Haben Sie die Sicherheitsreife Ihres Unternehmens überschätzt?

Eine Version dieses Artikels erschien in Dark Reading. Er wurde aktualisiert und hier syndiziert.


Während die meisten Unternehmen das Auf und Ab von Wachstum, Innovation und digitaler Transformation bewältigen, ist es nur natürlich, dass einige Bereiche bei der Skalierung eines Unternehmens noch in Arbeit sind. Dies ist oft bei Cybersicherheitsprogrammen der Fall, insbesondere da Sicherheitsverantwortliche darum kämpfen, neuen Bedrohungen, Schwachstellen und technologischen Entwicklungen, die das Risiko erhöhen, einen Schritt voraus zu sein.

Doch angesichts eines anhaltenden Fachkräftemangels, der im Widerspruch zur Flut an Code steht, die zur Deckung des weltweiten Softwarebedarfs geschrieben wird, hinken viele Unternehmen bei ihrer Cybersicherheitsstrategie und ihrer bestehenden Infrastruktur hinterher. Und da die Branche scheinbar auf einen toolbasierten Ansatz fixiert ist, wird die Kraft qualifizierter Mitarbeiter in einem funktionierenden Verteidigungsprogramm oft übersehen.

Es ist an der Zeit, unsere allgemeine Cybersicherheitsreife ehrlich zu betrachten und die machbaren schnellen Erfolge zu bewerten, die direkt vor uns liegen.

Nachhaltige Cybersicherheitsreife ist ein Prozess.

Es ist leicht anzunehmen, dass jedes Unternehmen über ein robustes Cybersicherheitsprogramm verfügt und Schutz lediglich eine Frage der Auswahl der richtigen Software ist, die wie ein Schutzschild aktiviert wird, um Angreifer zu stoppen. Da 2022 eines der schlimmsten Jahre für Cybervorfälle war – einschließlich der Erpressung der gesamten costa-ricanischen Regierung –, wünschten sich viele Sicherheitsexperten, es wäre so einfach.

Während viele Branchen – insbesondere im Finanzsektor – compliance-orientiert sind und an immer komplexere regulatorische Rahmenbedingungen gebunden sind, die strenge Sicherheitsmaßnahmen erfordern, mangelt es den meisten Organisationen in der Realität an Cyber-Resilienz. Mehr als die Hälfte der großen Unternehmen weltweit ist nicht in der Lage, Cyberangriffe effektiv zu stoppen oder ausgenutzte Schwachstellen schnell zu finden und zu beheben.

Selbst Organisationen, die als fortgeschritten gelten und über ein definiertes, ausgereiftes Programm verfügen, das das bewährte Trio aus Mensch, Prozess und Technologie umfasst, können Schwierigkeiten haben, mit den schnelllebigen Anforderungen der Bedrohungslandschaft Schritt zu halten. Ein kritischer Bereich, in dem viele Unternehmen Defizite aufweisen, ist das rollenbasierte Sicherheitsbewusstsein, insbesondere bei Entwicklungsteams. Während jeder in einer Organisation verstehen muss, welche Rolle er bei der Verringerung der Angriffsfläche spielt, könnten diejenigen, die täglich mit Code arbeiten, der Schlüssel zu einem wirklich transformativen Sicherheitsansatz sein … wenn sie nur entsprechend geschult würden.

Ein ganzheitliches, defensives Sicherheitsprogramm erfordert kontinuierliche Verbesserung und sorgfältige Aufmerksamkeit beim Legen solider Fundamente. Wenn diese Fundamente überwiegend toolbasiert sind, ist die Wahrscheinlichkeit groß, dass das Reifegradniveau niedriger ist, als Sicherheitsverantwortliche annehmen. Eine Studie des Ponemon Institute ergab, dass 53 % der Unternehmen nicht darauf vertrauten, dass ihr Sicherheits-Tech-Stack Sicherheitsverletzungen effektiv stoppen könnte, und da menschliches Versagen eine Hauptursache für erfolgreiche Cyberangriffe auf große und kleine Unternehmen ist, spielt man mit dem Feuer, wenn man Entwickler bei einer strategischen Sicherheitsverbesserung außen vor lässt.

Machen Sie Entwickler zur treibenden Kraft für Software-Sicherheitsexzellenz

Die unangenehme Wahrheit bei Cyberangriffen ist, dass Angreifer fast immer einen deutlichen Vorteil gegenüber dem Zielunternehmen haben, unabhängig davon, wo es sich auf seinem Weg zur Sicherheitsreife befindet. Sie haben die Zeit, die Werkzeuge und die Motivation, akribisch nach Schwachstellen zu suchen, und widmen sich voll und ganz dem Ziel, einzudringen und Beute zu machen.

Organisationen hingegen jonglieren mit Geschäfts- und Kundenanforderungen. Und obwohl sie sich das immense Risiko eines verheerenden Cyberangriffs nicht leisten können, ist es für den Geschäftsbetrieb nicht praktikabel, sich zu verlangsamen, um eine Fülle von Sicherheitskontrollen unterzubringen, die am Ende die Leistung beeinträchtigen könnten. Hier sind sicherheitsgeschulte Entwickler der entscheidende Faktor für die Cyberabwehr.

Obwohl es längst feststeht, dass Entwickler traditionell nicht dazu befähigt wurden, die Verantwortung für Sicherheit sinnvoll zu teilen, kann und muss sich dies zum Besseren wenden. Organisationen können tragfähige Weiterbildungspfade für Entwickler schaffen, müssen aber Bildungsoptionen wählen, die relevante Kursinhalte auf eine Weise vermitteln, die in ihrer Welt Sinn ergibt. Zumindest sollte dies in den Sprachen und Frameworks geschehen, die sie aktiv nutzen, und die Schwachstellen adressieren, auf die sie in ihrem Code am wahrscheinlichsten stoßen.

Wenn Kurse auf den Arbeitsablauf von Entwicklern ausgerichtet sind, ist die Wahrscheinlichkeit weitaus größer, dass schlechte Codierungsmuster, die häufige Schwachstellen und Fehlkonfigurationen begünstigen, durch gute, sichere Muster ersetzt werden, die die Softwarequalität im Laufe der Zeit erheblich steigern. Software von geringer Qualität kostete die Vereinigten Staaten allein in diesem Jahr 2,41 Billionen Dollar, und dies kann nur durch das Durchbrechen des Fehlerkreislaufs behoben werden, der riskante technische Schulden aufrechterhält.

Es erfordert ein organisationsweites Engagement für ein positiveres, ganzheitliches Sicherheitsprogramm; eines, das die menschliche Kraft nutzt, die erforderlich ist, um bei menschenbezogenen Problemen etwas zu bewirken. Und wenn es wichtig ist, morgen nicht in den Schlagzeilen zu stehen, ist es die Mühe auf jeden Fall wert.