Das Jahrzehnt der Verteidiger: Secure Code Warrior wird zehn

In meinen jüngeren Jahren habe ich viel DOOM gespielt, und am Anfang musste ich definitiv zwischen den verschiedenen Schwierigkeitsgraden hin- und herschalten, um meine ersten paar Spieldurchläufe zu beenden. Sie reichten von „I’m Too Young To Die“ (Einfach) bis „Nightmare“ (Sehr schwer). Es gibt Tage, an denen ich mir wünschte, ich könnte das Spiel einfach zurücksetzen und den Schwierigkeitsgrad für die Führung eines Technologieunternehmens ändern – besonders in der Anfangsphase, wenn so viele Elemente empfindlich, prekär und fehleranfällig sind.

Die Statistiken sind bekannt und ernüchternd: Startups scheitern zu etwa 90 %. Das ist schon seit vielen Jahren so, aber wenn man genauer hinsieht, zeigt sich: 21 % der Startups scheitern im ersten Jahr, 30 % innerhalb von zwei Jahren, 50 % nach fünf Jahren und 70 % innerhalb des ersten Jahrzehnts.

Ich bin stolz darauf, dass meine Mitgründer Matias Madou, Fatemah Beydoun, Colin Wong, Nathan Desmet und Jaap Karan Singh es bis „Level 10“ geschafft haben, unterstützt von unseren Investoren Goldman Sachs, Cisco Investment, Paladin Capital, Forgepoint, Airtree und Tidal sowie meinen unabhängigen Vorstandsmitgliedern Jim Pflaging und Nanhi Singh.

Das Gründungsteam ist zusammengeblieben und hat das Unternehmen ein ganzes Jahrzehnt lang durch alle Höhen und Tiefen gesteuert. Wir wachsen weiter und sind bereit für unser nächstes Kapitel, SCW 2.0, als führendes Unternehmen im Bereich Developer Risk Management.

2024: Das Jahr, in dem wir branchenweit erste Tools für Dateneinblicke auf den Markt gebracht haben.

Den Return on Investment für die Weiterbildung von Mitarbeitern nachzuweisen, ist extrem schwierig. Doch 2024 hat SCW erreicht, was die gesamte Branche forderte: „Können Sie beweisen, dass unsere Software durch die Weiterbildung unserer Entwickler sicherer wird?“. Wir haben Daten zu Schwachstellen und zur Fehlerbehebung von einigen unserer größten Kunden mit etablierten Programmen gesammelt. Wir können stolz belegen – mit Bestätigung durch unsere Kunden –, dass die mittlere Reduzierung von Schwachstellen bei Code von geschulten Entwicklern im Vergleich zu anderem Code 53 % betrug. Wir haben zudem nachgewiesen, dass geschulte Entwickler Sicherheitsprobleme 2-3-mal schneller beheben, was Zeit spart und das Risiko senkt.

Den Anfang machte SCW Trust Score, die einzige Benchmarking-Funktion, die die Auswirkungen von Secure-Coding-Programmen in Unternehmen quantifiziert. Zum ersten Mal erhalten Sicherheitsverantwortliche granulare, datengestützte Einblicke in die Secure-Coding-Fähigkeiten ihres Entwicklungsteams und können diese mit Industriestandards vergleichen. Dies ist die Transparenz, auf die viele gewartet haben, um kritische Anpassungen an ihren Programmen vorzunehmen und Entwicklern individuelle Lernpfade zur Stärkung ihrer Sicherheitskompetenzen zu bieten. Wir haben sogar ein Forschungspapier mit dem ehemaligen US National Cyber Director Chris Inglis und Kemba Walden, Präsidentin des Paladin Global Institute und ehemals amtierende US National Cyber Director, veröffentlicht.

