte ich sie nicht die ganze Zeit über beschäftigen. Um unsere Entwickler über neue Angriffsvektoren, bewährte Praktiken, neue Sprachen und neu entdeckte Schwachstellen auf dem Laufenden zu halten, mussten wir das Selbststudium der Entwickler fördern und ihnen die Möglichkeit geben, in ihrem eigenen Tempo zu arbeiten. Wenn sie Hilfe brauchten, konnte ich ihnen helfen, aber mir wurde klar, dass ich nicht derjenige sein konnte, der ihnen beibringt, wie sie jede gefundene Schwachstelle beheben können."

Anfänglich gab es Widerstand von Entwicklungsmanagern wegen der Zeit, die die Entwickler für das Erlernen von sicherem Code aufwenden mussten, da viele Entwickler von Grund auf neu anfingen. Vis musste mit dem Eindruck fertig werden, dass das Engagement für sicheres Codelernen die Software-Release-Zyklen unterbrechen oder geschäftskritische Sprints verlangsamen könnte. Er musste einen Weg finden, um die Organisation zu motivieren, Zeit für agiles Lernen für sicheren Code aufzuwenden. Vis vertrat die Ansicht, dass der Mensch im Mittelpunkt stehen muss, um Schwachstellen an der Quelle zu beheben, "Die Leute sagen oft, dass die Sicherheit der Entwicklung Zeit wegnimmt. Für mich ist es Zeitverschwendung, wenn man etwas entwickelt und es unsicher ist. Man sollte Software immer so entwickeln, dass sie sicher ist, und sich die Zeit sparen, Schwachstellen zu beheben, die man leicht hätte vermeiden können. Wir sollten alle das gemeinsame Ziel haben, zuverlässigen Code zu liefern."

Aktion

Vis hatte zwei Hauptziele vor Augen: die Sicherung der Software und die Steigerung des Sicherheitsbewusstseins in den Entwicklerteams von Thales. Es war entscheidend, ein Programm zu implementieren, das es den Entwicklern ermöglichte, unabhängig zu sein und sich in ihrem eigenen Tempo weiterzubilden. Die Strategie von Vis bestand darin, im Laufe der Zeit eine Sicherheits-Community aufzubauen, die sichere Codierung mit den Unternehmensrichtlinien zu verknüpfen und ein Mandat für das Erlernen von sicherem Code im Unternehmen zu entwickeln. Durch die Förderung einer Gemeinschaftskultur, die Entwickler, Tester, Architekten und Ingenieure miteinander verbindet, konnte er einen Multiplikatoreffekt der Motivation feststellen. Es entstanden Sicherheitschampions, die sich für Sicherheit als Teil ihrer täglichen Arbeit begeisterten und dazu beitrugen, das Bewusstsein für sichere Codierungspraktiken im gesamten Unternehmen zu verbreiten. Vis evaluierte mehr als ein Dutzend Anbieter von Sicherheitsschulungen und wurde 2019 Kunde von SCW. Für Thales war es ein großer Vorteil, einen Anbieter zu haben, der alle Programmiersprachen und Frameworks in ihrer Umgebung abdeckt, anstatt eine stückweise Lösung zu haben. Vis stützte sich auf die riesige Menge an Inhalten von Secure Code Warrior, um Schulungen und Lernprogramme zum Selbststudium für die Entwickler des Sicherheitsprogramms zu erstellen:

"Die OWASP Top 10 sind nicht einfach nur zehn Dinge, die man wissen muss. Die Tiefe und Vielfalt der von OWASP abgedeckten Schwachstellen in Kombination mit der schieren Anzahl der Programmiersprachen kann überwältigend sein - die große Bandbreite an Herausforderungen und die Abdeckung dieser Dinge war ein Schlüsselfaktor für die Wahl von SCW. Sie fügen ständig neue Dinge hinzu. Die Tiefe, die Vielfalt der Themen, die Aktualität der Inhalte und der Fokus auf sichere Code-Design-Prinzipien heben SCW wirklich ab. Bei SCW handelt es sich nicht um eine einmalige Schulung, sondern wir haben die Möglichkeit, ein kontinuierliches Programm aufzubauen."

