Auf der Jagd nach Gold: Paysafe verbessert kontinuierlich seine Sicherheitsstandards

Paysafe hilft dabei, Finanztransaktionen zu einer vertrauenswürdigen Erfahrung zu machen. Das Unternehmen weiß, dass es weit mehr als nur die Erfüllung grundlegender Compliance-Standards erfordert, um eine sichere und nahtlose Plattform für die Abwicklung eines jährlichen Transaktionsvolumens von über 15,2 Milliarden US-Dollar bereitzustellen. In den letzten vier Jahren hat Paysafe durch die Zusammenarbeit mit Secure Code Warrior die Entwicklung eines ganzheitlichen Ansatzes für das Risikomanagement von Entwicklern vorangetrieben. Das Anwendungssicherheitsprogramm des Unternehmens hat sich positiv auf die gesamten Geschäftsanforderungen ausgewirkt, darunter:

Herausforderung: Verbesserung der Sicherheitscodestandards von Paysafe

Als multinationaler Online-Zahlungsanbieter hat Paysafe die sichere Codierung stets als strategische Priorität betrachtet, die über die Erfüllung der PCI-DSS-Konformitätsanforderungen hinausgeht. Obwohl formelle Präsenzschulungen und Kompetenzbewertungen durch Experten Teil ihrer frühen Arbeit waren, war es stets das Ziel von Paysafe, den Umfang und die Reichweite seines Programms zur sicheren Codierung kontinuierlich zu erweitern, um einen erstklassigen Ansatz für die Anwendungssicherheit zu gewährleisten und sicherzustellen, dass die Ingenieure von Anfang an sicheren Code schreiben.

„Für uns ist die von uns angebotene Schulung nie nur das Ankreuzen eines Kästchens. Unser Ziel ist es, unseren Mitarbeitern die kontinuierlichen Entwicklungen näherzubringen. Wir sind ständig bestrebt, besser zu werden und mehr zu leisten. Wir möchten, dass das Engineering-Team und das Sicherheitsteam zusammenarbeiten. Teams, die selbst entwickeln können, verstehen die Situation besser und können besseren Code entwerfen“, sagt Boyan Hristov, Personalentwicklungs-Partner bei Paysafe.

Die Vision von Paysafe ist es, Sicherheit nach links zu verschieben, sicherheitsbewusste Ingenieure auszubilden und sichere Codierungspraktiken in jede Phase des Softwareentwicklungslebenszyklus zu integrieren. Um dies zu unterstützen, benötigen sie ein skalierbares, ansprechendes und kontinuierliches Programm, das nicht nur Audit-Nachweise für PCI-Compliance-Zwecke liefert, sondern auch einen tiefgreifenden und dauerhaften Kulturwandel vorantreibt.Dazu gehören spielerische Lernerfahrungen, regelmäßige Wettbewerbe und kontinuierliche Schulungen, um Entwickler zu begeistern und sie dazu zu motivieren, an der Spitze der Sicherheitstrends der Branche zu stehen.

Lösung: Einsatz modernster Methoden von Security Code Warriors

Paysafe nutzt Secure Code Warrior Entwickler-Risikomanagement Secure Code Warrior , um sichere Codierungspraktiken zu fördern, Ingenieure zu gewinnen und Sicherheit frühzeitig in den Entwicklungszyklus zu integrieren. Im Laufe der Zeit hat sich ihr Sicherheitsprogramm weiterentwickelt, wobei Secure Code Warrior eine entscheidende Rolle bei der Erreichung der Ziele im Bereich der Cyber-Risikoprävention gespielt hat.

Paysafe ermöglicht Entwicklern eine organische Einbindung in die Plattform und fördert Gamification-Aktivitäten, wie beispielsweise Turniere mit attraktiven Preisen, um Entwickler zu motivieren und zu begeistern. Bei der Einführung des Programms wurden einige Bewertungen vorgeschrieben, um die PCI-Compliance-Anforderungen zu erfüllen, und es wurden weitere Inhalte und Aktivitäten als Optionen angeboten.

Mit zunehmender Aufmerksamkeit für das Programm stellte die Unternehmensleitung zusätzliche Unterstützung bereit und koordinierte die Ziele der Entwicklungs- und Informationssicherheitsteams noch stärker. Dadurch konnte das Paysafe-Team das Programm auf eine neue Ebene heben und ein formelleres Zertifizierungsprogramm einführen, das festgelegte Leistungskennzahlen und Erfolgsanreize umfasst.

Die nächste Phase des Programms konzentriert sich auf die zehn wichtigsten Themen der OWASP-Branchenstandards. Die Zertifizierungsphase ermöglicht es Entwicklern, durch verschiedene Leistungsstufen voranzukommen. Das Programm hat nun ein neues Maß an Umfang und Reife erreicht und die Benchmark-Standards für Entwickler, von Vollzeitmitarbeitern bis hin zu Zeitarbeitskräften, umfassend verbessert.

