PDF-Version öffnen
‍

Sichtbarkeit und Kontrolle zur Skalierung der entwicklergesteuerten Sicherheit

Mit aussagekräftigen Einblicken in jeden Commit und sicheren Codekompetenzen der Entwickler.

‍

Was ist der SCW Trust Agent?

Eine wirksame "Secure by Design"-Strategie hängt von den Entwicklern ab, die ihre Grundsätze vom ersten Entwurf bis zur Produktion umsetzen. Diese Dynamik erfordert ein Höchstmaß an Sicherheitskompetenz in den Entwicklungsteams. Entwickler benötigen sprachspezifische Kenntnisse und Fähigkeiten, um Best Practices in den von ihnen produzierten Code zu implementieren, Schwachstellen proaktiv zu erkennen und Bedrohungen zu beseitigen. Doch allzu oft klafft eine Lücke zwischen den sprachspezifischen Sicherheitskompetenzen und dem Code, den die Entwickler schreiben. Diese Diskrepanz führt zu blinden Flecken in der Gesamtsicherheitslage eines Unternehmens, erhöht die Wahrscheinlichkeit codebasierter Schwachstellen und kann letztlich die Verwirklichung einer entwicklungsorientierten Sicherheitskultur blockieren. SCW Trust Agent ist ein bahnbrechendes Angebot, das Unternehmen einen einzigartigen Einblick in ihr gesamtes Code-Repository gibt, indem es jeden Commit erfasst und ihn anhand des sicheren Code-Profils des Entwicklers analysiert. 

Der SCW Trust Agent baut auf den Erkenntnissen des SCW Trust Score auf, um zu analysieren, wie effektiv Ihr Sicherheitsprogramm bei jeder Übertragung angewendet wird.

‍

Wert und Nutzen

• Verstärkung der Sicherheitsvorkehrungen
• Optimieren Sie den Lebenszyklus der Entwicklung
• Skalierbare entwicklergesteuerte Sicherheit
• Gewährleistung der Einhaltung von Vorschriften 
• Sichtbarkeit und Kontrolle an einem Ort
• Feinabstimmung des sicheren Code-Lernens

‍

Umsetzbare Einblicke

Detaillierte Einblicke in bestimmte Code-Commits, deren Verfasser und deren sprachspezifische Sicherheitskenntnisse und -fähigkeiten. Darüber hinaus bieten Dashboards auf Team- und Repo-Ebene einen Einblick, wie gut die Sicherheitskompetenzen der Entwicklungsteams und die Code-Commits im gesamten Unternehmen aufeinander abgestimmt sind.  

Richtlinien-Konfiguration

Richtlinien und ihre allgemeine Einschränkung können auf der Grundlage der Sensibilität und der Anforderungen des Projekts festgelegt werden, um sprachspezifische Sicherheitskompetenzen zu gewährleisten, ohne die Softwarebereitstellung zu verlangsamen.

Umfangreiche Code-Repository-Unterstützung

Stellen Sie den SCW Trust Agent in jedem Git-basierten Quellcode-Verwaltungstool bereit, einschließlich Github, GitLab, Bitbucket, Azure Repos und mehr.

Agiles Lernen von sicherem Code

Der SCW Trust Agent wird von der SCW Agile Learning Platform unterstützt und bietet Entwicklern Einblicke in ihre Sicherheitskompetenzen und die Tools, die sie zum Aufbau ihrer Kenntnisse und Fähigkeiten benötigen. 

PDF herunterladen

PDF-Version öffnen

Bewerten Sie Ihre Infrastruktur und Prozesse zur Unterstützung der PCI-DSS-Anforderungen

Wichtige Aktualisierungen und Zeitpläne für die neuen PCI-DSS 4.0-Anforderungen

PCI-DSS 4.0 führt Aktualisierungen ein, um die Sicherheit der Daten von Karteninhabern zu verbessern, wobei aktuelle Risiken und technologische Fortschritte in der Zahlungskartenbranche berücksichtigt werden. Die Überarbeitungen ermöglichen es Organisationen, individuelle Sicherheitsmaßnahmen zu ergreifen, wenn sie die Einhaltung der Sicherheitsziele nachweisen, die Mehrfaktor-Authentifizierung auf alle Zugriffe auf Karteninhaberdaten ausweiten und die Verschlüsselung in allen Netzwerken verstärken. Darüber hinaus wird mehr Wert auf eine kontinuierliche Risikoanalyse und -minderung sowie auf die Verbesserung der Fähigkeiten zur rechtzeitigen Erkennung von und Reaktion auf Sicherheitsvorfälle gelegt. Für diese neuen Anforderungen gibt es eine Übergangsfrist, die den Unternehmen Zeit gibt, die neue Version zu übernehmen und gleichzeitig die bestehenden Standards einzuhalten.