Vis und sein Team strukturierten die Einführung des Programms zum Erlernen von sicherem Code in vier Stufen, mit unterschiedlichen Meilensteinen für jede technische Rolle:

Wichtig ist, dass der SCW die Quelle der Wahrheit für die Behebung von Sicherheitslücken wurde. Anstatt sich auf Google-Suchen zu verlassen, die zu einer Fehlersuche führen könnten, veröffentlichte Vis sowohl Richtlinien des AppSec-Teams als auch solche aus der SCW-Inhaltsbibliothek, so dass Entwickler auf eine vertrauenswürdige und authentische Quelle für die Behebung von Sicherheitslücken im Code verweisen konnten. Laut Vis:

"Die Entwickler sollten nicht frei entscheiden können, wie sie eine Schwachstelle beheben und dabei möglicherweise eine neue Schwachstelle einführen. Wir haben die SCW-Videos über die SCORM-Integration von SCW in unser LMS integriert, um sicherzustellen, dass die Entwickler lernen, wie sie die Schwachstelle auf die richtige Weise beheben können. Auf diese Weise konnten wir auch sicherstellen, dass die Entwickler, die sichere Software liefern, anerkannt werden. Wir verlangen von ihnen, dass sie ein bestimmtes Maß an sicherer Codierung erreichen, und wir können dies anhand der Schwachstellen, die sie beheben und nicht wieder einführen, verfolgen. Auf diese Weise wird die harte Arbeit, die sie geleistet haben, anerkannt und im Unternehmen wertgeschätzt."

Ergebnisse

Vis und sein Team veröffentlichen einen monatlichen Secure Code Newsletter, in dem sie die besten Lernenden im Unternehmen auszeichnen können. Sie verwenden SCW, um die Ergebnisse von assessment , die Teilnahme an tournament und die gespielten Herausforderungen zu betrachten, um diese Leistung zu verstärken. Dies motiviert andere Entwickler, ebenfalls zu lernen. Die KPIs, die er anfangs festlegte, konzentrierten sich auf die Reduzierung der Gesamtzahl der Schwachstellen innerhalb von 2 Jahren. Nach der Einführung von SCW stellte er eine abnehmende Trendlinie fest. Diese Schwachstellen werden nicht mehr auf Quellcode-Ebene eingeführt. Vis drückt es folgendermaßen aus:

"Die KPIs, die wir unserer Geschäftsleitung vorlegen, spiegeln diese wohlüberlegte Entscheidung wider, die wir getroffen haben. Wir sind stolz darauf, dass wir über eine sichere Codeschulung verfügen, die unseren Kunden Vertrauen in ihr Geschäft vermittelt. Wir sind für unser umfassendes Schulungsprogramm für sicheren Code anerkannt und werden von unseren Kunden und Kollegen respektiert. Ein solches Programm ist für ein Unternehmen von großem Wert."

Die wichtigsten Erkenntnisse

Vis erkannte, dass Menschen, Prozesse und Technologie bei jeder Sicherheitsinitiative eine Rolle spielen. Wenn man sich auf die Sicherheit der Software, das Wissen der Entwickler und die Einhaltung von Vorschriften konzentriert, ist es möglich, ein agiles Lernprogramm für einen sicheren Code zusammenzustellen, das die Schwachstellen im Quellcode im Laufe der Zeit reduziert. Vis gibt diese Empfehlungen an Fachleute in seinem Bereich weiter, die Sicherheitskompetenzen in Entwicklerteams aufbauen wollen.

Die Erstellung eines Lernplans für agile sichere Programmierung ist keine leichte Aufgabe, vor allem, wenn Compliance-Anforderungen und Freigabefristen eingehalten werden müssen. Aber es ist ein lohnendes Unterfangen, das Vorteile wie höhere Produktivität und geringere Risiken mit sich bringen wird. 

Die Sicherheitsreife von Entwicklungsteams wird anhand ihrer kollektiven Fähigkeit bewertet, die Sicherheit in allen Phasen des Softwareentwicklungszyklus nach links zu verlagern und einzubetten, so dass sicherheitskompetente Entwickler die erste Verteidigungslinie bei der Identifizierung und Behebung von Schwachstellen bilden können. 

In diesem Leitfaden gehen wir auf die Erfahrungen von drei Kunden ein, die Secure Code Warrior im Einsatz haben. Indem Sie von deren Erfahrungen lernen, können Sie beginnen, ein agiles Konzept für sicheres Codelernen für Ihr Unternehmen zusammenzustellen.

