Der ROI von entwicklergesteuerter Sicherheit

Die Kosten für schlechten Code

Technologische Sprünge machen es Entwicklern einfacher denn je, Code schneller als je zuvor bereitzustellen. Das kann Innovationen beflügeln, ist aber eine Herausforderung, wenn es darum geht, Qualität und Sicherheit in der Software zu skalieren. Die Kosten für zusätzliche Tools, Schulungsprogramme und Investitionen in die Weiterbildung von Entwicklern zu rechtfertigen, kann wie ein „Nice-to-have“ statt wie eine geschäftskritische Funktion wirken, solange die Geschwindigkeit der Code-Bereitstellung beibehalten wird.

Die Bereitstellung von Code mag einfacher geworden sein, aber die Bereitstellung von sicherem Code leider nicht – was Unternehmen anfälliger für Bedrohungen macht als je zuvor. Die Kosten durch Cyberkriminalität sind weltweit erschreckend hoch und steigen rapide an. Tatsächlich beliefen sich die Kosten für Cyberkriminalität im Jahr 2020 auf etwa 1 Billion US-Dollar. Die durchschnittlichen Kosten einer Datenpanne liegen bei 4,35 Millionen US-Dollar – verteilt auf entgangene Geschäfte mit bestehenden und potenziellen Kunden sowie Ressourcen, die für Erkennung, Eskalation und Nachbesserung aufgewendet werden.

Trotz dieser astronomischen Kosten verlangt mehr als die Hälfte der Unternehmen von ihren Entwicklern keine jährliche formelle Schulung für sicheren Code.

Sicherheitsexperten wissen nur zu gut, dass das Finden und Beheben von Schwachstellen oft einem „Hau den Maulwurf“-Spiel gleicht. Selbst wenn Sie bereits ein Sicherheitsprogramm mit einer Strategie zur Fehlerbehebung haben, gibt es immer Raum für Verbesserungen. Die meisten Unternehmen stellen fest, dass ihr Sicherheitsansatz bei einer Prüfung der Disaster-Recovery- oder Backup-Fähigkeiten nicht so robust ist, wie sie dachten. Wenn die Stärkung der Widerstandsfähigkeit Ihres Unternehmens gegenüber Cyberangriffen eine Ihrer obersten Prioritäten ist, sollte die Verlagerung der Perspektive hin zu Ihren Entwicklern („Shift Left“) Teil Ihrer Pläne zur Verbesserung der Sicherheitslage sein. Ein kompetentes, befähigtes Entwicklerteam, das von Anfang an sicheren Code schreibt und über das Wissen verfügt, Schwachstellen schnell zu lokalisieren und zu beheben, ist Ihr kosteneffizientestes Mittel zur Risikominderung.

Ein weit verbreitetes Missverständnis bei der Entwicklerschulung ist, dass sie lediglich Kosten für das Unternehmen oder gar eine Versicherungspolice darstellt. Laut Klaus Klinger, DevSec Awareness Evangelist bei Allianz: „Das Ganze muss in den Köpfen des Managements beginnen. Investitionen in die Ausbildung von Entwicklern sind keine verlorenen Investitionen, sondern Investitionen in Qualität, Produktivität und den Ruf des Unternehmens.“

Der ROI ist in diesem Bereich oft schwer zu beziffern, aber letztendlich sollten Unternehmen darüber nachdenken, wie ihre Sicherheitslage ihnen hilft, Risiken zu reduzieren, ihren Ansatz zu optimieren und Zeit sowie Produktivität für ihre Entwicklerteams zu sparen.

Wie lässt sich der ROI bei Cybersicherheitskosten beziffern?

Beim ROI ist es wichtig, in zwei verschiedenen Kategorien zu denken: die Kosteneinsparungen durch Risikominderung im Vergleich zur Wirkung Ihrer Sicherheitsschulung.

Betrachten wir dieses allzu häufige Beispiel: Eine Schwachstelle oder ein Sicherheitsvorfall zwingt einen E-Commerce-Shop für mehrere Tage offline, während die Teams nach dem Problem und einer Lösung suchen. Die Kosten für das Versäumnis der Fehlerbehebung lassen sich beziffern durch entgangene Einnahmen während des Ausfalls, die Auswirkungen gestohlener Zugangsdaten, den Verlust des Kundenvertrauens (was langfristig zu geringeren Umsätzen führt) und die allgemeine Produktivitätseinbuße während der Fehlerbehebung.

Letztendlich läuft dies auf eine Kosten-Nutzen-Analyse hinaus. Die Schlüsselbereiche, die Sie bewerten sollten, sind der Sicherheitsreifegrad Ihres Unternehmens, die Risikobereitschaft Ihres Unternehmens und die Bereiche in Ihrem Code, die gewartet oder verbessert werden müssen.

Oft konzentrieren sich Menschen auf die falschen Kennzahlen, um Erfolg und Wert zu bestimmen. Vielleicht sollten wir uns weniger mit der Rendite der ursprünglichen Investition in das Programm befassen und stattdessen die Wirkung des Programms selbst messen.

Messen, um Wirkung zu belegen

Um den ROI zu ermitteln, müssen Sie messbare Ziele festlegen. Dies beginnt mit der Bewertung der Kenntnisse Ihrer Entwickler im Bereich sicherer Programmierung und dem Verständnis, wo sie ihre Fähigkeiten ausbauen müssen.

