Langweilige PCI-DSS-Compliance in eine sinnvolle Aufgabe für alle verwandeln: Teil 1 – AppSec

Dies ist der erste Teil einer zweiteiligen Serie über die erfolgreiche PCI-DSS-Compliance in Unternehmen. In diesem Kapitel erläutern wir, wie AppSec-Spezialisten eng mit Entwicklungsleitern zusammenarbeiten können, um Entwickler zu stärken, den SSDLC zu festigen und konkrete Ergebnisse aus allgemeinen gesetzlichen Vorgaben zu erzielen.

Das Wort „Compliance“ klingt nicht gerade aufregend. Es wirkt formell, trocken, direktiv... und in seinem Ton sogar ein wenig einschränkend. Wenn es eine Farbe hätte, wäre es Beige. Und nun ja, es scheint im Widerspruch zu jeder Art von kreativem Umfeld oder Innovation zu stehen.

Als Entwickler bedeutete „Compliance“ für mich meist, dass ich mich (oberflächlich) durch irgendwelche Richtlinien lesen oder eine Präsentation ansehen musste, bevor ich wieder dazu überging, Funktionen zu programmieren und Software zu entwickeln, die Kunden nutzen und lieben. Jeder behält in dem Moment das, was er kann (und versucht, jederzeit das Richtige zu tun), aber Compliance-Richtlinien – insbesondere solche, die sich auf Sicherheits-Best-Practices beziehen – sind in der Regel nicht für Entwickler als Zielgruppe geschrieben, und erforderliche Maßnahmen können unklar sein. In diesem Szenario ist es nur allzu leicht, sich einfach auf die aktuellen Aufgaben zu konzentrieren.

Die Sache ist die: Sichere Softwareentwicklung ist in keinem Unternehmen mehr ein „Nice-to-have“; sie steht (oder sollte stehen) in jeder Organisation ganz oben auf der Agenda... und wenn ein Unternehmen große Mengen sensibler Kundendaten speichert, ist es ein gefundenes Fressen für Cyberangriffe. Entwickler sind die Ersten, die mit dem Code arbeiten, und sollten daher genauso wie der Rest des Teams in alle Sicherheits-Compliance-Maßnahmen einbezogen werden.

Aber warten Sie... hören Sie mich an. Das bedeutet nicht, dass jeder zum Sklaven einer starren, kreativitätslosen Entwicklung und Softwareergebnisse werden muss. Es bedeutet, dass das Unternehmen die Chance und die Macht hat, gemeinsam einen höheren Standard für Code zu schaffen. Die Welt erkennt langsam, dass Entwickler bisher nicht gerade die richtigen Werkzeuge an der Hand hatten, um Sicherheit zur Priorität zu machen (und isolierte Sicherheitsspezialisten können die Verantwortung nicht allein tragen). Da sich die Branche jedoch in Richtung einer DevSecOps-Zukunft bewegt, in der Sicherheit eine gemeinsame Verantwortung ist, können sie dazu beitragen, den Strom wiederkehrender Schwachstellen einzudämmen, wenn sie auf Erfolg ausgerichtet sind.

Die PCI-DSS-Richtlinien decken die Online-Sicherheits-Compliance für Kartenzahlungs-Gateways ab – ein Dienst, den die meisten von uns regelmäßig nutzen. Diese Richtlinien sind weltweit anwendbar und sie haben tatsächlich im Detail dargelegt, was Entwickler tun müssen, um Standards gemäß ihren Vorgaben einzuhalten, neben mehreren Compliance-Dokumenten für verschiedene Aspekte des eCommerce-Geschäfts.

Datenpannen sind beängstigende, reputationsschädigende Risiken, die sich Unternehmen nicht leisten können. Da Cyber Security Ventures prognostiziert, dass Zero-Day-Angriffe im Jahr 2021 einen pro Tag erreichen werden, ist dies etwas, das jeder im Softwarebereitstellungsprozess bekämpfen kann.

Lassen Sie uns die PCI-DSS-Empfehlungen aufschlüsseln und wie sie im Team funktionieren können:

Hey, AppSec- und Compliance-Teams: Nicht jede Entwicklerschulung ist gleich

Entwickler in großen (oder auch kleinen) Unternehmen haben selten viel Mitspracherecht bei der Schulung, die sie am Arbeitsplatz erhalten. Um Top-Mitarbeiter zu halten, bieten einige Unternehmen zwar umfassende Programme an, aber diese sind immer noch seltener, als sie sein sollten. Der Bedarf an Sicherheitsschulungen bietet eine großartige Gelegenheit, nicht nur die Compliance im Unternehmen zu starten, ohne alle zu Tode zu langweilen, sondern auch frostige Beziehungen zum Entwicklungsteam aufzutauen.

