Die Compliance im Finanzsektor hängt von der Softwaresicherheit ab.

Finanzinstitute haben gute Gründe, die Sicherheit ihres Software-Codes zu gewährleisten. Ein offensichtliches Motiv ist der Schutz vor Datenpannen, die durch den Verlust personenbezogener Daten, Bereinigungskosten, Bußgelder, Entschädigungszahlungen und Reputationsschäden teuer werden können. Ein weiterer dauerhafter Grund ist die Notwendigkeit, eine Vielzahl von Branchen- und Regierungsauflagen zu erfüllen.

Da Finanzdienstleister mit einer Vielzahl sensibler persönlicher und finanzieller Informationen sowie mit Kundengeldern arbeiten, unterliegen sie einer strengen Regulierung. Je nach Leistungsangebot müssen Unternehmen eine Reihe von Regeln und Anforderungen einhalten.

Der Payment Card Industry Data Security Standard (PCI DSS) ist beispielsweise für seine Regeln zum Schutz von Karteninhaberdaten bekannt. Anforderungen im Sarbanes-Oxley Act regeln die Verwaltung von Finanzunterlagen. International tätige Unternehmen sind mit dem Digital Operational Resilience Act (DORA), einem verbindlichen Rahmenwerk für das Risikomanagement, sowie den globalen Standards für Überweisungen der Society for Worldwide Interbank Financial Telecommunication, bekannt als Swift, vertraut.

Zudem legen Gesetze wie der California Consumer Privacy Act (CCPA) und die EU- Datenschutz-Grundverordnung (DSGVO) Anforderungen an den Schutz der Privatsphäre und personenbezogener Daten von Kunden fest. Hinzu kommen weitere Vorschriften, etwa durch das U.S. Office of the Comptroller of the Currency (OCC) und die Europäische Zentralbank (EZB).

Darüber hinaus besagt die National Cybersecurity Strategy unter anderem, dass Softwarehersteller für ineffektive Software-Sicherheit zur Verantwortung gezogen werden sollten. Die Cybersecurity and Infrastructure Security Agency (CISA) hat gemeinsam mit 17 US-amerikanischen und internationalen Partnern Leitlinien zu Secure-By-Design-Prinzipien für die Softwareentwicklung herausgegeben.

Ein roter Faden für Finanzdienstleister ist, dass sicherer Code ein entscheidendes Element ist, um die Ziele dieser Regulierungen zu erreichen und den Nachweis der Compliance zu erleichtern. Dies unterstreicht, warum Entwickler Schulungen und Weiterbildungen benötigen, um sicherzustellen, dass Sicherheit bereits zu Beginn des Entwicklungsprozesses in den Code integriert wird.

Als Beispiel für die praktische Umsetzung betrachten wir die neueste Version von PCI DSS.

Sicheres Programmieren (und Entwicklerschulungen) stehen im Mittelpunkt von PCI DSS 4.0

PCI DSS 4.0, das seit dem 1. April 2024 verbindlich ist, enthält mehrere wesentliche Aktualisierungen gegenüber PCI DSS 3.2.1 – nicht zuletzt die Betonung der Rolle, die Entwickler bei der Gewährleistung von sicherem Software-Code spielen.

PCI hat die Bedeutung sicherer Software schon lange erkannt. Version 2.0, die 2017 veröffentlicht wurde, enthielt Leitlinien für Entwickler zur Sicherung von Transaktionen auf Mobilgeräten. Die Leitlinien in Version 4.0 betonen nun die Anwendung von Best Practices für Sicherheit in der Softwareentwicklung und enthalten spezifische Empfehlungen zur Entwicklerschulung.

Die Anforderungen sind oft allgemein gehalten, wobei Unternehmen möglicherweise einen gründlicheren Ansatz verfolgen möchten.

Eine Anforderung aus Version 4.0 besagt beispielsweise, dass „Prozesse und Mechanismen für die Entwicklung und Wartung sicherer Systeme und Software definiert und verstanden sein müssen“. Ein guter Weg, dies sicherzustellen, ist eine präzise Schulung der Entwickler in den von ihnen verwendeten Programmiersprachen und Frameworks, um Wissenslücken zu schließen.

Eine weitere Anforderung besagt, dass Entwickler, die an maßgeschneiderter Software arbeiten, mindestens alle 12 Monate geschult werden müssen, wobei folgende Themen abzudecken sind:

• Software-Sicherheit in Bezug auf ihre Aufgaben und Entwicklungssprachen.
• Sicheres Software-Design und Programmiertechniken.
• Der Einsatz von Sicherheitstest-Tools – sofern verwendet – zur Erkennung von Schwachstellen in der Software.