Ein Ausgangspunkt wäre die Messung des Engagements, um strategische Entscheidungen für den Aufbau fundierterer Schulungsprogramme zu treffen. Am wichtigsten ist jedoch: Messen Sie die Wirkung. Beginnen Sie damit, die Anzahl der Schwachstellen zu betrachten, die im Softwareentwicklungslebenszyklus durch Codeanalyse, Bug-Bounties oder klassische Schwachstellentests entdeckt werden, bevor Sie das Programm in den jeweiligen Teams starten. Eine der einfachsten Methoden, um festzustellen, ob Ihr Schulungsprogramm das gewünschte Ergebnis erzielt, ist die Messung des Rückgangs der Schwachstellen, die insgesamt in Ihre Codebasis eingebracht werden.

‍

Die wichtigsten Fragen zur Bewertung des ROI:‍

1. Optimieren wir unseren Ansatz?

‍Werfen Sie mehr Tools auf das Problem oder lösen Sie es an der Wurzel? Das Hinzufügen weiterer Tools zu Ihrem Tech-Stack führt zu einem „Schweizer-Käse“-Ansatz beim Finden und Beheben von Schwachstellen. Sie erhöhen zudem die Betriebskosten, haben aber kaum Auswirkungen auf die Quelle vieler Schwachstellen – den Code. Obwohl Scan- und Pentesting-Tools unbedingt Teil Ihres Arsenals sein sollten, sollten sie nicht Ihre letzte Verteidigungslinie sein. ‍

2. Verbessern wir Effizienz und Produktivität?

Zeitaufwendige Code-Reviews und Nachbesserungen aufgrund von Rückmeldungen des AppSec-Teams können die Produktivität erheblich beeinträchtigen. Die Reduzierung von Notfallmaßnahmen durch die gezielte Befähigung Ihrer Entwicklerteams mittels Schulungen für sicheren Code ist ein guter Maßstab, um den positiven Einfluss Ihres Sicherheitsprogramms zu bewerten. ‍

3. Senken wir die Risiken?

Das Finden und Beheben einer Schwachstelle gleicht oft einem komplexen Puzzle, dessen Lösung Tage, Wochen oder sogar Monate in Anspruch nehmen kann. Wenn Entwickler die Verantwortung für die Fehlerbehebung direkt an der Quelle übernehmen, kann sich das AppSec-Team auf die Risikoüberwachung und die Stärkung der allgemeinen Sicherheitsarchitektur konzentrieren.

4. Steigern wir die Geschwindigkeit (bei gleichbleibender Qualität)?

Schnelle Code-Bereitstellung ist nicht immer von Vorteil. Wer Abkürzungen nimmt und Schwachstellen in den Code einbaut, schafft sich für die Zukunft Probleme und baut technische Schulden auf. Kurzfristiges Denken ist hier nicht die Lösung. Risiken lassen sich minimieren, indem Code von Anfang an sicher gestaltet wird, damit sich Probleme nicht weiter anhäufen. 
‍

Empfohlene Kennzahlen:  

• Engagement – Wie viel Zeit planen Sie für Schulungen ein und wie aktiv sind die Entwickler? Schließen sie Kurse und Bewertungen ab und nehmen sie an Wettbewerben teil? 
• Fähigkeiten – Wo liegen die Stärken? Welche Bereiche müssen verbessert werden? 
• Schwachstellenreduzierung – Gibt es einen messbaren Rückgang von Schwachstellen bei Code-Reviews? Gibt es weniger Nachbesserungsbedarf durch das AppSec-Team? 
• Produktivität – Wie lange dauert die Behebung eines Problems? Führt die Reduzierung von Schwachstellen zu einer höheren Produktivität oder Geschwindigkeit? 

Mehrwert durch „Shift Left“ schaffen

Sicherheitsverletzungen und Schwachstellen nehmen jedes Jahr rapide zu. Es ist wichtig, proaktiv einen ganzheitlichen Sicherheitsansatz zu verfolgen – beginnend bei Ihrem Code. Dies hilft Ihnen dabei: 

• Komplexität zu reduzieren, indem Sie in Ihre wertvollste Ressource investieren – Ihre Mitarbeiter –, anstatt Geld in Tools zu stecken, die nur einen Teil des Problems lösen 
• Effizienz und Effektivität zu steigern, indem Nachbesserungen oder Korrekturen minimiert werden, die normalerweise erst nach der Bereitstellung des Codes durch das AppSec-Team identifiziert würden 
• Risiken zu mindern und Compliance-Anforderungen zu erfüllen, um kostspielige Bußgelder, Vertrauensverluste bei Kunden oder – noch schlimmer – die Kosten einer Datenpanne zu vermeiden 

Vermeiden Sie kurzfristiges Denken und schnelle Lösungen. Diese führen nur zu technischen Schulden und höheren Kosten in der Zukunft. Planen Sie langfristig, indem Sie Ihre Entwickler durch gezielte Weiterbildung zu Ihrer besten Verteidigungslinie gegen Schwachstellen und Cyberkriminalität machen, und überzeugen Sie sich selbst von der Wirkung und den Kosteneinsparungen.

‍