Champions vs. Coaches: Warum jedes Entwicklungsteam beides braucht

Die Begriffe „Champion“ und „Coach“ gewinnen außerhalb des Sports zunehmend an Bedeutung und haben in den meisten Kontexten eine starke Wirkung. Es gibt Life-Coaches, Wellness-Coaches, Empathie-Coaches und „Champions“, die in vielen Organisationen gekürt werden. Titel wie „Safety Champion“ oder „Vibe Champion“ werden immer gebräuchlicher und fest in den Geist und die Kultur eines Unternehmens integriert. Wer hätte in schwierigen Zeiten nicht gerne einen Coach oder Champion an seiner Seite?

Institutionen innerhalb der Cybersecurity-Branche nutzen schon lange Champions, um das Bewusstsein für Sicherheit auf Entwicklungsebene zu schärfen und höhere Standards für Softwaresicherheit aufrechtzuerhalten. BSIMM nennt sie Satellite Group, während OpenSAMM und Axway zu den Pioniergruppen gehören, die Security Champions als Konzept und formalisiertes Programm unterstützen. Diese Initiativen überschneiden sich mit einem der Hauptziele der DevSecOps-Bewegung und unterstützen es: das Engagement, die Verantwortung für Sicherheit von Anfang an über alle Teams und Funktionen hinweg im Softwareentwicklungsprozess zu teilen.

Viele Unternehmen, die bei ihrem Cybersecurity-Ansatz Maßstäbe setzen, haben ein offizielles Security-Champion-Programm eingeführt. Dabei werden wichtige Sicherheitsverantwortlichkeiten – von der Vermittlung zwischen Teams und allgemeiner Motivationsarbeit bis hin zur Überwachung von Best Practices – an Personen übertragen, die für eine solche Rolle Eignung und Leidenschaft zeigen.

Es ist jedoch offensichtlich, dass sich die Rolle des „Security Champions“ wandelt. Ein zukunftsorientiertes Unternehmen kann mit einem erweiterten Team neue Höhen bei skalierbaren Security-Best-Practices erreichen, wobei wichtige Enthusiasten verschiedene, aber gleichermaßen wichtige Funktionen unterstützen.

Wir definieren den Security Champion neu und vervielfältigen ihn, um in einem zukunftssicheren Sicherheitsprogramm wirklich etwas zu bewirken. Sind Sie bereit, Ihr nächstes Dream-Team aufzubauen?

Hinter jedem großartigen Team steht ein inspirierender Coach.

Wenn man an Lionel Messi, Michael Jordan oder Serena Williams denkt, können normalerweise nur die eingefleischtesten Fans Fakten über ihre Coaches nennen. Doch es ist genau diese enge Stütze, die ihre natürlichen Fähigkeiten, ihr Talent und ihren Antrieb auf ihre Ziele ausrichtet und den immensen Erfolg hervorbringt, den wir im Rampenlicht sehen.

Niemand erwartet von Entwicklern, dass sie einen Grand Slam gewinnen oder ein Tor für Argentinien schießen. Und niemand sollte erwarten, dass Entwickler Sicherheitsexperten sind (schließlich haben sie unterschrieben, um coole Features zu entwickeln, nicht um tief in die Sicherheit einzutauchen). Aber ein großartiger Security-„Coach“ ist ihr wahrer Champion im Team.

Ein Security Champion auf Entwicklerseite entspricht viel eher dem, was wir als Grundlagen eines Coaches verstehen. Sie sind leidenschaftlich bei der Sache, kennen sich aus und sind der wichtigste Ansprechpartner, wenn ein Entwickler ein Sicherheitsproblem lösen muss. Sie verfügen über das praktische Know-how, um bei der Fehlerbehebung zu helfen und aus Fehlern zu lernen, während sie gleichzeitig sicherstellen, dass das Team auf die grundlegenden Sicherheits-Best-Practices und Werte ausgerichtet ist.

Wird der AppSec-Champion bitte aufstehen?

Ein Champion auf AppSec-Seite ist ein oft fehlendes Puzzleteil im Sicherheitsprogramm. Sie sind für den Erfolg eines Entwicklungsteams absolut entscheidend. Als Brücke zwischen der Geschäftsführung und den Entwicklern können sie sich aktiv für diese einsetzen und ihnen die Werkzeuge an die Hand geben, die sie benötigen, um einen positiven Einfluss auf die Reduzierung von Schwachstellen, die Softwaresicherheit sowie das Vertrauen und die Zufriedenheit der Kunden zu nehmen.