„Wir legen großen Wert auf die Partnerschaft, die wir in den letzten vier Jahren mit SCW aufgebaut haben. Wir haben uns gemeinsam dafür eingesetzt, zum ersten Mal einen Sicherheitscode zu entwickeln und so früh wie möglich im SDLC gezielte Schulungen zur Anwendungssicherheit anzubieten, um eine engere Beziehung zwischen unseren Sicherheits- und Ingenieurteams zu fördern“, sagte Alan Osborne, Chief Information Security Officer bei Paysafe.

Unter der kontinuierlichen Unterstützung und Koordination des Chief Information Security Officers, des Chief Technology Officers und der leitenden Ingenieure arbeitet Paysafe mit Security Code Warriors zusammen, um sein Programm weiterzuentwickeln. Heute ist das Programm eng mit den Geschäftsanforderungen verknüpft, liefert konkrete Ergebnisse und ist für die internen Teams nach wie vor relevant und attraktiv.

Ergebnis: Neuer Standard für Sicherheitscodes in der gesamten Organisation

Seit Beginn vor vier Jahren hat Paysafe seine Sicherheitsmaßnahmen für Anwendungen verbessert. Durch die Zusammenarbeit mit Secure Code Warrior hat Paysafe bewiesen, dass ein ganzheitlicher Ansatz für das Risikomanagement von Entwicklern einen enormen Einfluss auf das gesamte Unternehmen haben kann.

Die Analyse der SAST-Scan-Daten durch Paysafe zeigt, dass Anwendungen, die von Teams entwickelt wurden, die eine Secure Code Warrior-Schulung absolviert haben, deutlich weniger Schwachstellen aufweisen, die in frühen Entwicklungsphasen beim Scannen entdeckt werden. In Teams, deren Entwickler sich aktiver an der SCW-Plattform beteiligen, wird die Anzahl der beim ersten Scan entdeckten Schwachstellen weiter reduziert.

Die Teams Secure Code Warrior stellten fest, dass die Anzahl der in frühen Entwicklungsphasen entdeckten Schwachstellen im Vergleich zum Vorjahr deutlich zurückgegangen ist. Dies unterstreicht den Mehrwert einer kontinuierlichen, kompetenzbasierten Schulung für die Stärkung sicherer Programmiergewohnheiten. Die Erstellung sicherer Codes von Anfang an sparte ihren Teams und anderen Teams im SDLC viel Zeit. Durch die Vermeidung von Schwachstellen in frühen Entwicklungsphasenmüssen keine Code-Schwachstellen mehr identifiziert, dokumentiert und überarbeitet werden, wodurch Tausende von Stunden an Entwicklungszeit eingespart werden. Dies steigert die Effizienz der Entwickler um 45 % und unterstreicht die Vorteile einer Verbesserung der Fähigkeiten im Bereich sicheres Programmieren und der täglichen Entwicklungsprozesse. Für das Engineering-Team und das AppSec-Team ist dies eine Win-Win-Situation.

Paysafe hat sich mit seinem Engagement für den Sicherheitscode hervorgetan und den vierten Platz^im SCW^{Trust Score® im Bereich Bank- und Finanzdienstleistungen} erreicht. Obwohl dies eine Leistung ist, auf die das Unternehmen stolz ist, geht das Engagement von Paysafe für das Sicherheitscode-Programm noch weiter. Paysafe ist von den Ergebnissen der Zusammenarbeit mit Secure Code Warrior begeistert und strebt eine weitere Verbesserung des Programms an.

Alan Osborne, Chief Information Security Officer bei Paysafe, sagte: „Secure Code Warrior hilft uns, die Produktivität unserer Entwickler zu steigern, die Markteinführung von Produkten und Verbesserungen zu beschleunigen und im Laufe der Zeit Kosten und Risiken deutlich zu senken.“ „Wir haben bewiesen, dass sicheres Codieren, angetrieben durch eine verstärkte Schulung der Entwickler, nicht nur eine „gute Sache“ ist, sondern eine lohnende Investition, die einen echten Return on Investment bringt und gleichzeitig die Fähigkeiten, Erfahrungen und Kompetenzen unserer Entwickler stärkt.“

Als nächstes strebt Paysafe an, seine Sicherheitsstandards durch die Integration zusätzlicher Governance- und Risikomanagementmaßnahmen in seine Prozesse weiter zu implementieren. SCW Trust Agent wird seine langjährige Partnerschaft mit Secure Code Warrior vertiefen und damit sein Engagement für herausragende Cybersicherheit unter Beweis stellen.