Warum CISOs den neuesten pci-dss Updates Priorität einräumen sollten

Die Einhaltung dieser aktualisierten Standards ist nicht nur entscheidend für die Einhaltung der Vorschriften, sondern auch für den Schutz vor neuen und aufkommenden Cyber-Bedrohungen und -Risiken. Durch die Umsetzung dieser Standards können Unternehmen gegen Verstöße gewappnet sein und so ihren Ruf schützen und potenziell hohe Geldstrafen für die Nichteinhaltung von Vorschriften vermeiden.

Datum des Inkrafttretens von DSS 4.0: März2024; aktualisiert bis März 2025.

PCI-DSS 4.0 unterstreicht die Bedeutung der Integration von kontinuierlichen Sicherheitsprozessen in den täglichen Geschäftsbetrieb

Compliance kann nicht nur eine einmalige Sache sein assessment. Dieser Ansatz ist für CISOs, die in ihren Unternehmen eine Kultur des Sicherheitsbewusstseins und des proaktiven Risikomanagements fördern sollen, von entscheidender Bedeutung. Die Umsetzung von PCI-DSS 4.0 trägt auch zur Steigerung des Geschäftswerts bei, indem eine robuste Sicherheitsinfrastruktur aufgebaut wird, die eine sichere Zahlungsumgebung unterstützt.

Sind Ihre Entwickler darauf vorbereitet, konforme Software zu liefern?

Entwickler sind ein integraler - aber oft nicht ausreichend genutzter - Teil des Erreichens eines hervorragenden Zustands der Software-Sicherheit. Es ist von entscheidender Bedeutung, dass Entwickler das breitere Bild von PCI DSS 4.0 verstehen und wissen, was sie kontrollieren und als Teil ihres Standardansatzes bei der Erstellung von Software integrieren können.

Anforderung 6 des PCI DSS umreißt die Erwartungen an die Entwicklung und Pflege sicherer Software

Dies umfasst eine Vielzahl von Punkten, die von sicheren Entwicklungsstandards über Entwicklerschulungen bis hin zum Konfigurations- und Änderungskontrollmanagement reichen. Alle Organisationen, die Software entwickeln, die in einem Karteninhaberdatennetz (Cardholder Data Network, CHD) verwendet wird, müssen diese Vorgaben einhalten.

Wie in Anforderung 6.2.2 dargelegt, wird das Softwareentwicklungspersonal, das an maßgeschneiderter und kundenspezifischer Software arbeitet, mindestens einmal alle 12 Monate wie folgt geschult:

• über Softwaresicherheit, die für ihre Tätigkeit und Entwicklungssprachen relevant ist.
• Einschließlich sicheres Softwaredesign und sichere Kodierungstechniken.
• Dazu gehört auch die Verwendung von Sicherheitstools zum Aufspüren von Schwachstellen in Software.

In der Norm heißt es weiter, dass die Schulung mindestens die folgenden Punkte umfassen sollte:

• Eingesetzte Entwicklungssprachen
• Sicheres Software-Design
• Sichere Kodierungstechniken
• Anwendung von Techniken/Methoden zum Auffinden von Schwachstellen im Code
• Verfahren zur Verhinderung der Wiedereinführung von bereits behobenen Schwachstellen

Darüber hinaus sollten die Entwickler mit ALLEN Angriffstechniken vertraut sein (siehe Anforderung 6.2.4.) Dazu gehört eine Liste von Angriffskategorien, die als Beispiele dienen sollen:

• Injektionsangriffe, einschließlich SQL-, LDAP-, XPath- oder andere Befehls-, Parameter-, Objekt-, Fehler- oder Injektionsfehler.
• Angriffe auf Daten und Datenstrukturen, einschließlich Versuche, Puffer, Zeiger, Eingabedaten oder gemeinsam genutzte Daten zu manipulieren.
• Angriffe auf die Verwendung von Kryptografie, einschließlich Versuche, schwache, unsichere oder ungeeignete kryptografische Implementierungen, Algorithmen, Chiffriersuiten oder Betriebsarten auszunutzen.
• Angriffe auf die Geschäftslogik, einschließlich Versuchen, Anwendungsmerkmale und -funktionen durch die Manipulation von APIs, Kommunikationsprotokollen und -kanälen, clientseitigen Funktionen oder anderen System-/Anwendungsfunktionen und -ressourcen zu missbrauchen oder zu umgehen. Dazu gehören Cross-Site Scripting (XSS) und Cross-Site Request Forgery (CSRF).
• Angriffe auf Zugangskontrollmechanismen, einschließlich Versuche, Identifizierungs-, Authentifizierungs- oder Autorisierungsmechanismen zu umgehen oder zu missbrauchen, oder Versuche, Schwächen in der Implementierung solcher Mechanismen auszunutzen.
• Angriffe über "hochriskante" Schwachstellen, die bei der Identifizierung von Schwachstellen im Sinne der Randnummer 6.3.1 festgestellt wurden.

