Enabler 1: Definierte & messbare Erfolgskriterien

Wir beginnen unseren tiefen Einblick in die 10 Erfolgsfaktoren mit dem grundlegenden Schritt: Enabler 1: Definierte & messbare Erfolgskriterien. Wenn ein Programm für sichere Programmierung eine Reise ist, dann ist der erste und wichtigste Schritt, genau zu wissen, wohin die Reise geht. Das ist der Kern des ersten Erfolgsfaktors.

Erfolgskriterien mit Geschäftsergebnissen verknüpfen

Der Aufbau eines erfolgreichen Programms für sichere Programmierung erfordert klare Ziele, die eng mit den Geschäftsergebnissen verknüpft sind. Enabler 1 beantwortet die Kernfragen: „Welches Problem oder welchen Schwachpunkt wollen wir mit unserem Programm für sichere Programmierung ganz konkret und messbar lösen?“

Vielleicht möchte Ihr Unternehmen Compliance-Anforderungen erfüllen oder Sicherheitsverletzungen und Cyberangriffe vermeiden. Oder Sie möchten als Unternehmen frühzeitig ansetzen (Shift Left), um Kosten und Zeit für Nachbesserungen zu reduzieren, indem Sie Entwickler von Anfang an in sicherer Programmierung schulen.

Unabhängig von Ihren Beweggründen, dem aktuellen Stand Ihres Unternehmens oder der von Ihnen gewählten Plattform für Sicherheitsschulungen hängt der langfristige Erfolg Ihres Programms maßgeblich davon ab, dass Sie klar definierte, an Geschäftszielen ausgerichtete Ziele festlegen, um Akzeptanz zu gewinnen und dauerhaften Erfolg zu sichern.

Consider key stakeholders of your program when determining Success Criteria. Knowing your executive sponsors and their business objectives will help drive wider adoption across departments.

‍Erfolg greifbar und messbar machen

Diese Ziele müssen naturgemäß spezifisch für Ihr Unternehmen sein. Dennoch sollten Sie diese typischen Geschäftsziele prüfen und überlegen, wie sie Sie zu weiteren Ideen inspirieren könnten:

Risk Reduction: Mitigate developer risk and reduce vulnerabilities introduced by coding flaws. This includes risk identification and reducing the application attack surface.

Programs often target metrics like Vulnerability Density or Vulnerability Injection Rate reduction and avoidance.

Operational Velocity: Maximize product delivery velocity, reducing developer frustration and attrition, and decreasing the amount of time spent on rework. Secure code training acts as a significant incentive for developers by helping them avoid time-consuming rework of buggy code identified later in the software development lifecycle.

Programs often target a reduction in developers' Mean Time to Remediate (MTTR) vulnerabilities.

Regulatory Compliance: Achieve external compliance, such as adhering to standards like PCI-DSS (which mandates training for all developers working on payment systems).

Talent and Trust: Raise engagement and awareness of Security & Vulnerabilities within the developer organization, while maintaining and building customer trust. For some businesses, security-enabled developers help establish market differentiation.

Programs often establish minimum skill requirements for developers or even create specialized Security Champion programs.

‍Erfolg in einem gemeinsamen Erfolgsplan dokumentieren

‍Sobald Sie Ihre Erfolgskriterien definiert haben, besteht der nächste Schritt darin, diese in einem gemeinsamen Erfolgsplan zu dokumentieren. Dieser Plan dient als funktionsübergreifender Leitfaden für alle wichtigen Stakeholder Ihres Programms, einschließlich externer Unterstützung wie dem CSM Ihrer Schulungsplattform.

Der Erfolgsplan enthält:

1. Werttreiber: Dazu gehören die übergeordneten Geschäftsziele im Zusammenhang mit der Verbesserung der Codesicherheit und die Beantwortung des „Warum“ für Ihr Programm.
2. Aktueller Status: Dies definiert den Ausgangspunkt („Wo stehen wir jetzt?“, z. B. aktuelle Fähigkeiten in sicherer Programmierung oder bestehende Schulungsprogramme).
3. Zukünftiger (gewünschter) Status: Als Nächstes dokumentieren Sie „Wo wollen wir hin?“ und legen fest, wie die Lücke bei den Fähigkeiten in sicherer Programmierung geschlossen werden soll.
4. KPIs / Messgrößen: Dies sind die Kennzahlen, die den Erfolg belegen und zeigen, dass die Lücke zwischen dem aktuellen und dem zukünftigen Status während der Einführung des Programms kleiner wird.

Wir empfehlen, mit 1 oder 2 spezifischen Kennzahlen zu beginnen und diese bei Bedarf später zu erweitern. Diese KPIs/Messgrößen müssen dem S.M.A.R.T.-Prinzip entsprechen (spezifisch, messbar, erreichbar, relevant, terminiert). Sie sollten leicht nachverfolgbar sein und keinen Spielraum für vage Interpretationen lassen. Um den Plan in die Tat umzusetzen, ist gegenseitige Verantwortlichkeit erforderlich, ebenso wie ein regelmäßiger, vereinbarter Rhythmus, um den Wert und den ROI gemeinsam mit der Führungsebene zu überprüfen.

Durch die explizite Definition und Messung dieser Kriterien entwickelt sich Ihr Programm für sichere Programmierung von einem reinen Kostenfaktor zu einem nachweisbaren Treiber für entscheidende Geschäftsergebnisse – ein notwendiger erster Schritt auf dem Weg zur Programmreife.

Als Nächstes befassen wir uns mit Enabler 2: Unterstützung durch die Geschäftsführung, um die Schlüsselrolle zu erörtern, die Führungskräfte bei der erfolgreichen Einführung eines Programms für sichere Programmierung spielen.

Haben Sie weitere Fragen? Kunden können sich an ihr Account-Team oder an support@securecodewarrior.com wenden. Interessenten können mit einem Mitglied unseres Vertriebsteams sprechen, indem sie uns hier kontaktieren.