Präventiv handeln: Warum maßgeschneiderte Kurse für sicheres Programmieren Cyber-Bedrohungen keine Chance lassen

Es gibt eine unbequeme Wahrheit, die von Regierungen, Großkonzernen und sogar einigen Branchenführern gerne unter den Teppich gekehrt wird: Als Gesellschaft befinden wir uns in einem ständigen Kampf gegen Cyberbedrohungen, und wir ziehen derzeit den Kürzeren. Woher wir das wissen? Diese Statistiken sprechen eine ernüchternde Sprache:

• Die weltweiten Kosten durch Cyberkriminalität werden bis 2021 auf 6 Billionen USD geschätzt
• Alle 39 Sekunden
• findet ein Cyberangriff statt24 % der Datenschutzverletzungen
• werden durch menschliches Versagen verursachtErschreckende 77 % der Unternehmen verfügen über keinen Plan zur Reaktion auf Cybersicherheitsvorfälle, der unternehmensweit skaliert und abteilungsübergreifend einheitlich angewendet wird.

Was Cybersicherheitsexperten angeht, sind wir kritisch unterbesetzt; die Qualifikationslücke wird sich kaum schließen lassen, und es gibt keine geheime AppSec-Armee, die uns zu Hilfe eilt. Das wissen wir schon seit Jahren, und wir müssen unseren Ansatz ändern. In unserem Fall ist der beste Angriff eine gute Verteidigung, und mit einem soliden Plan können wir den ersten Schritt machen.

Das klingt alles etwas deprimierend, ist aber nicht so schlimm, wie manche uns glauben machen wollen. Wir haben ein Ass im Ärmel, und das Cybersicherheitsklima bietet uns eine goldene Gelegenheit. Sie müssen nicht weiter suchen als in Ihren eigenen internen Entwicklungsteams nach dem Personal, das das Unternehmen retten wird. Ihr Sicherheitsprogramm muss jedoch deren Entwicklung zu sicherheitsbewussten Ingenieuren unterstützen, die bereit sind, die Verantwortung für sicheres Programmieren zu teilen.

Irgendein Training reicht nicht aus – das haben wir sicher oft genug gesagt –, aber selbst das richtige Training, das motiviert, kontextbezogenes Wissen aufbaut und Entwicklern hilft, Sicherheit zu schätzen, könnte weitaus effektiver sein, wenn es stärker auf die Bedürfnisse des Unternehmens, die drohenden Gefahren und die Compliance-Anforderungen zugeschnitten wäre, die uns helfen, unsere Daten zu schützen.

Und genau hier kommen unsere neuesten Funktionen, Kurse, ins Spiel. Übrigens: Wenn Sie die Anspielung im Titel verstanden haben, sind Sie offiziell alt (oder schätzen einfach einen Klassiker).

Unternehmensspezifisches Lernen: Verteidigung aufbauen, Entwicklerfähigkeiten stärken

Wir haben alle möglichen Ansichten darüber, warum manche Arten von Entwicklerschulungen besser sind als andere (z. B. langweilen Sie sie nicht mit stundenlangen, trockenen, generischen Videovorträgen und erwarten Sie dann, dass die Leidenschaft für sicheres Programmieren aufblüht). Aber selbst bei kompetitivem Lernen, das auf die Denkweise von Entwicklern ausgelegt ist, können die Inhalte für bestimmte Anforderungen innerhalb eines Unternehmens immer noch etwas zu breit gefächert sein.

Ein maßgeschneiderter Kurs, der genau die Module enthält, in denen Ihre Entwickler Kompetenz beweisen müssen, erzielt eine starke Wirkung und ermöglicht es ihnen, Sicherheits-Best-Practices von Anfang an direkt in ihre tägliche Arbeit zu integrieren. Passen Sie Programme für Frontend-Teams, Cloud-Ingenieure und andere an, mit der Möglichkeit, gezielt auf die Schwachstellen einzugehen, die am wichtigsten sind – in den Sprachen und Frameworks, die für sie relevant sind. Entwickler erweitern ihre Fähigkeiten durch kontinuierlichen Kontext, Berührungspunkte und Erfahrung, während das Unternehmen von präzisem Bewusstsein für die risikoreichsten Themen profitiert.

Einen Kurs für Compliance anpassen

Weltweit werden strengere Cybersicherheitsvorschriften eingeführt, und Compliance bei der Softwaresicherheit ist ein hervorragendes Fundament, um eine positive, effektive Sicherheitskultur aufzubauen. Das sollte nicht langweilig sein; ein gutes Sicherheitsprogramm weckt bei Entwicklern Stolz und Verantwortungsbewusstsein, anstatt nur ein Stöhnen und Kopfschütteln hervorzurufen.