Später veröffentlichten wir SCW Trust Agent, ein ergänzendes Angebot, das Transparenz über das gesamte Code-Repository eines Unternehmens bietet und jeden Commit im Hinblick auf die Secure-Coding-Fähigkeiten der Entwickler analysiert. SCW Trust Agent baut auf SCW Trust Score auf und zeigt gemeinsam, wie effektiv das Sicherheitsprogramm des Unternehmens bei jedem Commit angewendet wird.

Diese Tools helfen Sicherheitsverantwortlichen in Unternehmen dabei, Ziele wie die Secure-by-Design-Richtlinien der CISA zu erreichen, indem sie die Sicherheitskompetenzen der Entwickler, sichere Commits und letztlich die Beseitigung von Schwachstellenkategorien verifizieren – alles notwendige Elemente bewährter Secure-Design-Prinzipien.

Hallo! Unser Partnernetzwerk wächst stetig, ebenso wie unser Kundenstamm.

Einer der schönsten Aspekte in der Cybersicherheitsbranche ist die Erkenntnis, dass wir im Grunde alle eine große, nerdige und leidenschaftliche Gemeinschaft sind, die meist nur zu gerne zusammenarbeitet – nicht nur für den gemeinsamen Erfolg, sondern für eine sicherere digitale Welt für alle.

Wir schätzen uns glücklich, eine Vielzahl von Sicherheits- und Technologieunternehmen unsere Geschäftspartner nennen zu dürfen, wobei unser Partnerprogramm maßgeblich zu unserem Wachstum beiträgt. Ende 2024 kündigten wir unsere zweite OEM-Partnerschaft mit dem globalen Marktführer im Informationsmanagement, OpenText, an. Diese Entwicklung, zusammen mit unserem wichtigsten OEM-Partner Black Duck, bietet uns die großartige Gelegenheit, ganzheitliche Lösungen anzubieten, die den modernen Anforderungen von Unternehmen und ihren Sicherheitsprogrammen gerecht werden.

Zudem betreuen wir mittlerweile über 650 Unternehmenskunden. Von unseren bescheidenen Anfängen vor zehn Jahren, als ich unser 4-köpfiges Team zum Feiern unseres ersten großen Kunden zu einem günstigen Mittagessen einlud, haben wir uns eine beachtliche Kundenbasis aufgebaut, die keine Angst davor hat, präventive Sicherheit mit Entwicklern als treibende Kraft anzugehen.

KI, der ultimative Disruptor und die Zukunft der entwicklergesteuerten Sicherheit.

Künstliche Intelligenz, LLMs und KI-Codierungstools sind seit über zwei Jahren in aller Munde, und wir befinden uns als Gesellschaft an einem entscheidenden Punkt unserer technologischen Geschichte. Die Vielzahl an KI-Tools in fast jeder Kategorie verspricht enorme Produktivitätsgewinne, und in der Softwareentwicklung hat eine aktuelle GitHub-Umfrage ergeben, dass die meisten Ingenieure bereits KI-gestützte Coding-Assistenten einsetzen.

Diese Tools sind heute Teil der Softwareentwicklung, auch wenn nur 38 % der Unternehmen ihren Einsatz offiziell genehmigt haben. Ihre Nutzung ist unvermeidlich. Anstatt eine „Shadow AI“-Situation zu schaffen, sollten sich Sicherheitsverantwortliche darauf konzentrieren, Entwickler auf dem Weg zu sicherem, verantwortungsbewusstem Programmieren zu begleiten. Sicherheitsbewusste Entwickler können diese Tools mit dem kritischen Denken und der Expertise nutzen, die erforderlich sind, um von der gesteigerten Produktivität zu profitieren, ohne das Risiko zu erhöhen, das durch Entwickler mit geringen Sicherheitskenntnissen entsteht.

2025 werden Sie weitere Fortschritte bei KI-Coding-Tools sehen. Wir haben vielleicht noch das eine oder andere Ass im Ärmel, um Unternehmen bei der effektiven Umsetzung von Developer Risk Management in diesem und anderen Bereichen zu unterstützen. Bleiben Sie dran und begleiten Sie uns auf unserer Reise.