Entdecken:

• Welchen Herausforderungen sahen sich die Unternehmen in den verschiedenen Stadien der Sicherheit von Entwicklern gegenüber?
• Was waren die wichtigsten Erkenntnisse auf diesem Weg?
• Welche Ergebnisse können Sie in jeder Phase des Reifeprozesses der Sicherheit erwarten?

Hintergrund

Envestnet, Inc. ist ein börsennotiertes Fintech-Unternehmen mit einem Vermögen von 5,3 Billionen US-Dollar und mehr als 18,5 Millionen Anlegerkonten. Envestnet hat es sich zur Aufgabe gemacht, Berater und Finanzdienstleister mit innovativer Technologie, Lösungen und Intelligenz auszustatten, um Financial Wellness für jedermann Wirklichkeit werden zu lassen. Envestnet hat sich mit seiner Flaggschiff-Beratungsplattform, die die von Finanzberatern in der Vermögensverwaltung weltweit genutzten Dienstleistungen und Software integriert, als einer der Marktführer im Bereich der Vermögensverwaltungstechnologie etabliert.

Die Verpflichtung von Envestnet zu Best Practices im Datenmanagement umfasst die kontinuierliche Überwachung der Vermögensverwaltungsplattform durch laufende risikobasierte Compliance-Maßnahmen, mit denen Compliance-Probleme oder potenzielle Ausfälle schnell erkannt und behoben werden können. Envestnet ist führend beim Schutz der Kundendaten, indem es bei der Erbringung seiner Dienstleistungen erstklassige Sicherheitsmaßnahmen ergreift.

Erfahren Sie, wie Derek Fisher, Leiter der Abteilung für Produktsicherheit bei Envestnet und Autor von "The Application Security Handbook", in Zusammenarbeit mit Secure Code Warrior einen ganzheitlichen Ansatz entwickelt hat, um Schwachstellen durch agiles Secure Code Enablement für seine Entwicklerteams zu reduzieren. Derek arbeitet seit über einem Jahrzehnt im Bereich der Anwendungssicherheit, wo er zahlreiche Sicherheitserfolge und -misserfolge aus erster Hand miterlebt hat, und bringt seine einzigartige Expertise in die Entwicklung einer sicheren Code-Lernumgebung für Entwickler bei Envestnet ein.

Situation

Als Derek seine Stelle im Bereich Anwendungssicherheit antrat, wollte er über die OWASP-Top-Ten und die grundlegende Schulung zur Einhaltung von Vorschriften hinausgehen. Es gab zwar einige Secure SDLC-Prozesse, aber sie konzentrierten sich weitgehend auf das Auffinden von Schwachstellen und nicht unbedingt auf deren Beseitigung an der Quelle.

Derek meint : "Wir alle kennen die jährlichen Schulungen zur Einhaltung der Vorschriften, die wir in jeder Organisation absolvieren müssen. Normalerweise ist es das, was ich 'Tod durch Powerpoint' nenne, ein Haufen Folien und vielleicht eine assessment am Ende... wirklich ineffektiv und zeitraubend. Wir hatten Schulungen, aber es waren die üblichen Compliance-Schulungen mit einigen sicherheitsspezifischen Schulungen, die auf Folien/Audioaufnahmen basierten. Wir stellten fest, dass die Entwickler nicht sehr engagiert waren und nicht viel aus den Materialien lernten, also mussten wir unsere Strategie ändern."

Diese alte Strategie, Entwickler einfach durch passive, auf OWASP ausgerichtete Konformitätsschulungen zu schulen, war für Derek und sein Team besonders schmerzhaft, da sie die Wirkung der Schulungen nicht messen konnten und stattdessen immer mehr Zeit für das Schwachstellenmanagement aufwenden mussten.



Derek erkannte, dass es wichtig war, die Quelle der Schwachstellen zu untersuchen - unsicherer Code, der von den Entwicklern in die Produktion eingespeist wurde - und dass es keine Lösung sein würde, einfach nur mehr Tools einzusetzen.