Als Ausgangspunkt ist es eine sehr gute Idee, alle auf den neuesten Stand der OWASP Top 10 zu bringen. Um jedoch neue Höhen bei der branchenrelevanten Compliance zu erreichen, können Sie einen individuellen Kurs rund um die Anforderungen spezifischer Vorschriften entwerfen. Ein Finanzunternehmen könnte beispielsweise einen Kurs an die Compliance-Anforderungen seiner Software anpassen, gemäß den PCI-DSS-Richtlinien, die Zahlungs- und Kartenverarbeitungsanwendungen regeln. Wenn Sie für die Verarbeitung und Speicherung sensibler Informationen wie Kreditkartennummern verantwortlich sind, steht viel auf dem Spiel. Durch die gezielte Ausrichtung der Entwicklerschulung filtern Sie das Rauschen heraus, liefern die richtige Bildung zum richtigen Zeitpunkt und machen die Teamkompetenz weitaus einfacher zu überwachen.

So nutzt General Electric (GE) Kurse innerhalb ihrer Teams:

"Kurse sind eine großartige Lösung für unsere Ingenieure. Mit der neuen Funktion – die Lernpfade, Videos und Checkpoints in einem anpassbaren Modul bündelt – haben wir die Möglichkeit, Inhalte genau nach unseren aktuellen Bedürfnissen zu gestalten. Die Compliance-Funktionen und die Flexibilität bieten eine noch bessere Gelegenheit, einen schlankeren und flexibleren Prozess zu gewährleisten. Diese Fähigkeit hat General Electric geholfen, relevante Schulungen für jeden Ingenieur schneller und einfacher als je zuvor anzupassen."

Und denken Sie daran: Auch wenn es sich um kuratierte Compliance-Schulungen handelt, werden sie dennoch als mundgerechte, kontextbezogene und ansprechende Lernerfahrung vermittelt, die für Entwickler weitaus attraktiver ist.

Eine positive Sicherheitskultur, die auf Respekt und Relevanz basiert

Bildung ist ein lebenslanger Prozess, aber in der hektischen Welt von DevSecOps gibt es viele Bälle in der Luft zu halten. Die für Schulungen vorgesehene Zeit sollte sinnvoll genutzt werden, mit einem tragfähigen Lernpfad, der kontinuierlich motiviert und einen Mehrwert bietet.

Indem Sie einen maßgeschneiderten Kurs zusammenstellen, der exakt auf die Bedürfnisse zugeschnitten ist, respektieren Sie die Zeit und den Workflow Ihrer Entwickler und reduzieren gleichzeitig messbar Schwachstellen und Cybersicherheitsrisiken für Ihr Unternehmen.

Die Beziehung zwischen AppSec-Spezialisten und Entwicklern ist oft von Missverständnissen und Spannungen geprägt. Strukturierte Lerninhalte mit Courses helfen beiden Seiten, sich auf gemeinsame Sicherheitsstandards zu verständigen. Entwickler werden die lösungsorientierte Unterstützung durch das AppSec-Team zu schätzen wissen, da sie den Arbeitsaufwand verringert und dabei hilft, Code auf einem höheren Qualitätsniveau zu schreiben.

Schwachstellen eliminieren, Sicherheit im Unternehmen skalieren

Wir alle sind nur Menschen und machen Fehler. In der digitalen Welt können diese Fehler extrem kostspielig sein, kommen jedoch erschreckend häufig vor. Der Internet Security Threat Report 2019 von Symantec bestätigte, dass über 70 Millionen Datensätze aufgrund falsch konfigurierter S3-Buckets gestohlen wurden. Sicherheitslücken durch Fehlkonfigurationen sind eine Hauptursache für Datenpannen, wobei menschliches Versagen für etwa ein Viertel davon verantwortlich ist.

Diese Probleme haben vielfältige Ursachen, doch mangelndes Sicherheitsbewusstsein und fehlende Schulungen sind ein wesentlicher Grund dafür, dass Angreifern immer wieder Einfallstore geboten werden. Für eine skalierbare Sicherheit, die wirklich Wirkung zeigt, benötigen Sie maßgeschneiderte Kurse für Ihr Unternehmen. Lassen Sie Ihren Gegnern keine Chance und schließen Sie jede Sicherheitslücke, bevor sie zum größten Problem wird, dem Sie je begegnet sind.

Wir sehen bereits beeindruckende Ergebnisse bei unseren Kunden, darunter dieser führende Anbieter von cloudbasierter Buchhaltungssoftware:

"Die maßgeschneiderten Lernpfade von Courses haben alles verändert. Die Spezifität in Bezug auf Programmiersprachen und Schwachstellen bietet mehr Kontrolle und Flexibilität, um für jeden Entwickler die passende Lernerfahrung zu schaffen – basierend auf individuellen und unternehmerischen Anforderungen. Die Nutzung von Courses in Verbindung mit der umfassenden Secure Coding-Plattform von Secure Code Warrior hat das Engagement unserer Entwickler grundlegend gewandelt: Sie haben nun ein größeres Interesse daran, ihre Fähigkeiten im sicheren Programmieren zu vertiefen, um besseren und sichereren Code zu schreiben."

Machen Sie sich bereit für DevSec. Erfahren Sie hier mehr über die neue Courses-Funktion von Secure Code Warrior.