In der Realität reicht eine jährliche Schulung jedoch nicht aus, um grundlegende Sicherheitsprobleme anzugehen und schlechte Programmiergewohnheiten abzulegen. Schulungen sollten kontinuierlich und messbar sein, ergänzt durch einen Prozess zur Überprüfung der Fähigkeiten, um sicherzustellen, dass das Wissen auch korrekt angewendet wird.

PCI DSS 4.0 enthält mehr als ein halbes Dutzend weiterer Anforderungen, die Bereiche wie die Prävention und Eindämmung verschiedener Angriffsarten, die Dokumentation von Softwarekomponenten Dritter sowie die Identifizierung und Verwaltung von Schwachstellen abdecken. In jedem Fall ist es für Unternehmen ratsam, diese Maßnahmen konsequent umzusetzen. Schulungen zu Angriffsvektoren sollten häufiger als nur einmal jährlich stattfinden. Komponenten von Drittanbietern, die häufig eine Schwachstellenquelle darstellen, sollten durch ein Software Bill of Materials (SBOM)-Programm sorgfältig inventarisiert werden. Zudem sollten Unternehmen klare Verantwortlichkeiten für das Schwachstellenmanagement definieren.

Die neue Version bietet Unternehmen zudem mehr Flexibilität bei der Erfüllung der Anforderungen, indem sie sich auf Ergebnisse konzentriert, anstatt nur Checklisten abzuarbeiten, während gleichzeitig neue Anforderungen für Authentifizierungskontrollen, Passwortlängen, gemeinsam genutzte Konten und andere Faktoren eingeführt werden.

Compliance beginnt am Anfang des Software-Entwicklungslebenszyklus

Diese Vorschriften haben gemeinsam, dass sie hohe Standards für den Schutz von Daten und Transaktionen in der Finanzdienstleistungsbranche setzen. Wie bei der neuesten PCI-DSS-Version betonen sie zudem zunehmend die Bedeutung von sicherem Code zu Beginn des Softwareentwicklungszyklus (SDLC). Auch die nationale Cybersicherheitsstrategie und die „Secure by Design“-Prinzipien der CISA übertragen die Verantwortung für Sicherheit den Softwareherstellern – noch vor der Auslieferung. Somit müssen selbst Unternehmen, die nicht direkt unter Finanzregularien fallen, diese Anforderungen erfüllen.

Unternehmen müssen die Lücke zwischen DevOps-Teams (die auf Entwicklungsgeschwindigkeit fokussiert sind) und AppSec-Teams (die Sicherheit unter Zeitdruck in den Prozess integrieren) schließen, indem sie Entwickler darin schulen, Sicherheit fest in ihre Arbeitsweise zu verankern. Dies erfordert jedoch ein komplexes Kompetenzprofil, das über jährliche Schulungen oder starre Standardprogramme hinausgeht. Training sollte kontinuierlich und ag il sein, Lernende mit praxisnahen Szenarien einbinden und in kurzen Einheiten vermittelt werden, die sich in den Arbeitsalltag integrieren lassen.

Finanzdienstleister müssen Sicherheit gewährleisten, um sich vor Sicherheitsverletzungen zu schützen und die immer strengeren Vorschriften einzuhalten. Die Kosten bei Nichteinhaltung können in Bezug auf Reputationsschäden und finanzielle Einbußen genauso verheerend sein wie ein Datenleck. Der Cost of a Data Breach Report 2023 von IBM ergab beispielsweise, dass Unternehmen mit hoher Nichteinhaltung durchschnittlich 5,05 Millionen US-Dollar an Bußgeldern und Folgekosten zu tragen hatten – eine halbe Million Dollar mehr als die durchschnittlichen Kosten eines tatsächlichen Datenlecks.

Das anhaltende Wachstum cloudbasierter Umgebungen und digitaler Transaktionen macht die Sicherheit von Software in der Finanzbranche von größter Bedeutung, was auch Vorschriften wie PCI DSS anerkennen. Der beste Weg zu sicherer Software führt über sicheres Programmieren direkt zu Beginn des SDLC. Dies gelingt durch eine effektive Schulung der Entwickler in sicheren Coding-Praktiken.

Einen umfassenden Überblick darüber, wie sicheres Programmieren zu Erfolg, Sicherheit und Profitabilität in der Finanzbranche beiträgt, finden Sie im neuen E-Book von Secure Code Warrior: The ultimate guide to security trends in financial services.

Besuchen Sie die Secure Code Warrior-Blogseiten für weitere Einblicke in die Cybersicherheit und die zunehmend gefährliche Bedrohungslage. Erfahren Sie, wie Sie innovative Technologien und Schulungen nutzen können, um Ihr Unternehmen und Ihre Kunden besser zu schützen.

‍