Pieter Danhieux, CEO und Mitgründer von Secure Code Warrior: „Jeder sollte die Rolle verstehen und annehmen, die er bei der Cybersicherheit spielt.“

Dieses Interview erschien ursprünglich bei CyberNews.

‍

Trotz der Vielzahl an Sicherheitstools und -diensten haben Unternehmen nach wie vor Schwierigkeiten, mit der sich ständig weiterentwickelnden Bedrohungslandschaft Schritt zu halten.

Dies ist auf das mangelnde Sicherheitsbewusstsein und die fehlende Schulung der Entwickler zurückzuführen, was dazu führen kann, dass unsicherer Code veröffentlicht und von böswilligen Akteuren ausgenutzt wird. Während Sicherheitsmaßnahmen wie Antivirensoftware oder leistungsstarke Schwachstellen-Scanner eine zusätzliche Sicherheitsebene bieten können, erklärt unser heutiger Gast, dass alles bei einem sicherheitsorientierten Entwicklungsteam beginnt.

Um zu erörtern, wie Entwickler darin geschult werden können, Sicherheitsbedrohungen zu erkennen und abzuwehren, hat sich das Team von CyberNews mit Pieter Danhieux zusammengesetzt, dem CEO & Mitgründer von Secure Code Warrior, einem Unternehmen, das eine Lernplattform und eine Reihe entwicklerorientierter Tools anbietet, die Entwicklungsteams bei der Bewältigung von Sicherheitslücken unterstützen.

Wie sah Ihr bisheriger Werdegang aus? Wie ist die Idee zu Secure Code Warrior entstanden?

Als junger Nerd war ich fasziniert davon, Technik auseinanderzunehmen, um zu entdecken, was darin steckt und wie sie funktioniert. Zur Erleichterung meiner Familie und unserer Haushaltsgeräte ging ich schließlich dazu über, denselben Ansatz bei Hard- und Software anzuwenden und nach Wegen zu suchen, diese zu knacken und zu manipulieren. Eine lebenslange Leidenschaft für Sicherheit war geboren, und viele Jahre lang konzentrierte ich mich darauf, meine „Hacker“-Fähigkeiten an Studenten, Kollegen und die Sicherheits-Community weiterzugeben und zu zeigen, wie man Fehler in Software findet, nutzt und missbraucht. Später verlagerte ich meinen Fokus auf die Weiterbildung der Verteidiger: Ich brachte Entwicklern in Schulungen gute, sichere Programmiermuster bei und half ihnen, häufige Schwachstellen zu verstehen und zu vermeiden. Ich war auch in der Beratung tätig, wo ich große Unternehmen bei der Verbesserung ihrer Sicherheitsprogramme unterstützte, insbesondere im Hinblick auf die Einbindung der Entwickler. Während dieser Zeit lernte ich mein heutiges Gründungsteam bei Secure Code Warrior kennen. Gemeinsam erkannten wir die Probleme, mit denen sowohl Sicherheits- als auch Entwicklungsteams bei Schwachstellen auf Code-Ebene konfrontiert waren, sowie die Mängel der meisten Schulungslösungen, die darauf abzielten, die Sicherheitskompetenzen von Entwicklern zu verbessern. Wir machten uns an die Arbeit, unsere Vision einer Lernplattform zu verwirklichen, die auf Unternehmensebene skaliert werden kann und gleichzeitig für Entwickler unterhaltsam und motivierend bleibt. Letztendlich wollten wir eine Tool-Suite schaffen, die auf die Arbeitsumgebung der Entwickler zugeschnitten ist, weniger störend wirkt und ihnen hilft, eine sicherheitsorientierte Denkweise zu entwickeln. Und wir haben uns zum Ziel gesetzt, dies so sprachflexibel und inhaltsreich wie möglich zu gestalten.

Können Sie uns kurz vorstellen, was Sie tun? Was sind die größten Herausforderungen, bei deren Bewältigung Sie helfen?