Stattdessen konzentrierten sich Derek und sein Team im Jahr 2020 auf die Behebung von Schwachstellen mit dem Ziel, von Anfang an einen sichereren Code zu schreiben. Derek und sein Team wählten eine "Shift Left"-Strategie, um Schwachstellen viel früher im SDLC anzugehen und zu beheben, wenn die Kosten für die Behebung deutlich geringer sind.

Zunächst musste jedoch die historisch niedrige Beteiligung der Entwickler am bestehenden App Sectraining behoben werden. Er wollte vermeiden, dass seine Lernstrategie für sicheren Code nur eine "Checkbox"-Mentalität beinhaltet, und den Entwicklern bei Envestnet eine effektivere, agilere Lernerfahrung für sicheren Code bieten.

"Als ich SCW und seine Möglichkeiten sah, wusste ich, dass ein praxisorientierterer, interaktiverer Ansatz das Richtige für uns war. Ich wollte, dass die Ingenieure und Entwickler aus dieser Schulung mit mehr praktischem Wissen über die tatsächlichen Probleme herausgehen. Wir wollten das Muskelgedächtnis aufbauen: "Das hier habe ich schon einmal in einer Schulung gesehen, ich weiß, wie ich dieses Programmierproblem angehen muss. Die Plattform Secure Code Warrior hat es uns ermöglicht, diese Art von Umgebung zu schaffen, in der Ingenieure und Entwickler wirklich verstehen können, was gute und schlechte Codierungspraktiken sind und wie man Schwachstellen schnell behebt."

Derek Fisher, Leiter der Abteilung Produktsicherheit bei Envestnet

Aktion

Derek war besonders daran interessiert, eine Gürtelstrategie zu implementieren, die das Erlernen von sicherem Code mit Zertifizierungen belohnt. Das vierstufige Programm sollte sich auf den Aufbau eines soliden Sicherheitsbewusstseins konzentrieren (Stufen 1 und 2) und Entwicklern dann den Weg zu Sicherheits-Champions ebnen (Stufen 3 und 4). Dies löste das Problem, dass nicht gemessen werden konnte, wie gut die Entwickler die Konzepte des sicheren Codes beherrschten, und stellte gleichzeitig sicher, dass sicherheitsbewusste Entwickler einen Karrierepfad hatten, um ihre Fähigkeiten bei komplexeren Sicherheitsherausforderungen zu verbessern.

Sie testeten es in einem kleinen Pilotprojekt und baten die beteiligten Entwickler um Feedback. Das Feedback war äußerst positiv. Derek merkte an,

"Ich kann gar nicht oft genug betonen, dass es ungewöhnlich ist, wenn man positive Rückmeldungen zu einer Schulung erhält. Das ist ein guter Indikator dafür, dass dies das richtige Instrument ist."

Envestnet veranstaltete seine erste tournament im Frühjahr 2021 und verzeichnete mehr positive Ergebnisse aus Sicht der Entwickler. Derek startete dann eine Reihe von courses , die in ihr LMS für DB-, Frontend-, API- und Cloud-Entwickler integriert waren. Als Envestnet im Herbst 2021 seine zweite tournament veranstaltete, hatte sich die Gesamtzahl der teilnehmenden Entwickler verdoppelt.

Laut Derek hat Envestnet mit tournaments große Erfolge erzielt, weil,

"Wir alle wissen, dass Wettbewerb eine Motivation ist. Wir alle wollen sicherstellen, dass unsere Kollegen erkennen, wie gut wir in bestimmten Dingen sind, und das motiviert die Leute wirklich, sich zu beteiligen und in diesen tournaments gut abzuschneiden. Das und die Integration mit unseren Entwicklungswerkzeugen haben uns den Wert von Secure Code Warrior gezeigt."

Derek und das Team arbeiteten auch an der Integration von Secure Code Warrior mit Jira, so dass die Entwickler bei wiederholtem Auftreten bestimmter Schwachstellen direkt in ihrem Jira-Ticket sofort Hinweise zur Behebung abrufen konnten, ohne die vertraute Umgebung verlassen zu müssen. Auf diese Weise erhielten die Entwickler nicht nur wertvolle Informationen, sondern auch sofortige und bedarfsgerechte Hinweise zur Behebung der Schwachstelle, und zwar genau dort, wo sie benötigt wurden und wo sie sich auswirkten. Dereks Team arbeitete auch mit Secure Code Warrior zusammen, um eine Veranstaltung zum Sicherheitstag zu sponsern, die zu einer breiteren Unterstützung durch den CEO führte und die Bedeutung von Technik und Sicherheit für den Erfolg von Envestnet unterstrich. Mit dieser Art von Unterstützung durch Führungskräfte und Entwickler war Envestnet in der Lage, sein Programm zu dem auszubauen, was es heute ist. Inzwischen hat Envestnet alle identifizierten Security Champions in das Programm aufgenommen, und 60 % des gesamten Teams haben die Zertifizierung nach Level 1 oder 2 abgeschlossen.

