Trockene PCI-DSS-Compliance in eine sinnvolle Aufgabe für alle verwandeln: Teil 2 – CISOs und das Bewusstsein der Entwickler

Dies ist der zweite Teil unserer Miniserie zur PCI-DSS-Compliance in Unternehmen. In diesem abschließenden Kapitel zeigen wir auf, wie CTOs und CISOs mit gutem Beispiel vorangehen können, um Cyberrisiken zu minimieren und den Prozess nahtlos, erfolgreich... und für Entwickler vielleicht sogar ein wenig unterhaltsam zu gestalten. (Haben Sie Teil 1 verpasst? Hier geht es zum Artikel – erfahren Sie, wie AppSec-Spezialisten diese Chance für bessere Sicherheitsergebnisse nutzen können).

PCI-DSS-Best-Practices sind zweifellos eine gemeinsame Verantwortung, doch CISOs und CTOs können ihren beträchtlichen Einfluss nutzen, um von oben herab ein florierendes, positives Sicherheitsprogramm zu etablieren. Sie sind die Aushängeschilder für das Vertrauen in die Cybersicherheit und die entsprechende Wahrnehmung bei den Endnutzern. Ein frühzeitiger Fokus auf das Sicherheitsbewusstsein hat eine starke Signalwirkung und hilft Entwicklern sowie AppSec-Profis dabei, das Wissen, die Tools und die Unterstützung zu erhalten, die sie für eine robuste Sicherheitsstrategie im Unternehmen benötigen.

Es ist wichtig, die Compliance-Vorgaben einzuhalten. Wenn jedoch alle das „Warum“ verstehen, Ergebnisse sehen und richtig gefördert werden, kann ein Programm über bloße gesetzliche Anforderungen hinausgehen und zur Selbstverständlichkeit werden.

CTOs und CISOs spielen eine Schlüsselrolle beim Aufbau von gegenseitigem Vertrauen

Waren Sie kürzlich auf einer Website und haben gezögert, Ihre Kreditkartendaten einzugeben? Wenn es sich nicht gerade um die dubios wirkende Web-App Ihres lokalen Pizzalieferdienstes handelt, kommt das bei großen Unternehmen und bekannten Online-Händlern eher selten vor.

Es sei denn natürlich, sie geben eine Datenpanne bekannt.

Der globale Hotelriese Marriott hat gerade seinen zweiten Datenverlust innerhalb von drei Jahren gemeldet, bei dem 5,2 Millionen Kundendatensätze entwendet wurden. Diesmal scheinen zwar keine Zahlungsinformationen betroffen zu sein, doch bei ihrem katastrophalen Vorfall im Jahr 2018 war das anders: 383 Millionen Kunden waren betroffen, darunter 5 Millionen unverschlüsselte Passnummern sowie 8 Millionen Kreditkartennummern.

Wenn das Kundenvertrauen in die Marke Marriott nicht ohnehin schon am Boden wäre, würde ich sagen, es ist kurz davor. Genau das sind die Dinge, die CISOs nachts wach liegen lassen, da sie sich im Kampf gegen Cyberbedrohungen oft wie Freiwild fühlen. Man denke nur an Equifax, Yahoo, Sony oder Target – dies sind nur einige der großen Namen, die massive Sicherheitsverletzungen erlitten haben. Das Ergebnis: Milliarden gestohlener Datensätze, Schäden in dreistelliger Milliardenhöhe und ein massiver Vertrauensverlust, der das wirtschaftliche Fundament erschüttert. Es ist ein Desaster für das Unternehmen (Target meldete im Quartal nach dem Vorfall von 2014 einen Gewinneinbruch von 440 Millionen Dollar). Und obwohl Einzelpersonen normalerweise nicht persönlich haftbar gemacht werden – schließlich sollte Softwaresicherheit eine gemeinsame Verantwortung sein –, ist das nichts, was man unbedingt in einem ansonsten glänzenden Lebenslauf stehen haben möchte, wenn man zu dieser Zeit für diese Organisationen tätig war.

