Faktor 2: Unterstützung durch die Geschäftsführung

In unserem letzten Beitrag haben wir festgestellt, dass ein wirklich erfolgreiches Programm für sichere Softwareentwicklung seine Ziele durch eine direkte Verknüpfung mit kritischen Geschäftsergebnissen definieren muss (Faktor 1: Definierte & messbare Erfolgskriterien). Doch ein erfolgreiches Programm braucht mehr als nur Ziele und Kennzahlen; es benötigt Rückhalt, Sichtbarkeit und Glaubwürdigkeit aus den obersten Führungsebenen des Unternehmens.

This brings us to Enabler 2: Senior Leadership Sponsorship, a critical factor in ensuring widespread buy-in and adoption for your program. Securing C-Suite/Executive buy-in is essential for driving a smooth program rollout and helping drive sustained interdepartmental support.

Aktives Engagement statt passiver Kenntnisnahme

Damit sichere Softwareentwicklung erfolgreich sein kann, muss die Führungsebene voll hinter dem Programm stehen. Es ist absolut notwendig, dass die Führungskräfte aktiv unterstützen, anstatt das Programm nur passiv zur Kenntnis zu nehmen. Sie müssen das „Was & Warum“ des Programms voll und ganz mittragen.

Entscheidend ist, dass die Namen der Führungskräfte mit dem Programm und den angestrebten Geschäftsergebnissen verknüpft sind. Sie müssen von der grundlegenden Verbindung zwischen effektiven Praktiken für sichere Softwareentwicklung und der unternehmensweiten Risikominimierung überzeugt sein.

In der Praxis kann das so aussehen:

Executive Participation in Program Launch - This may come in the form of email communications, company-wide kickoffs, departmental meetings, and more. They can communicate the program's rationale from the start to help build buy-in from the developer organization.

Celebrating Wins - Leadership actively celebrating developer wins can go a long way in incentivizing program participation. Whether it’s presenting awards to developers in meetings, shout-outs or kudos in company communications, or even having an executive signature on certificates of completion, it often helps developers to know that leadership is watching and appreciates their efforts.

Reviewing Value and ROI - A regular cadence of reviewing the Joint Success Plan with leadership helps ensure the program's value and return on investment (ROI) are realized. When necessary, leadership can help pull in necessary resources to help continue gaining buy-in for a program.

‍

The Critical C-Suite Lineup

Damit ein Programm für sichere Softwareentwicklung an Bedeutung gewinnt und strategisch wichtig wird, sollte die Beteiligung idealerweise über eine einzelne Führungskraft hinausgehen. Zu den wesentlichen Sponsoren auf C-Ebene sollten der/die CIO(s), der CDO/CTO und der CISO gehören. In größeren Unternehmen ist es notwendig, alle drei Rollen an Bord zu haben.

Diese Rollen bieten unterschiedliche Einflussbereiche, die für den Erfolg des Programms entscheidend sind:‍

• ‍CIO (Chief Information Officer): Diese Person entscheidet, was die Entwickler bauen, um das Geschäft zu unterstützen und voranzubringen. In großen Unternehmen kann es mehrere Geschäftsbereiche mit eigenen CIOs geben, die möglicherweise von einem globalen CIO geleitet werden, der die gesamte IT-Struktur beaufsichtigt.
• ‍CDO/CTO (Chief Development Officer / Chief Technology Officer): Diese Person entscheidet, wie die Entwickler bauen. Dies umfasst die Festlegung von Designstandards und -mustern, Entwicklungstools, Anwendungsarchitektur und Build-Pipelines. Es ist wichtig, dass diese Führungskraft die Sicherheit unterstützt, damit Ihr Programm in die Engineering-Strategie integriert werden kann.
• ‍CISO (Chief Information Security Officer): Diese Führungskraft ist dafür verantwortlich, dass die Entwickler auf sichere Weise bauen. Ihre Aufgabe ist es sicherzustellen, dass die vom Unternehmen genutzten Anwendungen sicher sind, um Datenpannen oder übermäßige Risiken zu vermeiden.
  ‍

Why the CISO Alone is Not Enough

While the CISO plays a fundamental role in driving risk management and compliance, relying solely on them can be a challenge. It is a harsh reality that developers may not be incentivized by, or necessarily respond to, the CISO alone.

Therefore, at least one of the ‘voices from the top’ communicating the ‘why’ of the program to the development community needs to be credible and respected by the majority of those developers.

Mit klar definierten Zielen (Faktor 1) und gesichertem politischem Rückhalt (Faktor 2) ist das Programm bereit, an Dynamik zu gewinnen. Als Nächstes folgt Faktor 3: Kommunikationsplan für Entwickler.

Haben Sie weitere Fragen?

Kunden können sich an das Account-Team oder support@securecodewarrior.com wenden. Interessenten können mit einem Mitglied unseres Vertriebsteams sprechen, indem sie uns hier kontaktieren.

Lesen Sie unseren letzten Erfolgsfaktor zum Thema definierte, messbare Erfolgskriterien.