Wie Secure Code Warrior Ihnen helfen kann, PCI-DSS 4.0 zu erfüllen

Die effektivste Option für die Schulung ist eine agile learning platform , bei der die Einhaltung der Vorschriften ein Produkt eines übergreifenden Programms zum Erlernen von sicherem Code ist. Konkret kann Secure Code Warrior Ihrem Unternehmen helfen, Schwachstellen zu reduzieren und die Produktivität der Entwickler zu steigern:

• Vermittlung eines soliden, konsistenten Verständnisses für die Sicherheit von PCI-Daten durch Beseitigung von Wissenslücken und präzise Schulungen in den Sprachen und Frameworks, die Ihre Entwickler verwenden. Sehen Sie mehr über unser Learning Platform.
• Wir bieten einen kontinuierlichen, gemessenen und etablierten Prozess zur Überprüfung der Fähigkeiten, um sicherzustellen, dass die Schulung aufgenommen und in die Praxis umgesetzt wurde. Erfahren Sie mehr über unsere vorgefertigten Schulungsprogramme für sicheren Code für Entwickler.
• Durchführung von Schulungen mittels agiler Lernmethoden, die zeitlich und inhaltlich begrenzte Lernimpulse bieten. Allgemeine, unregelmäßige Schulungen sind nicht mehr praktikabel und haben nicht die gewünschte Wirkung auf die Reduzierung von Schwachstellen. Erfahren Sie mehr über die von uns unterstützten Schwachstellen.
• Unterstützung bei der Dokumentation von Sicherheitsschulungen und Kodierungsstandards, die für den Nachweis der Konformität bei PCI-DSS-Audits nützlich sind. Eine detailliertere Aufschlüsselung von PCI-DSS 4.0 finden Sie in unserem Whitepaper, PCI DSS 4.0 Unraveled.

‍

PDF-Version öffnen

‍

PDF-Version öffnen

Ein branchenweit einzigartiges Benchmarking, das die Auswirkungen Ihres Programms für sichere Kodierung quantifiziert

Software-Teams in Unternehmen stehen zunehmend unter dem Druck, qualitativ hochwertigen und sicheren Code schneller und ohne Fehler vor der Produktion zu liefern. Daraus ist das Konzept der entwicklergesteuerten Sicherheit entstanden, das die Produktivität der Entwickler steigert, den Softwareentwicklungszyklus beschleunigt und die Innovation fördert, was letztlich zum Unternehmenswachstum beiträgt. In der Welt der sicheren Lernprogramme ergibt sich trotz identischer Secure-Code-Programme in den Teams oft ein Spektrum an Fachkenntnissen, das sowohl Spitzenkräfte als auch durchschnittliche Leistungsträger und solche, die zusätzliche Unterstützung benötigen, umfasst. Aber woran erkennt man, was gut ist - und im Vergleich zu was? Unternehmen benötigen einen Benchmark, der die Glockenkurve des Sicherheitsniveaus ihrer Entwickler definiert. Ein Ergebnis, das als Basis für die Messung des aktuellen Zustands ihres Sicherheitsschulungsprogramms verwendet werden kann, um dessen Effektivität zu bewerten und den Teams die Möglichkeit zu geben, ihre Leistung zu optimieren.

Wert und Nutzen

• Einfache, effektive, aussagekräftige Daten
• Erfolg des Sicherheitsprogramms messen
• Verbesserte Softwarequalität
• Verbesserte Teambeziehungen
• Einblick in sichere Programmierkenntnisse
• Engagierte Benutzer und Entwicklerbindung

Benchmarking des aktuellen Stands Ihres Sicherheitsprogramms

Vergleichen Sie Ihr Sicherheitsprogramm mit anderen Unternehmen der Branche, um einen Standard festzulegen, der mit Ihren Unternehmenszielen übereinstimmt. Die Verwendung von Benchmarks bietet eine Grundlage für Leistungsvergleiche und ermöglicht datengestützte Entscheidungen und kontinuierliche Verbesserungsmöglichkeiten zur Optimierung Ihrer Sicherheitslage.