Ergebnisse

Eine Möglichkeit, den Erfolg von Envestnet zu messen, bestand darin, die Teams zu untersuchen, die an der SCW-Lernerfahrung teilgenommen hatten, und zu messen, ob sie weniger Sicherheitslücken produzierten und/oder Sicherheitslücken schneller behoben. Die Ergebnisse waren beeindruckend:

• Entwickler mit SCW-Ausbildung beheben 2,7-mal mehr Sicherheitslücken als ihre Kollegen
• 100 SCW-geschulte Entwickler haben in kurzer Zeit 450 Schwachstellen behoben
• 1.200 vom SCW ausgebildete Entwickler ermöglichten Envestnet eine Steigerung der Abhilfemaßnahmen um 120 % in ihrer jeweiligen Warteschlange
• In einem Jahr haben Entwickler mit SCW-Ausbildung in zwei Produktlinien 4,5 Probleme mit Sicherheitslücken pro Entwickler geschlossen, im Vergleich zu ihren Kollegen, die nur 1,82 Sicherheitslücken pro Entwickler geschlossen haben.
• Alle Security Champions haben das Zertifizierungsprogramm im Jahr 2022 durchlaufen.
• 60 % (Tendenz steigend) der sicherheitsbewussten Entwickler haben die Stufen 1 und 2 durchlaufen.


Wichtigste Erkenntnisse

Derek gibt denjenigen, die mit dem Erlernen von sicherem Code beginnen, folgende Ratschläge:

"Unsere Aufgabe im Sicherheitsbereich ist es, das Risiko im Unternehmen zu verringern. Das ist unser wahrer Norden und das ist es, wonach wir immer streben. Eine kritische Schwachstelle muss nicht unbedingt das höchste Risiko oder die größte Auswirkung auf Ihr Unternehmen sein. Es kann sich um mehrere mittlere, niedrige und hohe Schwachstellen handeln, die zusammen eine Kette bilden, die weitaus größere Auswirkungen hat. Je mehr Schwachstellen sich im Laufe der Zeit anhäufen, desto größer ist das Risiko, das Sie eingehen. Mit Secure Code Warrior können Sie einen Schritt voraus sein und einen proaktiven Ansatz verfolgen, um diese potenzielle Kette von Schwachstellen durch agiles sicheres Code-Lernen zu entschärfen."

• Konzentrieren Sie sich nicht nur auf das Testen von Schwachstellen und das Erstellen von Berichten darüber - dies führt nur dazu, dass Ihre Entwickler nicht mehr wissen, was sie tun sollen.
• Stattdessen sollte AppSec ein Partner für die Entwickler sein und sicherstellen, dass Sie deren Zustimmung haben, bevor Sie eine Strategie für sicheres Codelernen implementieren.
• Rom wurde nicht an einem Tag erbaut. Ihr Programm muss sich weiterentwickeln, wenn sich Ihr Risikoprofil ändert, Ihr Unternehmen sich ändert und sich Ihre Technologie und Tools ändern
• Die wirksamste langfristige Strategie besteht darin, den Sicherheits-IQ der Menschen in Ihrem Umfeld zu erhöhen, um die Gesamtzahl der entstehenden Schwachstellen zu verringern.

TL;TR

Über Colgate-Palmolive

Colgate-Palmolive Company ist eine hervorragende Marke für Konsumgüter, die in allen Haushalten bekannt und beliebt ist. Obwohl das Unternehmen mehr als zwei Jahrhunderte alt ist, ist es ein innovatives Wachstumsunternehmen, das die Digitalisierung nutzt, um eine gesündere Zukunft für Menschen, ihre Haustiere und den Planeten zu schaffen.

