Einige CISOs machen aus dem Mangel an Sicherheitsfachkräften eine echte Chance.

Während ich diese Woche zur RSA nach San Francisco reise, bereite ich mich auf viele Gespräche mit CISOs vor. Es mag Sie überraschen, aber die Stimmung in den Gesprächen mit vielen CISOs ist derzeit alles andere als gut.

Sie wissen, dass die Sicherheitsrisiken zunehmen, sehen aber oft keine Möglichkeit für Verbesserungen. Stattdessen befürchten sie mehr denn je, dass ihr Unternehmen Opfer einer Datenpanne oder eines Cyberangriffs werden könnte.

Eines der häufigsten Themen in meinen regelmäßigen Gesprächen mit CISOs ist die Sorge über den problematischen Mangel an Fachkräften im Bereich Cybersicherheit.

„Unser Sicherheitsteam ist für die Größe unserer Entwicklungsabteilung oder unseres Unternehmens einfach zu klein.“

„Unsere Sicherheitsexperten werden ständig von Unternehmen aus dem Ausland abgeworben, die außergewöhnliche Gehälter und die Möglichkeit bieten, auf anderen Kontinenten zu arbeiten und zu leben.“

„Unsere Sicherheitsexperten sind zu sehr damit beschäftigt, Brände zu löschen, als dass sie ihre eigenen Fähigkeiten weiterentwickeln könnten.“

Dieses Thema wird durch mehrere Forschungsberichte gestützt, darunter eine Umfrage des Ponemon Institute aus dem Jahr 2017, bei der der „Mangel an kompetentem internem Personal“ für 2018 die größte Sorge von CISOs war.

Diese kritische Lücke bei den Sicherheitskompetenzen wird so schnell nicht verschwinden, insbesondere in Märkten wie Australien, wo die besten Talente oft ins Ausland abwandern und Einwanderungsgesetze es zunehmend erschweren, ausländische Experten ins Land zu holen.

Interessanterweise hat der Fachkräftemangel in Australien dazu geführt, dass der Fokus verstärkt auf den nationalen Aufbau von Sicherheitskompetenzen gelegt wird. Wie Benjamin Franklin schon sagte: „Aus der Not eine Tugend machen.“ Australische Regierungen, Bildungseinrichtungen, Unternehmen und Start-ups arbeiten an Programmen, um vor Ort ein breites Spektrum an Sicherheitskompetenzen aufzubauen.

Ein Bereich, in dem der Mangel an Sicherheitskompetenzen definitiv zu neuen Chancen geführt hat, ist die Entwicklung von Fähigkeiten für sicheres Programmieren bei internen und externen Entwicklungsteams. Da die meisten großen Sicherheitsvorfälle weltweit auf Programmierfehler zurückzuführen sind und eine durchschnittliche Datenpanne 3,6 Millionen US-Dollar kostet, ist Softwaresicherheit ein wesentlicher Teil der Herausforderung. Einer der größten (und wachsenden) Posten in Budgets für Anwendungssicherheit ist die reaktive Identifizierung und Behebung von Schwachstellen, wobei oft Jahr für Jahr dieselben alten Fehler auftreten.

Entwickler von Anfang an dazu zu befähigen, sicheren Code zu schreiben, bietet CISOs die Chance, proaktiv die Kontrolle über die Sicherheitslage zu übernehmen. Dies ermöglicht schnelle, einfache und messbare Verbesserungen für Sicherheits- und Entwicklungsteams.  

Das bedeutet nicht, Sicherheitsexperten durch Entwickler zu ersetzen, sondern Entwickler für Sicherheitsthemen zu sensibilisieren, Sicherheit zu einem festen Bestandteil ihres täglichen Denkens zu machen und ihnen auf unterhaltsame, effektive und effiziente Weise sicheres Programmieren beizubringen. Das Ergebnis ist, dass knappe Sicherheitsexpertise besser für die Suche und Behebung wirklich komplexer Fehler genutzt werden kann, anstatt sich mit denselben alten Schwachstellen zu befassen.

Für manche CISOs mag das zu schön klingen, um wahr zu sein, oder zu schwierig in der Umsetzung, aber die Wahrheit ist: Beides trifft nicht zu. Bei Secure Code Warrior sehen wir, wie immer mehr CISOs diese Chance ergreifen und dabei den Arbeitsalltag von Sicherheits- und Entwicklungsteams grundlegend verändern.

Eine Gruppe von CISOs, die weltweit eine Vorreiterrolle bei der Entwicklung eines starken Sicherheitsbewusstseins und entsprechender Fähigkeiten bei Softwareentwicklern eingenommen hat, sind die australischen Banken. Sie waren bereits 2016 und 2017 Vorreiter bei diesem Ansatz. Die sechs größten Banken des Landes ermutigen ihre Entwicklungsteams heute aktiv dazu, sichere Programmierkenntnisse durch unsere spielerische Online-Lernumgebung anzueignen. Zudem prüfen die Banken regelmäßig Echtzeit-Metriken, um die Stärken und Schwächen ihrer Entwickler und Teams zu bewerten.

Dieser Ansatz führt zu greifbaren und positiven Ergebnissen, darunter eine Verringerung häufiger Schwachstellen, ein gesteigertes Sicherheitsbewusstsein bei Entwicklern und eine verbesserte Zusammenarbeit zwischen Sicherheits- und Entwicklungsteams. Unternehmen, die in die Ausbildung ihrer Entwickler investieren, entlasten ihre Sicherheitsexperten und reduzieren gleichzeitig ihr Risiko durch unsichere Software.

Wenn Sie CISO sind (oder einen kennen), der frustriert über die Sicherheitslage im eigenen Unternehmen ist, möchte ich Sie ermutigen, über einen einfachen Weg nachzudenken, um positive und greifbare Fortschritte zu erzielen. Befähigen Sie Ihre Entwickler, auf relevante, positive und unterhaltsame Weise sicher zu programmieren. Ihre Teams werden es Ihnen danken, und Sie werden zudem Kosten und Verzögerungen bei der Produktentwicklung reduzieren. Ich wette, das wird den Weg für viele positive Sicherheitsgespräche ebnen.

Entwickler von Anfang an dazu zu befähigen, sicheren Code zu schreiben, bietet CISOs die Chance, proaktiv die Kontrolle über die Sicherheitslage zu übernehmen. Dies ermöglicht schnelle, einfache und messbare Verbesserungen für Sicherheits- und Entwicklungsteams.