‍

Gemessen im Kontext von Gleichaltrigen, Wettbewerbern und globalen Organisationen

Der SCW Trust Score misst die Effektivität Ihres Sicherheitsprogramms, indem er die individuellen Qualifikationsniveaus der Lernenden zusammenfasst, um den Vertrauenswert Ihres Unternehmens zu berechnen. Mit Benchmarks, die auf die Branchen Banken & Finanzdienstleistungen, Technologie und Global zugeschnitten sind, bietet der Bericht Einblicke in den Vertrauenswert Ihres Unternehmens, die Verteilung der Branchen-Benchmarks und die Verteilung der Qualifikationsniveaus der Lernenden, mit anpassbaren Drill-Down- und Filteroptionen.

‍

Vertrauen Sie auf den umfassendsten Benchmark für Sicherheitskompetenzen in der Branche

Der SCW Trust Score ist eine branchenweit einzigartige Lösung, die einen dynamischen Algorithmus nutzt, der Erkenntnisse aus über 20 Millionen Lerndaten von mehr als 600 Unternehmen und 250.000 Lernenden verarbeitet. Er berücksichtigt eine Reihe von Lernaktivitäten, die innerhalb unserer Plattform absolviert wurden, wie z. B. die Tiefe des erworbenen Wissens über die OWASP Top 10. Diese unübertroffenen Einblicke helfen Unternehmen, ihre Leistung mit anderen zu messen.

‍

PDF herunterladen

‍

Finanzdienstleister stehen vor einer Reihe von Herausforderungen, die von ihrer Fähigkeit abhängen, Technologie in einer sich schnell entwickelnden Finanzwelt effizient und effektiv zu nutzen.

Unternehmen befinden sich in einer Zeit des schnellen Wandels - sowohl intern als auch branchenweit - in einem wettbewerbsintensiven, cloudbasierten Geschäftsumfeld. Bei ihren laufenden digitalen Transformationen arbeiten die Unternehmen beispielsweise daran, organisatorische Reibungsverluste zu vermeiden, die Investitionen in neue Technologien wie künstliche Intelligenz behindern, die Zahlungsprozesse und andere Verfahren beschleunigen könnten. 

Es muss jedoch auch ein größeres Bewusstsein dafür geschaffen werden, wie sich dieses Wachstum auf die Fähigkeit auswirkt, eine sichere Kodierungsumgebung aufrechtzuerhalten.

In diesem Leitfaden über Sicherheitstrends für Finanzdienstleistungsunternehmen erfahren Sie mehr:

• Wie sich KI-Entwicklungstools auf den Lebenszyklus der Softwareentwicklung auswirken.
• Warum die zunehmende Regulierung für Finanzdienstleistungen wichtig ist und welche Auswirkungen sie auf Ihr Team hat.
• Was agiles Lernen für die sichere Kodierung in Ihrem Team tun kann.
• Wie das Wachstum von Drittanbieteranwendungen zu Ihrer Sicherheitslandschaft beitragen wird.
• Warum die verstärkte Konzentration auf den ROI in den Teams Sie nicht beunruhigen muss, wenn es um die Ausbildung geht.

‍

Die Softwareentwicklung ist im Umbruch, und KI steht an der Spitze dieses Wandels. Der Gartner-Bericht "Predicts 2024: Generative AI Is Reshaping Software Engineering" unterstreicht die zentrale Rolle der generativen KI (GenAI) bei der Revolutionierung des Softwareentwicklungs-Lebenszyklus (SDLC), die über die reine Code-Generierung hinausgeht und umfassendere Aspekte wie Kompetenzerwerb, Tests, Barrierefreiheit und Anwendungsmodernisierung berücksichtigt. Es wird Ihnen als Leiter der Anwendungssicherheit raten, Ihre Entwickler darin zu schulen, KI-generierte Software-Assets kritisch zu prüfen. 

In diesem kostenlosen Exemplar des Gartner Predicts-Berichts erfahren Sie mehr:

• Eingehende Einblicke: Erforschen Sie den Wandel vom GenAI-Hype für die Code-Generierung hin zu seinen breiteren Anwendungen im gesamten SDLC, wobei kritische Qualifikationslücken, Testengpässe und die Forderung nach höheren Zugänglichkeitsstandards angesprochen werden.