Situation

Colgate-Palmolive durchläuft wie fast jedes andere Unternehmen einen digitalen Wandel, um seine Kunden besser bedienen zu können, und dies hat zu einem Wandel in der Herangehensweise des Unternehmens an die Anwendungssicherheit geführt.

Alex Schuchman, CISO bei Colgate-Palmolive, drückt es so aus:

"Es ist uns sehr wichtig, dass wir die Daten unserer Kunden schützen und somit Vertrauen aufbauen können - nicht nur in unsere Produkte, sondern auch in die digitalen Interaktionen unserer Kunden mit uns."

Für Alex bestand die Herausforderung jedoch darin, die eigentliche Quelle potenzieller Verletzungen der Kundendaten zu sichern - den Code selbst.

"Die Arbeit an der Entwicklung von Anwendungen war sehr hilfreich, als ich in meine Rolle als CISO wechselte. Ich weiß, wie schmerzhaft es ist, Tickets von AppSec zurückzubekommen, oder wie frustrierend es ist, wenn man aufgrund von Nacharbeiten Fristen verpasst. Mein Ziel als CISO ist es daher nicht nur, die Sicherheit im Lebenszyklus der Softwareentwicklung zu erhöhen, sondern auch die Implementierung zu rationalisieren."

Aktion

Colgate-Palmolive ging an diese Herausforderung heran, indem es seine Sicherheitsschulungen in kleinere, mundgerechte Häppchen aufteilte. Dies machte es für die Entwickler schmackhafter, so dass sie es in ihren Arbeitsablauf einbauen konnten, anstatt der langen, monolithischen Compliance-Schulungen, an die sie gewöhnt waren. Durch die Nutzung des agilen, kontextbezogenen Ansatzes von Secure Code Warriorzum Erlernen von sicherem Code konnten die Entwickler die Schwachstellen im Kontext ihrer realen Projekte verstehen, was zu einem höheren Engagement und einer langfristigen Beibehaltung der Fähigkeiten zur sicheren Programmierung führte.

"Ich wollte diese bewährten Verfahren einführen und gleichzeitig die Entwickler einbinden", sagt Alex. "Wir haben immer noch kritische Teile des Programms vorgeschrieben, aber wir haben die Schulungen überschaubar gehalten und auf das Feedback der Entwickler gehört, was zum Erfolg des Programms beigetragen hat."

Colgate-Palmolive hat einen Okta-Workflow implementiert, der das GitHub-Repository sperrt und nur Entwicklern, die bestimmte SCW-Bewertungen bestanden haben, den Zugriff auf Pull-Requests erlaubt, wie im folgenden Diagramm zu sehen ist.

Ergebnisse

Alex meint dazu, "Uns war klar, dass wir unsere Entwickler von Anfang an an Bord haben mussten, um den Erfolg zu optimieren. Wir stellten also sicher, dass die Entwickler wussten, dass sie ein wichtiger Teil des Erfolgs des Programms sein würden. Das Ergebnis war eine viel bessere Beziehung zwischen unserem Sicherheitsteam und unseren Entwicklern, und wir hatten wirklich das Gefühl, dass wir bei diesem Programm als Team zusammenarbeiten. Wir werden das Sicherheitsprogramm weiter ausbauen und skalieren und dabei auf dem Erfolg aufbauen, den wir bereits erzielt haben.

Die wichtigsten Erkenntnisse

1. Definieren Sie die Programmziele klar und betonen Sie die Beteiligung der Entwickler. Entwickler sind eher bereit, ein Programm zum Erlernen von sicherem Code zu unterstützen, das in ihren Arbeitsablauf integriert ist und mit den Entwicklungstools, die sie täglich verwenden, zusammenarbeitet.
2. Die Verwendung eines SSO-Tools wie Okta für das Code-Repository schafft Anreize für das Team. Nur Entwickler, die bestimmte SCW courses und assessment erfolgreich absolviert haben, dürfen Pull-Anfragen stellen.  
3. Bauen Sie mit der Zeit eine Sicherheitskultur auf, die eine enge Zusammenarbeit zwischen AppSec- und Entwicklungsteams fördert.

‍

Begleiten Sie uns zu einem Gespräch mit Vis Chirravuri und erfahren Sie aus erster Hand, wie er Menschen, Prozesse und technologische Ansätze für sein Programm zum Erlernen von sicherem Code entwickelt hat.