Letztendlich unterstützen wir Unternehmen dabei, ihre Softwareentwicklung zu beschleunigen, indem wir die Sicherheitsreibung und Verzögerungen beseitigen, die oft durch die Verwendung schlechter Sicherheitsmuster im Code entstehen. Wir haben eine Lernplattform und eine Reihe entwicklerorientierter Tools geschaffen, die Entwicklungsteams dabei helfen, gängige Sicherheitslücken zu bewältigen – von denen viele seit Jahrzehnten existieren und Unternehmen auch heute noch Cyberrisiken aussetzen. Der Grund für ihr Fortbestehen ist, dass Entwicklern die Ausbildung und die Fähigkeiten fehlen, um diese Probleme auf Code-Ebene zu beheben, und sie diese oft überhaupt erst durch die fortgesetzte Verwendung schlechter Programmiermuster und -techniken einführen. Sie lernen sicheres Programmieren nicht im Studium, und die meisten betrieblichen Schulungsprogramme sind ineffektiv, da sie keine Inhalte vermitteln, die für die tägliche Arbeit relevant sind, und zudem zu selten stattfinden, um langfristig einen echten Einfluss auf die Codequalität und Sicherheit zu haben. Unsere Lösungen zielen darauf ab, eine ansprechende, relevante Kompetenzentwicklung zu bieten, die das Programmierverhalten verändert und den Entwicklern hilft, Sicherheit in der Praxis an erste Stelle zu setzen. Wir integrieren uns zunehmend in die Umgebungen, mit denen Entwickler am besten vertraut sind, und unser Fokus auf kontextbezogenes Lernen bietet den Nutzern die besten Chancen, wichtige Lernergebnisse zu verinnerlichen. Wir bemühen uns zudem, dies auf eine Weise zu tun, die Entwicklern hilft, Sicherheit in einem positiven, unterhaltsamen Licht zu sehen, das Erfolge belohnt und die Gemeinschaft stärkt.

Da das Erlernen von sicherem Programmieren für manche mühsam klingen mag: Wie schaffen Sie es, Ihre Schulungen effektiv und gleichzeitig unterhaltsam zu gestalten?

Unsere führende Lernplattform ist ganz auf das Engagement der Entwickler ausgerichtet. Eines der beliebtesten Features ist der Turniermodus, bei dem die Teilnehmer ihr während der Schulung erworbenes Wissen im Wettbewerb mit ihren Kollegen testen können. Für jede richtige Antwort gibt es Punkte, und eine Live-Bestenliste wird während der gesamten Turniersitzung aktualisiert. Wir haben diese Turniere bereits bei Community-Events und Konferenzen durchgeführt, und einige unserer Kunden haben unglaublich aufwendige Themenabende organisiert, bei denen alle in Kostümen erschienen sind. Es ist ein großartiges Teambuilding-Erlebnis und der perfekte Anlass, das Engagement für die Weiterbildung mit Pizza, Preisen und einer Pause vom Arbeitsalltag zu feiern. Zudem sind unsere Inhalte generell in über sechzig Programmier-Frameworks verfügbar und verwenden echte Code-Schnipsel, denen die Entwickler auch in ihrer täglichen Arbeit begegnen. Es ist so viel einfacher, bei der Sache zu bleiben, wenn die Inhalte hochrelevant sind und bei der Lösung echter Probleme helfen, anstatt nur Videos anzusehen oder eine jährliche Compliance-Prüfung zu absolvieren.

Was sind Ihrer Meinung nach die größten Herausforderungen, mit denen Entwickler heutzutage konfrontiert sind?

Ich denke, es ist wichtig festzuhalten, dass Entwickler gute Arbeit leisten wollen, aber weder in ihrer Ausbildung noch in ihrer beruflichen Laufbahn ausreichend für das Thema Sicherheit befähigt wurden. Das ist der Kern vieler Probleme, mit denen sie aus Sicherheitsperspektive konfrontiert sind. Sie neigen auch dazu, Sicherheit als außerhalb ihres Verantwortungsbereichs liegend zu betrachten, und in der überwiegenden Mehrheit der Unternehmen enthalten ihre KPIs nichts, was mit Ergebnissen im Bereich sicheres Programmieren zu tun hat. Wenn wir eine Veränderung bei der Anzahl der Schwachstellen auf Code-Ebene sehen wollen, muss dieser Status quo aufgebrochen werden. Entwickler benötigen jedoch die richtige Unterstützung und die richtigen Tools, um der Wandel zu sein, den wir uns wünschen. Die Herausforderung liegt in einer effektiven Befähigung, darin, ihnen Zeit für Schulungen zu geben und jetzt in diese Weiterbildung zu investieren, um später Sicherheit bei hoher Geschwindigkeit zu erreichen.

Wie haben sich die jüngsten globalen Ereignisse auf Ihr Arbeitsfeld ausgewirkt?

Während jedes Unternehmen zweifellos einige Auswirkungen des aktuellen globalen Klimas auf seine Ziele, Prognosen und Budgets gespürt hat, hatten wir das Glück, den Sturm bisher gut zu überstehen. Cybersicherheit ist für die meisten Unternehmen ein unverzichtbares Element, und wir arbeiten hart daran, bei Kunden und Interessenten weiterhin Teil dieses Gesprächs zu bleiben.

Was sind einige der Best Practices, die Unternehmen bei der Entwicklung von Software oder Anwendungen befolgen sollten?