• Strategische Empfehlungen: Erhalten Sie umsetzbare Ratschläge, die auf Führungskräfte zugeschnitten sind, einschließlich der Integration von GenAI in den SDLC, der Verbesserung von DevSecOps-Praktiken und der Beschleunigung von Anwendungsmodernisierungsbemühungen.

• Zukünftige Trends: Entdecken Sie strategische Planungsannahmen, die vorhersagen, dass bis 2027 40 % der Plattform-Engineering-Teams KI zur Erweiterung jeder Phase des SDLC einsetzen werden - ein deutlicher Anstieg von nur 5 % im Jahr 2023.
  ‍

GARTNER ist eine eingetragene Marke und Dienstleistungsmarke von Gartner, Inc. und/oder seinen Tochtergesellschaften in den USA und international und wird hier mit Genehmigung verwendet. Alle Rechte vorbehalten. Gartner unterstützt keinen der in seinen Forschungspublikationen dargestellten Anbieter, Produkte oder Dienstleistungen und rät Technologieanwendern nicht, nur die Anbieter mit den höchsten Bewertungen oder anderen Bezeichnungen auszuwählen. Die Forschungspublikationen von Gartner geben die Meinung der Forschungsorganisation von Gartner wieder und sollten nicht als Tatsachenbehauptungen ausgelegt werden. Gartner lehnt jede ausdrückliche oder stillschweigende Gewährleistung in Bezug auf diese Studie ab, einschließlich jeglicher Gewährleistung der Marktgängigkeit oder Eignung für einen bestimmten Zweck.

‍

PCI DSS 4.0 enträtselt: Ergreifen Sie die Gelegenheit, Entwickler in Sachen Sicherheit zu schulen

Wenn Sie ein AppSec- oder Entwicklungsmanager sind, haben Sie wahrscheinlich schon bemerkt, dass die meisten Entwickler von der Aussicht auf Compliance-Schulungen nicht begeistert sind. Schon bei dem Wort "Compliance" unterdrücken die meisten ein Gähnen. Es handelt sich jedoch um eine lebenswichtige Übung, und wir müssen mehr tun, um die Herzen und Köpfe der Entwickler zu erobern.

Sichere Softwareentwicklung ist nicht länger ein "nice to have" in jedem Unternehmen, sondern sollte in jeder Organisation an erster Stelle stehen. Und wenn dieses Unternehmen über große Mengen sensibler Kundendaten verfügt, ist es reif für die Ernte, wenn es um kostspielige Cyberangriffe geht. Die Entwickler sind die ersten, die mit dem Code in Berührung kommen, und sollten daher ebenso wie der Rest des Teams in die Maßnahmen zur Einhaltung der Sicherheitsvorschriften einbezogen werden.

Dies ist eine Gelegenheit für Entwickler und AppSec-Fachleute, sich zusammenzuschließen, um einen höheren Code-Standard zu erreichen. Langsam erkennt die Welt, dass Entwickler bisher nicht gerade die richtigen Tools zur Verfügung hatten, um der Sicherheit Priorität einzuräumen (und dass isolierte Sicherheitsspezialisten die Verantwortung nicht allein tragen können). Da sich die Branche jedoch auf eine KI-gestützte DevSecOps-Zukunft zubewegt, in der die Sicherheit eine gemeinsame Verantwortung darstellt, können sie die erforderlichen Fähigkeiten aufbauen, um den Strom wiederkehrender Sicherheitslücken einzudämmen.

Der Termin 2025 für die Einhaltung von PCI DSS 4.0 ist die bisher größte Chance für die Branche, Entwicklern die Fähigkeiten und den technischen Hintergrund zu vermitteln, die erforderlich sind, um die Software-Sicherheit von Grund auf positiv zu beeinflussen. Diese neuesten Richtlinien sind die bisher flexibelsten, und es ist jetzt an der Zeit, ein starkes, individuelles Sicherheitsprogramm zu erstellen, das die Entwickler in die Lage versetzt, sinnvolle Veränderungen herbeizuführen.

Lesen Sie den praktischen Leitfaden, wie Sie Ihr Entwicklungsteam zur Einhaltung des PCI DSS bringen, einschließlich

• Was von einem modernen Entwickler verlangt wird, um die PCI DSS 4.0-Konformität zu erreichen.
• Wie Sicherheitsexperten und Entwicklungsmanager zusammenarbeiten können, um beeindruckende, entwicklergesteuerte Sicherheitsprogramme aufzubauen.
• Schritt-für-Schritt-Empfehlungen für die wirksamsten und lohnendsten Schulungsinitiativen, um Schwachstellen endgültig zu beseitigen.

‍