Was die PCI-Compliance betrifft, so sind die Richtlinien spezifisch in Bezug auf die Ergebnisse, die sie von jeder Software erwarten, die Zahlungs-Gateways betreibt; neben anderen Zielen wollen sie, dass Anwendungen gehärtet werden (entscheidend, um böswillige Code-Injektionen oder Manipulationen zu verhindern), Kontrollen mit minimalen Berechtigungen und ein umfassendes Bewusstsein für häufige Schwachstellen... zumindest. Alle Mitarbeiter, die mit Karteninhaberdaten arbeiten, müssen angemessen geschult werden, und für Entwickler kann diese Schulung über Erfolg oder Misserfolg beim Schreiben von sicherem Code von Beginn des Prozesses an entscheiden.

Das offizielle Dokument Best Practices for Maintaining PCI-DSS Compliance beschreibt einige direkte Konzepte rund um Sicherheitsbewusstsein, Entwicklerbedürfnisse und angemessene Schulungen, wie zum Beispiel:

Copyright © 2006 - 2020 PCI Security Standards Council, LLC. Alle Rechte vorbehalten.

Dies gibt einen Einblick in die spezifische, fundierte Schulung, die erforderlich ist, um Entwickler mit den notwendigen Fähigkeiten auszustatten, weist aber noch nicht auf bestimmte Bildungsangebote hin, die effektiver wären als andere. Der PCI-DSS-Leitfaden für Entwickler wird etwas direkter und identifiziert die OWASP Top 10 als einen Maßstab, um die häufigsten Schwachstellen zu finden und zu beheben, sowie einige Zertifizierungsprogramme.

Aber... hier liegt der Haken. Wie Sie zweifellos aus verschiedenen Schulungs- und Compliance-Initiativen am Arbeitsplatz wissen, können diese in Qualität und zukünftigem Erfolg stark variieren. Und wenn es um Entwickler geht, scheinen so viele Schulungsprogramme für sicheres Programmieren nicht auf unsere Bedürfnisse, Arbeitsweisen oder sogar unsere tägliche Arbeit in irgendeiner sinnvollen Weise einzugehen. In diesem Szenario ist nicht jede Schulung gleich, und nicht jede Schulung führt zu Software, die sicherer ist. Das ist natürlich das genaue Gegenteil Ihres gewünschten Ergebnisses und wird den Stress Ihres eigenen Jobs nicht nennenswert reduzieren. Wenn Sie die Belastung verringern und verhindern wollen, dass häufige Schwachstellen potenzielle Katastrophen verursachen, müssen Sie eine Brücke schlagen.

Die Sicherheitslücke mit Engineering-Managern an Ihrer Seite schließen

Die direkte Zusammenarbeit mit Engineering Managern, um eine zweckmäßige Lösung zu finden, die von den Anwendern auch tatsächlich akzeptiert wird, ist der schnellste Weg zu positiven Sicherheitsergebnissen. Sie haben einen direkteren Einblick in ihr Team und können Hindernisse benennen, die Compliance-Schulungen bisher erschwert haben (abgesehen davon, dass diese meist wenig Spaß machen).

Klassenzimmerschulungen, Video-on-Demand und einmalige Pflichtübungen machen es sehr schwer, auf dem neuesten Stand zu bleiben; dies sind statische Lösungen, die mit der sich ständig wandelnden Cybersicherheitsbranche nicht Schritt halten können. Letztlich möchte der Engineering Manager einen Mehrwert für den Zeitaufwand sehen. Es ist wichtig, mit ihm zusammenzuarbeiten und praktikable Optionen anzubieten, die das gemeinsame Ziel erreichen: sichereren und regelkonformen Code.

Wie sieht also eine gute Schulung aus? Es bringt wenig, sicheres Programmieren durch große, einmalige Informationsschübe zu lernen. Ein häppchenweiser, schrittweiser Lernprozess ist wesentlich leichter zu behalten und direkt anzuwenden – und er muss unbedingt in den Sprachen und Frameworks stattfinden, die täglich genutzt werden. Ich persönlich möchte gefordert werden und einen Sinn in meinen Bemühungen sehen – wir sind schließlich alle schon beschäftigt genug, oder?

Um die oben genannten PCI-DSS-Best-Practices einzuhalten, müssen Manager je nach gewählter Lösung möglicherweise einen Flickenteppich aus verschiedenen Kursen zusammenstellen, um alle im Unternehmen verwendeten Sprachen und Frameworks abzudecken. Das wird schnell unübersichtlich und erschwert es AppSec- und Compliance-Teams, den tatsächlichen Einfluss auf die Sicherheit und die Reduzierung von Software-Schwachstellen zu bewerten. Suchen Sie gemeinsam nach der passenden Lösung, anstatt sich vorschnell für die falsche zu entscheiden. Sonst enden Sie mit einer Frankenstein-Schulungslösung... und das ist ziemlich beängstigend.

Danke, dass Sie Teil eins dieser PCI-DSS-Miniserie gelesen haben. Im letzten Kapitel besprechen wir, wie CISOs und CTOs diesen kulturellen Wandel unterstützen und Teams befähigen können – und wie die Sicherheitsfront – Ihre Entwickler – PCI-DSS-Awareness und Compliance zu ihrem Vorteil nutzen kann.