Meister gegen Trainer: Warum jedes Entwicklungsteam beides braucht

Die Begriffe „Champion“ und „Coach“ gewinnen außerhalb des Sports zunehmend an Bedeutung und sind in den meisten Kontexten stark präsent. Es gibt Lebensberater, Wellness-Coaches, Empathie-Coaches und „Champions“, die in vielen Organisationen gekürt werden. Titel wie „Safety Champion“ oder „Vibe Champion“ werden immer mehr zum Mainstream und sind Teil des Unternehmensgeistes und der Unternehmenskultur. Wenn es hart auf hart kommt, wer möchte dann nicht einen Coach oder Champion an seiner Seite haben?

Institutionen der Cybersicherheitsbranche setzen seit langem Champions ein, um das gute Wort über Sicherheit auf der Entwicklungsebene zu verbreiten und höhere Standards der Softwaresicherheit aufrechtzuerhalten. BSIMM nennt sie die Satellitengruppe, während OpenSAMM und Axway zu den Pioniergruppen gehören, die Sicherheitsexperten als Konzept und formalisiertes Programm. Diese Initiativen überschneiden sich mit einem der Hauptziele der DevSecOps-Bewegung und unterstützen es, die Verantwortung für die Sicherheit von Anfang des Softwareentwicklungsprozesses an allen Teams und Funktionen gemeinsam zu tragen.

Viele Unternehmen, die in ihrem Cybersicherheitsansatz Ziele überschreiten, haben ein offizielles Security-Champion-Programm eingeführt, das wichtige Sicherheitsaufgaben — von der Zusammenarbeit zwischen Teams und allgemeinem Cheerleading bis hin zur Überwachung von Best Practices — Personen überträgt, die Eignung und Leidenschaft für eine solche Rolle zeigen.

Es ist jedoch ziemlich offensichtlich, dass sich die Rolle des „Sicherheitschampions“ verändert, und ein zukunftsorientiertes Unternehmen kann mit einem erweiterten Team, bei dem wichtige Enthusiasten verschiedene, aber ebenso wichtige Funktionen unterstützen, neue Höhen skalierbarer Best Practices erreichen.

Wir definieren den Sicherheitschampion neu und duplizieren ihn, um in einem zukunftssicheren Sicherheitsprogramm wirklich Wirkung zu erzielen. Bist du bereit, dein nächstes Dream Team zusammenzustellen?

Jedes großartige Team steht hinter einem inspirierenden Coach.

Wenn man an Lionel Messi, Michael Jordan und Serena Williams denkt, sind normalerweise nur die eingefleischten Fans in der Lage, Fakten über ihre Trainer zu rezitieren. Es ist jedoch diese enge Stütze, die ihre natürlichen Fähigkeiten, ihr Talent und ihren Ehrgeiz zur Erreichung ihrer Ziele verbessert, die den immensen Erfolg ausmacht, den wir im Rampenlicht sehen.

Niemand erwartet, dass Entwickler einen Grand Slam gewinnen oder ein Tor für Argentinien schießen, verdammt, niemand sollte auch nur erwarten, dass Entwickler Sicherheitsexperten sind (schließlich haben sie sich angemeldet, um coole Funktionen zu entwickeln, nicht um tief in die Sicherheit einzutauchen), aber ein guter Security- „Coach“ ist ihr wahrer Champion im Team.

Ein Sicherheitsexperte auf Entwicklerseite orientiert sich viel mehr an dem, was wir als die Grundlagen eines Coachs ansehen würden. Sie haben eine Leidenschaft für Sicherheit, kennen sich aus und sind ein wichtiger Ansprechpartner, wenn ein Entwickler ein Sicherheitsproblem zu lösen hat. Sie verfügen über das praktische Know-how, das ihnen hilft, das Problem zu beheben und aus ihren Fehlern zu lernen. Gleichzeitig stellen sie sicher, dass das Team die wichtigsten bewährten Sicherheitsmethoden und -werte einhält.

Würde der AppSec-Champion bitte aufstehen?

Ein AppSec-Experte ist ein oft fehlendes Puzzleteil im Sicherheitsprogramm. Sie sind absolut entscheidend für den Erfolg eines Entwicklungsteams und als Brücke zwischen der Geschäftsleitung und den Entwicklern können sie sich aktiv für sie einsetzen und ihnen die Tools an die Hand geben, die sie benötigen, um die Reduzierung von Sicherheitslücken, die Softwaresicherheit sowie das Vertrauen und die Zufriedenheit der Kunden positiv zu beeinflussen.

