Warum wir den menschlichen Faktor in der Cybersicherheit auf keinen Fall vernachlässigen dürfen

Wir freuen uns sehr, dass kürzlich der erste Beitrag des Forbes Technology Council von unserem Vorsitzenden und CEO Peter Danks veröffentlicht wurde. Dieser Artikel beschreibt detailliert, wie die Fähigkeiten von Entwicklern verbessert werden können, um sichereren Code zu erstellen, der entscheidend für die Verhinderung von Cyberangriffen und Datenlecks ist. Darüber hinauser zeigt auch, wie diese sicherheitsbewussten Entwickler dazu beitragen können, besseren und sichereren Code zu liefern, als vielen IT-Abteilungen bewusst ist. Der Bedarf an einem solchen Ansatz ist zweifellos dringend. Eine aktuelle Studie hat ergeben, dass derzeit alle 39 Sekunden ein Cyberangriff stattfindet, und wir alle haben gesehen, welche Störungen ein einziger erfolgreicher Ransomware-Angriff auf die Colonial Pipelineverursacht hat, der aus einer größeren Perspektive betrachtetweniger zerstörerisch war als der Hackerangriff auf SolarWinds.

‍

Viele gängige Sicherheitslücken bestehen weiterhin, da niemand bereit ist, Entwicklern zu zeigen, wie sie schlechte Codierungsmuster durch sicherere und zuverlässigere Methoden ersetzen können, mit denen sich dieselben Funktionen besser ausführen lassen. Darüber hinaus ist die Behebung von Softwarefehlern in einer späten Phase der Softwareentwicklung mit extrem hohen Kosten verbunden, sowohl was den Zeitaufwand als auch die Verzögerung bei der Bereitstellung angeht. Die Behebung von Fehlern nach der Bereitstellung des Codes kann manchmal Millionen von Dollar kosten, insbesondere wenn Angreifer zuvor unentdeckte Sicherheitslücken ausnutzen.Dabei ist der Schaden für den Ruf des Unternehmens nach einem schwerwiegenden Verstoß noch nicht einmal berücksichtigt.

Entwickler, die eine Sicherheitsschulung absolviert haben, werden natürlich zu besseren Programmierern. Natürlich sollte der Chief Information Security Officer (CISO) seine Sicherheitswerkzeuge nicht kurzfristig aufgeben, aber durch einen integrativen, präventiven Sicherheitsansatz der obersten Führungsebene kann der CISO die größte Ressource seines Unternehmens nutzen, nämlich den Faktor Mensch, insbesondere wenn es um sicheres Programmieren zu Beginn des Softwareentwicklungszyklus geht.

Dazu sollten Sie sich die folgenden drei wichtigsten fortgeschrittenen Strategien merken.

1. Proaktiv statt passiv

Unternehmen geraten oft in die Falle, nur passiv zu reagieren, beispielsweise auf das Verhalten von Wettbewerbern, anstatt eine einzigartige Vision zu entwickeln und zu verfolgen. Wenn es um Sicherheitslücken im Code geht, verhalten sich viele ebenfalls so und nehmen Cybersicherheit erst dann ernst, wenn eine erfolgreiche Sicherheitslücke aufgedeckt wurde. Leider ist der Schaden dann bereits angerichtet,und die Kosten für Strafen, Rückforderungen, Kundenverluste und Markenwiederherstellung übersteigen den Gewinn. Eine weitere Reaktion statt Aktion besteht darin, sich auf automatische oder manuelle Code-Scans zu verlassen, um Schwachstellen im vorhandenen Code zu entdecken, anstatt sich von Anfang an auf die Erstellung von sicherem Code zu konzentrieren. Leider ist das Scannen von Code keine perfekte Lösung, was bedeutet, dass je mehr Schwachstellen der Code enthält, desto größer die Wahrscheinlichkeit ist, dass bestimmte Schwachstellen übersehen werden.

Nur durch einen proaktiven Ansatz und die Zusammenarbeit mit Entwicklern, um ihnen von Anfang an bei der Erstellung von sicherem Code zu helfen, kann ein Softwareentwicklungslebenszyklus aufgebaut werden, der die Wahrscheinlichkeit, dass Code-Schwachstellen an Benutzer weitergegeben werden, erheblich verringert.

2. Verbessern Sie Ihre Fähigkeiten, ohne sie übermäßig zu korrigieren.

Wenn Sie sich entschließen, Entwicklern das für die Erstellung sicherer Codes erforderliche Wissen zu vermitteln, wählen Sie Ihre Methode mit Bedacht aus. Interne Schulungsseminare, die die Programmierarbeit unterbrechen, frustrieren sowohl Entwickler als auch Manager. Externe Kurse, die abends oder am Wochenende besucht werden müssen, sind noch weniger beliebt. Der beste Ansatz besteht darin, die Programmierkenntnisse schrittweise zu vermitteln und relevante Informationen während des Codierungsprozesses nach und nach einzuführen – im Wesentlichen geht es darum, die Fähigkeiten zu verbessern, ohne die Entwickler übermäßig abzulenken oder den Entwicklungsprozess zu verlangsamen.

3. Motivieren Sie , statt anzunehmen

Entwickler sollten die Verbesserung ihrer Sicherheitskompetenzen nicht als Strafe oder reine Plackerei betrachten. Manager müssen Entwickler motivieren, indem sie ihnen vermitteln, wie wichtig Sicherheitscodes für den Erfolg des Unternehmens sind. Ebenso wichtig ist es, ihnen zu vermitteln, dass Entwickler mit Sicherheitskompetenzen für das Unternehmen wertvoller sind und in Zukunft von besseren Karrierechancen profitieren werden.

Die Biden-Regierung begrüßt dies. Die Exekutivverordnung verstärkt die Aufmerksamkeit für Cybersicherheit und die Notwendigkeit, „Kriterien zur Bewertung der Sicherheitspraktiken von Entwicklern und Anbietern einzubeziehen und innovative Instrumente oder Methoden zu entwickeln, um die Einhaltung von Sicherheitspraktiken nachzuweisen“. Doch obwohl solche Instrumente unverzichtbar sind,reicht dies nicht aus. Kein Tool kann vollständig verhindern, dass Einzelpersonen die installierten Systeme und Tools in irgendeiner Weise ignorieren, missverstehen, missbrauchen oder auf andere Weise umgehen. Um die Sicherheit des Unternehmens zu maximieren, müssen Chief Information Security Officers den menschlichen Faktor nutzen und Entwickler dazu ermutigen, freiwillige Sicherheitsbefürworter und -praktiker zu werden.