Treibende Faktoren 1: Klare und messbare Erfolgskriterien

Wir beginnen mit einer eingehenden Untersuchung der 10 Erfolgsfaktoren. Der grundlegende Schritt ist Erfolgsfaktor 1: Klare und messbare Erfolgskriterien. Wenn das Programm für sichere Codierung eine Reise ist, dann ist der erste und wichtigste Schritt, genau zu wissen, wohin Sie wollen. Das ist das Wesen des ersten Erfolgsfaktors.

Erfolgskriterien mit Geschäftsergebnissen verknüpfen

Die Einrichtung eines erfolgreichen Programms für sicheres Codieren erfordert klare Ziele, die eng mit den Geschäftsergebnissen verknüpft sind. Enabler 1 beantwortet die zentrale Frage: „Was sind die Probleme oder Schwachstellen, die wir mit dem Programm für sicheres Codieren in sehr konkreten und messbaren Begriffen lösen wollen?“

Vielleicht möchte Ihre Organisation Meetings zur Einhaltung von Compliance-Anforderungenabhalten oder Sicherheitslücken und Cyberangriffe vermeiden. Oder vielleicht suchen Sie nach Möglichkeiten, als Organisation von Grund auf neu zu beginnen, um Kosten und Zeit für Nacharbeiten zu reduzieren, indem Sie Entwickler darin schulen, von Anfang an sicher zu programmieren.

Unabhängig von Ihren Beweggründen, dem aktuellen Zustand Ihrer Organisation oder sogar der von Ihnen gewählten Sicherheits-Schulungsplattform hängt der langfristige Erfolg Ihres Programms in hohem Maße davon ab, ob klare Ziele mit den Geschäftszielen verknüpft sind, um Unterstützung zu erhalten und einen anhaltenden Erfolg sicherzustellen.

Berücksichtigen Sie bei der Festlegung der Erfolgskriterien die wichtigsten Stakeholder Ihres Programms. Wenn Sie Ihre Sponsoren in der Führungsetage und deren Geschäftsziele kennen, können Sie eine breitere Akzeptanz in allen Abteilungen erreichen.

Erfolg messbar machen

Diese Ziele müssen ihrem Wesen nach spezifisch für Ihre Organisation sein. Das heißt, sehen Sie sich diese typischen Geschäftsziele an und überlegen Sie, wie sie Sie zu weiteren Ideen inspirieren können:

Risikominderung: Mindern Sie Entwicklerrisiken und reduzieren Sie Schwachstellen, die durch Fehler im Code entstehen. Dazu gehören die Identifizierung von Risiken und die Verringerung der Angriffsfläche von Anwendungen.

Programme zielen häufig auf Kennzahlen wie die Reduzierung und Vermeidung der Schwachstellendichte oder der Schwachstellen-Injektionsrate ab.

Operative Geschwindigkeit: Maximieren Sie die Geschwindigkeit der Produktlieferung, reduzieren Sie die Frustration und Fluktuation der Entwickler und verringern Sie den Zeitaufwand für Nacharbeiten. Schulungen zum Thema sicherer Code sind ein wichtiger Anreiz für Entwickler, da sie ihnen helfen, zeitaufwändige Nacharbeiten an fehlerhaftem Code zu vermeiden, der erst später im Softwareentwicklungszyklus entdeckt wird.

Programme zielen häufig darauf ab, die durchschnittliche Zeit bis zur Behebung (MTTR) von Schwachstellen durch Entwickler zu reduzieren.

Einhaltung gesetzlicher Vorschriften: Erreichen Sie externe Compliance, beispielsweise durch die Einhaltung von Standards wie PCI-DSS (der Schulungen für alle Entwickler vorschreibt, die an Zahlungssystemen arbeiten).

Talent und Vertrauen: Steigern Sie das Engagement und das Bewusstsein für Sicherheit und Schwachstellen innerhalb der Entwicklerorganisation und stärken Sie gleichzeitig das Vertrauen Ihrer Kunden. Für einige Unternehmen tragen sicherheitsbewusste Entwickler dazu bei, sich vom Markt abzuheben.

Programme legen häufig Mindestanforderungen an die Fähigkeiten von Entwicklern fest oder schaffen sogar spezielle Security-Champion-Programme.

Erfolg im gemeinsamen Erfolgsprogramm dokumentieren

Nachdem die Erfolgskriterien definiert wurden, besteht der nächste Schritt darin, diese in einem gemeinsamen Erfolgsplanfestzuhalten. Dieser Plan ist ein funktionsübergreifender gemeinsamer Entwurf, der mit allen wichtigen Stakeholdern Ihres Plans geteilt wird, einschließlich externer Unterstützung, wie beispielsweise Ihrem Schulungsplattform-CSM.

Der Erfolgsplan umfasst:

1. Wertetreiber: Dazu gehören übergeordnete Geschäftsziele, die mit der Verbesserung der Codesicherheit und der Beantwortung der Frage „Warum?“ zusammenhängen.
2. Aktueller Status: Dies legt fest, „Wo stehen wir jetzt?“ (z. B. aktuelle Sicherheitscodierungskompetenzen oder vorhandene Schulungsprogramme).
3. Zukünftiger (gewünschter) Zustand: Als Nächstes sollten Sie festhalten, „wo wir hinwollen“, und festlegen, wie die Lücken in den Kenntnissen über sicheres Programmieren geschlossen werden können.
4. Leistungskennzahlen/Messgrößen: Diese Kennzahlen zeigen den Erfolg und verdeutlichen, dass sich die Kluft zwischen dem aktuellen Bundesstaat und dem zukünftigen Bundesstaat mit der Einführung des Programms verringert.

Wir empfehlen, mit einem oder zwei spezifischen Kennzahlen zu beginnen und diese bei Bedarf später zu erweitern. Diese Leistungskennzahlen/Maßnahmen müssen den S.M.A.R.T.-Prinzipien entsprechen (spezifisch, messbar, erreichbar, relevant, terminiert). Sie sollten leicht nachverfolgbar sein und nicht willkürlich interpretiert werden können. Um den Plan in die Tat umzusetzen, müssen alle Beteiligten Verantwortung übernehmen und regelmäßig gemeinsam mit der Geschäftsleitung den Wert und den Return on Investment überprüfen.

Durch die klare Definition und Messung dieser Kriterien wird Ihr Sicherheitsprogramm von einer einfachen Kostenstelle zu einem nachweisbaren Treiber für wichtige Geschäftsergebnisse – ein notwendiger erster Schritt zur Erreichung der Programmreife.

Als Nächstes werden wir uns eingehend mit dem zweiten Treiber befassen : der Unterstützung durch die oberste Führungsebene . Dabei werden wir die entscheidende Rolle der Führungskräfte bei der erfolgreichen Einführung von Sicherheitsprogrammen erörtern .

Haben Sie noch weitere Fragen?Kunden können sich an das Kundenteam oder an support@securecodewarrior.comwenden. Potenzielle Kunden können sich hiermit unserem Vertriebsteam in Verbindung setzen.