Erfolgreiche Umsetzung von unternehmensweiten Secure-by-Design-Initiativen

Es ist ermutigend zu sehen, wie die Secure-By-Design (SBD)-Bewegung der CISA weltweit an Dynamik gewinnt. Die USA, Australien, Neuseeland, Kanada, Singapur, Japan, Deutschland und Großbritannien verpflichten sich dazu, ähnliche Richtlinien in ihre umfassenderen Cybersicherheitsstrategien zu integrieren, wobei viele dieser Nationen auch zu den ursprünglichen Empfehlungen beigetragen haben.

Seit April 2024 haben mehr als 200 Unternehmen, darunter Secure Code Warrior, das Secure-by-Design-Versprechen unterzeichnet, was ein breiteres Branchenengagement für höhere Softwarequalität und Sicherheitsstandards signalisiert. Wir betrachten diese Richtlinien als entscheidenden Wendepunkt für Cybersicherheitsverantwortliche, die erstmals globale staatliche Unterstützung für einen bedeutenden kulturellen Wandel in der Softwareentwicklung erhalten. Obwohl diese Empfehlungen außerhalb von Softwareanbietern, die direkt an die US-Regierung verkaufen, noch nicht verpflichtend sind, sehe ich dies nicht nur als die Zukunft, sondern als eine goldene Gelegenheit, den Kampf gegen Bedrohungsakteure aufzunehmen. Im Zentrum der Richtlinien steht das Bestreben, ganze Kategorien von Schwachstellen zu beseitigen. Ein branchenweiter Fokus auf dieses Ziel könnte den bedeutendsten positiven Einfluss auf die digitale Sicherheit seit Jahrzehnten haben.

Wir halten diese Bewegung für entscheidend, und unser aktueller Forschungsbericht, Benchmarking Security Skills: Streamlining Secure-by-Design in the Enterprise ist das Ergebnis einer tiefgreifenden Analyse realer Secure-by-Design-Initiativen auf Unternehmensebene und leitet datengestützte Best-Practice-Ansätze ab.

Messung des ROI von unternehmensweiten Secure-by-Design-Bemühungen

Die Überarbeitung langjähriger Softwareentwicklungspraktiken ist keine kleine Aufgabe. CISOs stehen oft vor der Herausforderung, den Return on Investment (ROI) und den geschäftlichen Mehrwert von Sicherheitsprogrammen sowohl auf Mitarbeiter- als auch auf Unternehmensebene nachzuweisen, wobei viele ihre wachsende Frustration über Budgetkürzungen und mangelnde Unterstützung durch die Geschäftsführung für neue Cyber-Initiativen äußern. Ein datengestützter Vorschlag kann hier jedoch den entscheidenden Unterschied machen.

In den letzten Jahren war das Fehlen eines Kompetenz-Benchmarks, der es Unternehmen ermöglicht, ihre Fortschritte im Vergleich zu Industriestandards zu bewerten, eine zentrale Herausforderung. Dies hat es unglaublich schwierig gemacht, Sicherheitsprogramme zu entwickeln und umzusetzen, die die richtigen Bereiche adressieren und die kontinuierliche Verbesserung der Entwickler-Kohorte fördern – ein entscheidendes Element erfolgreicher Softwaresicherheitspraktiken.

Der Schlüssel zum Erfolg von Secure-by-Design-Initiativen liegt nicht nur darin, Entwicklern die Fähigkeiten für sicheren Code zu vermitteln, sondern auch den Regulierungsbehörden zu versichern, dass diese Fähigkeiten vorhanden sind. Daher haben wir uns entschieden, die Bereitschaft der Entwicklerteams zu analysieren, und die Ergebnisse könnten überraschen.

Wie Unternehmen, die ihre SBD-Initiativen beschleunigen wollen, vom Trust Score profitieren können

Es ist praktisch unmöglich, effizient besser zu werden, ohne eine klare Vorstellung davon zu haben, wo man steht und wo man hin will. Hunderte von Unternehmenskunden nutzen jedoch effektiv den SCW Trust Score – einen globalen Benchmark, der die Sicherheitskompetenzen von Entwicklerteams quantifiziert –, um diese hilfreichen, granularen Datenpunkte bereitzustellen. Diese Erkenntnisse prägen hocheffektive, entwicklerorientierte Sicherheitsprogramme, die für erfolgreiche Secure-by-Design-Initiativen förderlich sind.

Die in unserem Whitepaper dargelegte Analyse zeigt, dass Unternehmen in den wichtigsten kritischen Infrastrukturbranchen Fortschritte bei der Vorbereitung ihrer Entwickler auf die Förderung ihrer SBD-Initiativen machen. Wir haben zudem festgestellt, dass die Entwicklerteams dieser Branchen über eine durchschnittliche Sicherheitslage verfügen.

Die Analyse von Secure Code Warrior zur Weiterbildung von Entwicklern in kritischen Infrastrukturbranchen basiert auf Erkenntnissen aus über 20 Millionen Datenpunkten von 600 Unternehmenskunden und mehr als 250.000 aktiven Entwicklern weltweit. Die Analyse ergab:

• Die Gesamtzahl der Entwickler, die derzeit an entwicklerzentrierten SBD-Weiterbildungsinitiativen beteiligt sind, liegt bei weniger als 4 % aller Entwickler weltweit;
• Die Finanzdienstleistungsbranche erzielte mit 336 den höchsten Trust Score;
• Die meisten groß angelegten Secure-by-Design-Weiterbildungsinitiativen sind erfolgreich, während kleinere Initiativen eher verstreut sind. Wenn sie jedoch ein Mandat erhalten, liefern sie nachweislich schneller einen messbaren Return on Investment (ROI);
• Wenn Weiterbildungsinitiativen fest etabliert sind, sind die von Entwicklern in Anwendungen eingebrachten Risiken deutlich geringer. Die Analyse ergab, dass Entwickler in großen Weiterbildungsinitiativen (über 7000 Entwickler in einem Unternehmen) Schwachstellen vorhersehbar um 47–53 % reduzieren können.

Die Lösung | Fazit

Der SCW Trust Score ist ein mächtiges Werkzeug im Arsenal jedes Sicherheitsverantwortlichen und ermöglicht einen umfassenden Drill-Down in spezifische Bereiche eines Unternehmens. Berichte können nach Sprachen, Teams oder Kategorien gefiltert werden, um maßgeschneiderte Auswertungen zu erstellen, die es Unternehmen ermöglichen, auf die spezifischen Bedürfnisse von Entwicklern oder Teams einzugehen und Bereiche zu identifizieren, in denen zusätzliche Schulungen oder Coachings erforderlich sind. Sicherheit ist schließlich ein nie endendes Unterfangen; ein effektives Benchmarking der Leistung hilft dabei, Möglichkeiten zur kontinuierlichen Verbesserung zu erkennen.

Beschleunigte Softwareentwicklung und -bereitstellung, gepaart mit einer immer bedrohlicheren Cyber-Bedrohungslandschaft und zunehmend wachsamen Regulierungsbehörden, haben Cybersicherheit ganz oben auf die Agenda gesetzt. Unternehmen müssen, falls sie es noch nicht getan haben, der Entwicklung einer unternehmensweiten Security-First-Kultur Priorität einräumen.