Auf ein robustes Sicherheitsprogramm zu verzichten, um lediglich Compliance-Vorgaben zu erfüllen – gerade in Unternehmen, die mit Zahlungen, sensiblen Daten und dem immateriellen Gut „Kundenvertrauen“ arbeiten –, ist ein Zeichen dafür, dass ein Unternehmen nicht nur gefährdet ist, sondern auch bei der Innovation massiv hinterherhinkt.

Vertrauensfragen in der Beziehung zwischen Kunden und Unternehmen sollten jeden interessieren.

Abgesehen von dem Stress und dem Chaos, mit dem IT-, Entwicklungs- und Sicherheitsabteilungen nach einer Datenpanne konfrontiert sind, ist der Vertrauensfaktor ein wesentliches Element für den langfristigen Erfolg eines jungen Unternehmens oder das weitere Wachstum eines etablierten. Das Offensichtliche, das Sie verlieren könnten, ist Ihr Arbeitsplatz, sollte das Unternehmen aufgrund des Vertrauensverlusts in eine wirtschaftliche Schieflage geraten.

Die PCI-DSS-Regelungen nehmen Unternehmen in die Pflicht – und wie oben erwähnt, hat das Ignorieren dieser gut durchdachten Pläne enorme Konsequenzen. Doch sie sind nur so gut wie das Sicherheitsprogramm, das implementiert wird, und die Menschen, die damit arbeiten. Wenn Sie diese ernst nehmen, wachsam bleiben und für andere ein Vorbild sind, heben Sie sich auf sehr positive Weise ab.

Bewusstsein ist alles.

Ein mangelhaftes Programm zur Sicherheitsaufklärung macht die meisten Versuche, PCI-konform zu bleiben, nahezu nutzlos. Ein unternehmensweites Sicherheitsbewusstsein ist der kritischste Teil der Best-Practice-Richtlinien. Es gibt sogar eigene Schulungsmodule dazu, wie dies in funktionsübergreifenden Teams umgesetzt werden kann und wie das bei Unternehmen aussieht, die es richtig machen.

Auf dem Weg zu DevSecOps als aktuellem Goldstandard in der sicheren Softwareentwicklung – bei dem Sicherheit als gemeinsame Verantwortung grundlegend ist – müssen Unternehmen Zeit, Geld und Mühe investieren, um sicherzustellen, dass jeder, einschließlich Lieferanten und Auftragnehmer, für Sicherheitsfragen sensibilisiert ist und Best Practices befolgt.

Ein sicherheitsbewusster Entwickler ist ein konformer Entwickler (und der Weg dorthin muss nicht langweilig sein)

Wenn es darum geht, ein „zertifizierter“ PCI-DSS-konformer Entwickler zu werden, gibt es nicht viele offensichtliche Optionen. Warum? Wahrscheinlich, weil es keine einmalige Angelegenheit sein kann.

Die OWASP-Organisation gehört weltweit zu den besten Anlaufstellen, wenn es darum geht, gängige Schwachstellen abzuwehren. Ihre Top 10 sind in den PCI-DSS-Richtlinien für Entwickler fest verankert. Sicherheit jedoch dauerhaft im Fokus zu behalten und Fähigkeiten kontinuierlich zu verbessern, erfordert Zeit und beständigen Einsatz. Niemand möchte, dass dies zu einer trockenen und frustrierenden Pflichtaufgabe wird.

Eine positive Sicherheitskultur ist in einem Unternehmen kein „Nice-to-have“. Wer Sicherheit ernst nimmt, muss sie fest in den Arbeitsalltag integrieren.

Entwickler stehen bei der Abwehr von Schwachstellen an vorderster Front. Erhalten sie die nötige Unterstützung, die Werkzeuge und das Training, um ihren Teil zur PCI-DSS-Compliance beizutragen?

Die Wahrheit ist: Das richtige Training lässt sich nahtlos integrieren. Es sollte sich nicht wie eine Vorlesung anfühlen, sondern einen direkten Bezug zum täglichen Arbeitsalltag haben. Diese Art von praxisnahem Training ist eine Chance zur Weiterbildung – ein Karriereschritt mit echtem Mehrwert für Entwickler, die Schwachstellen konsequent vermeiden und gemeinsam mit ihrem Team Code auf höchstem Niveau schreiben wollen.

Möchten Sie Ihre Fähigkeiten im sicheren Programmieren direkt testen? Wählen Sie Ihre Mission.