Ein großer AppSec-Champion ist innerhalb des Unternehmens als führendes Sicherheitsunternehmen anerkannt, und er sollte eine wichtige Rolle bei der Schulung der Sicherheit spielen Trainer direkt, mit dem Endziel, bessere Ergebnisse und Beziehungen zwischen den Teams zu erzielen, alles im Dienste eines gemeinsamen Ziels: einem umwerfenden, wasserdichten Sicherheitscode.

Du rufst deinen Supercoach herbei.

Champions und großartige Trainer gehen Hand in Hand und zusammen erzeugen sie Magie. Bestehende Programme für Sicherheitsprofis konzentrieren sich in der Regel auf den Entwickler, aber wie wir festgestellt haben, sollte die AppSec-Seite die wahren Befürworter sein. Überlassen Sie es den leidenschaftlichsten, sicherheitsbewusstesten Entwicklern, die unter der Haube zu Höchstleistungen im Bereich der sicheren Programmierung beitragen, was dem Rest des Teams Auftrieb gibt.

Die Suche nach dem idealen Trainer ist immer noch ein ähnlicher Prozess wie beim traditionellen Champion: Der beste Trainer ist nicht einfach die Person, die in Sachen Sicherheit „am besten“ ist. Die Person, die zufällig hervorragend darin ist, sicher zu programmieren und qualitativ hochwertigen, geschützten Code zu erstellen, hat vielleicht kein Interesse daran, eine außerschulische Rolle zu übernehmen, oder vielleicht ist sie trotz ihrer Eignung nicht besonders begeistert von Sicherheit.

Stattdessen könnte dein Coach entdeckt werden, wenn du jemanden suchst, der:

• Interessiert sich sehr für Cybersicherheit, von der praktischen Programmierung bis hin zur Information über die neuesten Vorfälle, Tools und coolen Entwicklungen
• Hat gute zwischenmenschliche Fähigkeiten; sie helfen gerne anderen, fühlen sich als Ansprechpartner (oder Experte vor Ort) und sind ansprechbare Teamplayer
• Sie können bei der Interessenvertretung auf Entwicklerseite proaktiv sein; sie wissen, was benötigt wird, um dem Team zu helfen, und können mit ihrem AppSec-Ansprechpartner (ihrem Champion) zusammenarbeiten, um die Bedürfnisse zu erfüllen, damit gemeinsame Sicherheitsergebnisse erzielt werden können.

Bieten Sie Anreize für die Trainerposition; wen auch immer Sie wählen Testament müssen mehr Verantwortung übernehmen, und ihre Arbeitsbelastung muss entsprechend bewertet werden. Persönliches Interesse und beruflicher Werdegang beeinflussen zwar die Motivation eines potenziellen Trainers, aber es ist eine gute Praxis, herauszufinden, wo er noch dafür belohnt werden kann, dass er Tore schießt. Können sie zu einer großartigen Konferenz geschickt werden? Können sie etwas zusätzlichen Urlaub bekommen? Können Kurse und Zertifizierungen für sie finanziert werden? Zeit und Geld, die jetzt dafür aufgewendet werden, den SDLC von Anfang an abzusichern, spart später im Zyklus viel mehr — oder schlimmer noch, wenn eine Sicherheitslücke live entdeckt wird — und ein guter Coach sorgt dafür, dass das Bewusstsein hoch bleibt. Finden Sie einen Weg, sinnvolle Belohnungen bereitzustellen.

Ihr Security-Champion-Programm der nächsten Stufe.

Letztlich müssen wir als Branche mehr tun, um Entwickler zu unterstützen und sie für die dunkle Seite der Sicherheit zu gewinnen, indem wir sie auch dazu motivieren, zu erkennen, dass Qualitätscode sicherer Code ist. Es ist schwierig, sich um etwas zu kümmern, wenn die Zeit und der Aufwand, um sie aufzuklären und Erfolg zu ermöglichen, nicht aufgewendet wurden, und leider ist das bei der Ausbildung in sicherem Programmieren eher der Fall. Relevantes, praxisnahes Weiterqualifizieren in Zusammenarbeit mit einem Peer-Coach und AppSec-Befürworter ist wirklich der Dreifacherfolg, den man braucht, um das Entwicklungsteam zu stärken, damit es seine Verteidigungskraft entfalten kann.