Manager und Security Champions – die Wegbereiter und wichtigsten Multiplikatoren für sichere Programmierpraktiken.

Aktuell sind nur 15 % der Entwickler der Meinung, dass sichere Codierung in die Verantwortung aller fällt. In einer Welt mit zunehmenden Sicherheitsbedrohungen ist das schlichtweg nicht genug. Es muss etwas geschehen. Ein Schlüssel zu einer gesunden AppSec-Kultur liegt darin, die entscheidenden Einflüsse (und Einflussnehmer!) zu verstehen. Deshalb hat Secure Code Warrior im Jahr 2020 Evans Data Corp. damit beauftragt, eine Primärstudie* zur Einstellung von Entwicklern und Managern gegenüber sicherem Programmieren, entsprechenden Praktiken und Security Operations durchzuführen.

Wenn es um die unverzichtbare Einführung sicherer Codierungspraktiken geht, gewinnen bestimmte Rollen zunehmend an Einfluss und Gewicht, was dazu beitragen kann, andere zum Lernen und zur Übernahme bewährter Verfahren zu bewegen.

Die erste dieser Rollen ist der Development Manager, der AppSec-skeptische Entwickler behutsam an eine sicherheitsorientierte Denkweise heranführt. Development Manager sind sich bewusst, dass sie und ihre Teams ihre Fähigkeiten im Bereich sicherer Codierung ausbauen und verbessern müssen. 42 % der befragten Manager beklagen das Fehlen dieser Kompetenzen bei Neueinstellungen.

Die zweite Rolle ist der „Security Champion“. Während die meisten Entwickler Sicherheit immer noch als Aufgabe anderer betrachten, gibt es eine kleine, aber wachsende Gruppe, die sichere Codierung begrüßt und sie bei ihren Kollegen vorantreibt. 25 % der befragten Entwickler stimmen zu, dass es Ansprechpartner gibt, die den Wandel hin zu sicherem Programmieren anführen.

Auch wenn diese Champions oft nur Entwickler oder Senior-Entwickler sind, können sie einen enormen Einfluss darauf haben, ein Unternehmen in Richtung einer proaktiven Sicherheitskultur zu bewegen.

Doch werfen wir zunächst einen Blick auf die Rolle des Development Managers in diesem Kontext.

83 % der befragten Manager geben an, dass sie Entwickler dazu auffordern, sichere Codierungspraktiken zu erlernen oder anzuwenden. Etwa drei Viertel der befragten Manager bieten Anreize für Entwickler, sich mit Schulungen zu sicherem Code zu befassen.

• 67 % bieten Entwicklern als Anerkennung für das Erlernen sicherer Codierungspraktiken die Aussicht auf mehr Verantwortung.
• 47 % geben an, dass sie die Aussicht auf eine höhere Vergütung bieten.

Viele Manager legen bei der Einstellung neuer Entwickler großen Wert auf Kenntnisse in sicherer Codierung und schätzen diese Erfahrung auch bei den bereits bestehenden Teammitgliedern.

Es ist offensichtlich, dass Development Manager auf Unternehmensebene entscheidende Treiber für die Einführung sicherer Codierungspraktiken sind – und maßgeblich daran beteiligt, Security Champions in den Reihen ihrer Entwickler zu identifizieren.

Security Champions identifizieren

Einer der Schlüssel zur Verbesserung des Engagements von Entwicklern bei Schulungen und Sensibilisierungsprogrammen für sicheren Code ist die Identifizierung von Sicherheitsfürsprechern oder Champions innerhalb der aktuellen Entwickler-Teams.

Einige Development Manager tun dies bereits – 55 % der Befragten geben an, dass sie Entwickler anerkennen, die bei speziellen Events gute Leistungen erbringen.

Als Verfechter des Wandels in der sicheren Codierung weiß Secure Code Warrior um die Kraft von speziellen Events und Wettbewerben, um das Beste aus der Entwicklerbasis eines Unternehmens herauszuholen. Deshalb haben wir Turniere zu einem zentralen Bestandteil unserer Lernplattform gemacht.

Sicherheitsbewusstsein und Eigenverantwortung stärken‍

Mit einer Reihe von Herausforderungen, Zeitlimits, Bestenlisten und Preisen erzeugen Turniere eine Dynamik, die sicheres Programmieren attraktiv macht und das Sicherheitsbewusstsein sowie die Eigenverantwortung fördert.

Wenn es darum geht, die Wirkung von Schulungen zu sicherem Code zu messen, geben 65 % der befragten Development Manager an, dass regelmäßige Kompetenzbewertungen den Fokus ihres Unternehmens auf sichere Codierung stärken. Turniere können genutzt werden, um die Sicherheitsfähigkeiten von Entwicklern in einer aktiven, aber sicheren Umgebung zu messen und schnell eine Basis für die zukünftige Kompetenzentwicklung zu schaffen. Dieses spielerische Training bietet kontextbezogene, praktische Erfahrungen in relevanten Programmiersprachen und Frameworks mit Herausforderungen, die denen aus der realen Arbeitswelt nachempfunden sind.

Während des gesamten Turniers sammeln Entwickler Punkte und verfolgen, wie sie in der Rangliste nach oben klettern. Der Blick auf die Bestenliste hilft dem Management dabei, potenzielle Security Champions im eigenen Entwicklungsteam zu identifizieren.

‍
Wenn Sie mehr darüber erfahren möchten, wie Sie durch spielerische Schulungen, die Entwickler motivieren und Security Champions identifizieren, Fähigkeiten und Bewusstsein für sicheren Code aufbauen können, buchen Sie jetzt eine Demo.

‍

*Vom Reagieren zum Agieren: Das sich wandelnde Gesicht der Anwendungssicherheit. Secure Code Warrior und Evans Data Corp. 2020