Ein großartiger AppSec-Champion ist als Security-Führungskraft im Unternehmen anerkannt. Er sollte eine große Rolle bei der direkten Ausbildung der Security-Coaches spielen, mit dem Ziel, bessere Ergebnisse und Beziehungen zwischen den Teams zu erzielen – alles im Dienste eines gemeinsamen Ziels: erstklassiger, absolut sicherer Code.

Beschwören Sie Ihren Supercoach.

Champions und großartige Coaches gehören zusammen, und gemeinsam bewirken sie Wunder. Bestehende Security-Champion-Programme konzentrieren sich meist auf den Entwickler, aber wie wir festgestellt haben, sollte das eigentliche Championing auf der AppSec-Seite stattfinden. So können die leidenschaftlichsten, sicherheitsbewussten Entwickler dabei helfen, unter der Haube exzellenten, sicheren Code zu schreiben und den Rest des Teams zu unterstützen.

Die Entdeckung des idealen Coaches ist ein ähnlicher Prozess wie beim traditionellen Champion: Der beste Coach ist nicht einfach die Person, die am „besten“ in Sachen Sicherheit ist. Die Person, die zwar fantastisch darin ist, sicher zu programmieren und qualitativ hochwertigen, gehärteten Code zu liefern, hat vielleicht gar kein Interesse daran, eine zusätzliche Rolle zu übernehmen, oder ist trotz ihrer Eignung nicht besonders von Sicherheit begeistert.

Stattdessen könnten Sie Ihren Coach finden, wenn Sie nach jemandem suchen, der:

• Ein ausgeprägtes Interesse an Cybersecurity hat, vom praktischen Programmieren bis hin zum Auf-dem-Laufenden-Bleiben bei den neuesten Vorfällen, Tools und coolen Entwicklungen.
• Über gute zwischenmenschliche Fähigkeiten verfügt; sie helfen gerne anderen, fühlen sich als Ansprechpartner (oder Resident Expert) und sind zugängliche Teamplayer.
• Proaktiv in der Interessenvertretung auf Entwicklerseite sein kann; sie wissen, was das Team braucht, und können mit ihrem AppSec-Ansprechpartner (ihrem Champion) zusammenarbeiten, um Anforderungen zu erfüllen, damit gemeinsame Sicherheitsziele erreicht werden können.

Bieten Sie Anreize für die Coach-Position; wer auch immer Sie wählen, wird mehr Verantwortung übernehmen müssen, und das Arbeitspensum muss entsprechend angepasst werden. Während persönliches Interesse und berufliche Weiterentwicklung zur Motivation eines potenziellen Coaches beitragen, ist es bewährte Praxis zu prüfen, wie sie sonst noch für ihre Erfolge belohnt werden können. Können sie zu einer großartigen Konferenz geschickt werden? Können sie zusätzlichen Urlaub bekommen? Können Kurse und Zertifizierungen für sie finanziert werden? Zeit und Geld, die jetzt in die Sicherung des SDLC von Anfang an investiert werden, sparen später im Zyklus viel mehr – oder schlimmer noch, falls eine Schwachstelle im Live-Betrieb entdeckt wird – und ein guter Coach hält das Bewusstsein hoch. Finden Sie einen Weg, sinnvolle Belohnungen anzubieten.

Ihr Security-Champion-Programm auf dem nächsten Level.

Letztendlich müssen wir als Branche mehr tun, um Entwickler zu unterstützen und sie für die „dunkle Seite“ der Sicherheit zu gewinnen – indem wir sie motivieren zu erkennen, dass Qualitätscode auch sicherer Code ist. Es ist schwer, sich für etwas zu engagieren, wenn Zeit und Mühe für Schulung und Befähigung fehlen. Genau das ist bei der Ausbildung in sicherem Programmieren leider oft der Fall. Relevante, praxisnahe Weiterbildung in Kombination mit einem Peer-Coach und einem AppSec-Fürsprecher ist der entscheidende Dreiklang, um Entwicklungsteams zu stärken und ihr volles Verteidigungspotenzial freizusetzen.