So führen Sie effektive Sicherheitsschulungen für Entwickler ein: 5 wichtige Lektionen

Warum erzielen manche Schulungsprogramme zur Anwendungssicherheit für Entwickler bessere Ergebnisse als andere?

In meinen über 10 Jahren als SANS-Trainer und den letzten drei Jahren als Gründer und Aufbau von Secure Code Warrior (SCW) habe ich gesehen, wie wertvoll es ist, Zeit und Ressourcen in die Optimierung von Schulungsprogrammen zu investieren.

In unserem ersten Verkaufsjahr haben wir über 10.000 Entwickler in sicherem Programmieren geschult, und ich habe bei denjenigen, die die effektivste Einführung hatten, einige Trends bemerkt. Die Ergebnisse sind erfreulich: hohe Beteiligung, gesteigertes Sicherheitsbewusstsein und ein starker ROI des Programms, da Sicherheitslücken früher erkannt werden, bevor sie teuer werden.

Ich gebe es nur ungern zu, aber es gab auch einige, die den Weg des „geringsten Widerstands“ gewählt und versucht haben, ein Programm per E-Mail mit einem Link zur Schulung einzuführen. Wenig überraschend war der Erfolg mäßig, und wir mussten diese Einführungen korrigieren.

Im Folgenden teile ich fünf wichtige Lektionen, die meiner Meinung nach das Engagement, die Wirkung und den Erfolg jedes Sicherheitsschulungsprogramms für Entwickler – einschließlich unseres eigenen – erheblich steigern werden.

1. Bringen Sie Spaß in den Kick-off, wenn Ihr Programm Wirkung zeigen soll

Ein besonderes Kick-off-Event oder ein Film-, Geek- oder Gaming-Thema für Ihr Programm kann von Anfang an einen großen Unterschied bei Begeisterung und Teilnahme machen. Einer unserer Großkunden hat ein ganzes Fantasy-Programm rund um eine beliebte TV-Serie erstellt – mit T-Shirts, Ansteckern und Aufklebern –, was das gesamte Schulungsprogramm zu einem Erlebnis machte, das kein Entwickler verpassen wollte. Ein anderer wählte das Thema Star Wars und legte den Termin passenderweise auf den 4. Mai. Ein wenig Spaß trägt viel dazu bei, die Mitarbeiter an Bord zu holen, und lässt kurze Einheiten zum sicheren Programmieren eher wie eine Pause von der Arbeit erscheinen als wie eine weitere lästige Aufgabe. Meilenstein Nr. 1 erreicht: Wir haben ihre Aufmerksamkeit und sie kennen das Programm.

2. Finden Sie den richtigen Champion für die Sicherheitsschulung (Hinweis: Kommunikationsstärke ist wichtiger als Fachwissen!)

Die richtigen Sicherheits-Champions in jedem Scrum-Team zu finden, ist entscheidend für den dauerhaften Erfolg des Programms, besonders in größeren Unternehmen. Meiner Erfahrung nach verfügen nicht alle hochqualifizierten Sicherheits- oder Entwickler-Experten über ausgeprägte soziale oder kommunikative Fähigkeiten. Die besten Sicherheits-Champions, die Ihrem Programm nachhaltig positive Impulse geben, sind diejenigen, die sich für Sicherheit begeistern und über starke zwischenmenschliche, überzeugende und kommunikative Fähigkeiten verfügen. Wählen Sie weise und berücksichtigen Sie Persönlichkeit und Kommunikationsgeschick.

3. Sorgen Sie für coole Belohnungen, die Fähigkeiten anerkennen

Im Allgemeinen mag jeder Computer-Geek – auch Entwickler –, wenn seine Intelligenz und seine Fähigkeiten anerkannt werden. Wenn Sie sie mit speziellen Aufklebern, Geek-Gadgets, besonderen Ansteckern oder individuell bedruckten T-Shirts belohnen, die ihre Fähigkeiten würdigen, werden sie diese mit Stolz tragen oder präsentieren. Wenn jemand im Schulungsprogramm etwas Bedeutendes erreicht, ist es wichtig, Wege zu finden, dies anzuerkennen und sichtbar zu machen. Ich habe eine tolle Initiative bei einem Kunden gesehen, der regelmäßig Fotos seiner Secure Code Warrior-Champions machte und diese zusammen mit einer Nachricht des CISO im Mitarbeiter-Newsletter veröffentlichte.

4. Versuchen Sie nicht, aus Ihren Entwicklern Sicherheitsexperten zu machen

Sie möchten zwar, dass Ihre Entwickler die „erste Verteidigungslinie“ in Ihrem Sicherheitsprogramm bilden, indem Sie ihnen helfen, sicher zu programmieren, aber das bedeutet nicht, dass sie die tiefgreifendsten Sicherheitsexperten in Ihrem Unternehmen sein müssen oder dass Sie sie ständig mit neuen Sicherheitslücken und Beispielen für Datenpannen konfrontieren sollten. Sicherheit ist zwar wichtig, aber ihr Hauptziel ist oft die Entwicklung großartiger Produkte oder Dienstleistungen und das Tempo des Unternehmens mitzugehen. Wenn Sie jemanden mit zu viel Sicherheit überladen, riskieren Sie, dass er das Interesse verliert. Die wichtigste Lektion: Sie müssen grundlegende Sicherheitshygiene verstehen und mit Tools unterstützt werden, um sicher zu programmieren, aber sie müssen nicht die Sicherheitsexperten des Unternehmens werden.

5. Messen Sie nicht die Schulung, sondern die Wirkung

Messen Sie nicht, wie viele Stunden Schulung Ihre Entwickler absolvieren oder wie viele Videos sie ansehen. Messen Sie stattdessen die Anzahl der Schwachstellen, die im Entwicklungslebenszyklus durch Code-Analyse, Bug-Bounties oder klassische Schwachstellentests erkannt werden, bevor Sie das Programm in einem Team starten. Wenn Ihr Schulungsprogramm funktioniert, wird die Anzahl der identifizierten Schwachstellen sinken. Der zweite Messwert ist die Zeit, die benötigt wird, um eine Schwachstelle zu beheben. Wenn ein Entwickler einen Monat braucht, um sie zu beheben, zeigt das deutlich, dass er nicht weiß, wie es geht. Wenn er es in einer Stunde schafft, wissen Sie, dass er die Fähigkeiten beherrscht. Das sind die zwei Kennzahlen, die kluge Unternehmen nutzen, um die Wirkung ihrer Schulungen für sicheres Programmieren zu messen.

5 wichtige Lektionen für die Einführung effektiver Sicherheitsschulungen für Entwickler:

1. Bringen Sie Spaß in den Kick-off, wenn Ihr Programm Wirkung zeigen soll
2. Finden Sie den richtigen Champion für die Sicherheitsschulung (Hinweis: Kommunikationsstärke ist wichtiger als Fachwissen!)
3. Sorgen Sie für coole Belohnungen, die Fähigkeiten anerkennen
4. Versuchen Sie nicht, aus Ihren Entwicklern Sicherheitsexperten zu machen
5. Messen Sie nicht die Schulung, sondern die Wirkung