Jedes Unternehmen hat seine eigenen Nuancen, aber im Allgemeinen sind die Unternehmen, die mit den besten Sicherheitspraktiken arbeiten, bereit, über den Tellerrand zu schauen und verschiedene Ansätze auszuprobieren. Sie vergessen nicht, dass Menschen einen positiven Unterschied bei den Sicherheitsergebnissen bewirken können. Entwickler werden in einem Sicherheitsprogramm meist nicht ausreichend berücksichtigt. Angesichts einer weltweiten Lücke bei Sicherheitskompetenzen, die so schnell nicht geschlossen werden dürfte, können jedoch sicherheitsgeschulte Entwickler dazu beitragen, Risiken zu reduzieren und die Compliance aus Sicht der Softwareerstellung zu erreichen. Sie können bereits in der frühesten und kostengünstigsten Phase des Prozesses einen Einfluss ausüben.

Welche Maßnahmen oder Praktiken können Ihrer Meinung nach neben Tools für sichere Programmierung den Geschäftsbetrieb nicht nur verbessern, sondern auch absichern?

Jedes Unternehmen sollte eine rollenbasierte Sicherheitsschulung durchführen. Es gibt eine Vielzahl von Bedrohungen außerhalb von Schwachstellen im Code, die Angreifer ausnutzen wollen. Daher muss jeder Mitarbeiter im Unternehmen regelmäßig in den Sicherheitsprinzipien geschult werden, die für seine jeweilige Tätigkeit relevant sind. In diesem Sinne sollte jeder, vom Büroleiter bis zum Buchhaltungsteam, die Rolle verstehen und annehmen, die er bei der Cybersicherheit und dem entsprechenden Bewusstsein spielt.

Angesichts des aktuellen wirtschaftlichen Klimas stehen CISOs unter großem Druck, Unternehmen mit möglichst geringen Kosten abzusichern. Welchen Rat haben Sie für sie?

CISOs müssen in diesem Umfeld kreativ werden, insbesondere da die Gesetzgebung zur Cybersicherheit immer strenger wird und in einigen Fällen dazu führt, dass CISOs bei einem Sicherheitsvorfall persönlich zur Verantwortung gezogen werden. Wenn man dann noch Entlassungen hinzurechnet, entsteht eine Situation, in der weniger Ingenieure mehr Verantwortung übernehmen sollen, während sie das gleiche Softwarevolumen schreiben. CISOs können dem Unternehmen zum Erfolg verhelfen, indem sie eines der größten Hindernisse beseitigen, das die Arbeit verlangsamt: die Sicherheit.

Die mit Abstand kostengünstigste Phase, um Sicherheitslücken und Fehlkonfigurationen auf Code-Ebene zu beheben, ist vor der Auslieferung der Software. Das versetzt Entwickler natürlich in eine ideale Position, um dieses Risiko zu reduzieren. Sie benötigen jedoch maßgeschneiderte Unterstützung, um dies zu erreichen. Sicherheit bei hoher Geschwindigkeit ist möglich, wenn man den Entwicklern Tools an die Hand gibt, die auf ihre Bedürfnisse zugeschnitten sind und ihren aktuellen Workflow sowie ihren Tech-Stack berücksichtigen. Sie brauchen Unterstützung, um Sicherheit präzise und schnell zu gewährleisten – am besten, indem man ihnen zeigt, wie sie sichere Programmiermuster nutzen und Fehler schneller beheben.

Mit den Kosten für eine umfassende Entwicklerschulung können Sie Schwachstellen im Grunde an der Quelle eliminieren und so später im Softwareentwicklungszyklus (SDLC) Zeit und Geld sparen. Angesichts der Häufigkeit groß angelegter Angriffe und der größeren Haftung für CISOs als je zuvor müssen wir aufhören, den Fachkräftemangel in der Cybersicherheit als Ausrede für Rückstände zu nutzen. Priorisieren Sie defensive Sicherheitspraktiken und fördern Sie das Personal, das Sie bereits haben.

Was hält die Zukunft für Secure Code Warrior bereit?

Wir wollen weiter innovativ bleiben und bei den Lösungen, die wir auf den Markt bringen, den Entwickler in den Mittelpunkt stellen. Unser Ziel ist es, sie in die Lage zu versetzen, Sicherheit zu gewährleisten, ohne die Geschwindigkeit bei der Bereitstellung von Funktionen oder ihre eigene Arbeitsbelastung bei der Bewältigung mehrerer Prioritäten zu beeinträchtigen.

Wir möchten Unternehmen dabei unterstützen, ihre defensiven Sicherheitsprogramme zu revolutionieren, und wir wollen, dass sicherheitsbewusste Entwickler die Helden dieser Geschichte sind. Bleiben Sie dran.