Der Trust Score verdeutlicht den Wert von Secure-by-Design-Weiterbildungsinitiativen

Ein sicherer Weg, die Sicherheitslage Ihres Unternehmens zu verbessern, ist die Weiterbildung von Entwicklern in Best Practices für sicheres Programmieren – eingebettet in einen Rahmen, der Baselines und Benchmarks bietet, um Entwicklern genau die Lernpfade zu ermöglichen, die sie benötigen. Sicheres Programmieren ist jedoch keine einmalige Lösung, sondern muss zu einer Lebenseinstellung werden, die fest in der DNA eines Unternehmens verankert ist. Entwickler müssen nicht nur „Shift Left“ praktizieren oder früh anfangen, sondern sie müssen auch dabei bleiben.

Reines Training reicht nicht aus. Unternehmen müssen sicherstellen, dass Entwickler die Schulungsinhalte vollständig verinnerlicht haben und die Best Practices zu Beginn des Softwareentwicklungslebenszyklus (SDLC) als Teil ihres Arbeitsalltags anwenden. Sie müssen die Leistung der Entwickler nachverfolgen und deren Fortschritte anhand interner Standards sowie Branchen-Benchmarks messen, um den ROI der Investition in Schulungen effektiv zu bewerten.

Der Trust Score von Secure Code Warrior bietet Transparenz über die Leistung einzelner Entwickler und aggregiert die Daten, um eine Einschätzung der Gesamtleistung Ihres Unternehmens zu ermöglichen. Er zeigt die Effektivität von Weiterbildungsprogrammen auf und identifiziert Bereiche, in denen Verbesserungsbedarf besteht. Zudem hilft er dabei, die Einhaltung verschiedenster regulatorischer Anforderungen sicherzustellen, sei es die Datenschutz-Grundverordnung (DSGVO), der Payment Card Industry Data Security Standard (PCI DSS), der California Consumer Privacy Act (CCPA) oder andere.

Unsere Untersuchungen haben gezeigt, dass Schulungen für sicheren Code funktionieren. Der Trust Score nutzt einen Algorithmus, der auf mehr als 20 Millionen Lerndatenpunkten von über 250.000 Lernenden in mehr als 600 Unternehmen basiert. Er zeigt, wie effektiv diese Schulungen Schwachstellen reduzieren und wie sich die Initiative noch weiter optimieren lässt.

Schulungen verbessern die Sicherheit – wenn Entwickler sie verstehen

Jahrelang schien die Anwendung von Sicherheits-Best-Practices zu Beginn des SDLC in der Softwarebranche eher ein Wunschtraum zu sein – schön für die Zukunft, aber keine Priorität für heute. Doch die ständig steigende Geschwindigkeit der Softwareentwicklung sowie das zunehmende Tempo raffinierter und destruktiver Cyberbedrohungen, die oft auf Software-Schwachstellen abzielen, haben sicheres Programmieren unerlässlich gemacht. Die Cybersecurity and Infrastructure Security Agency (CISA) stellt sicheres Programmieren mit ihrer Secure-by-Design-Initiative in den Mittelpunkt, die sich zu einer internationalen Bewegung entwickelt.

Unsere Forschung hat dies bestätigt: Der Zusammenhang zwischen einem „Secure-by-Design“-Ansatz und der Reduzierung von Software-Schwachstellen ist eindeutig. Wir haben Daten zur Schwachstellenreduzierung von 26 % der SCW-Kundenbasis analysiert und festgestellt, dass Entwicklerschulungen zu einer Verringerung der Software-Schwachstellen um 22 % bis 84 % führten. Diese Spanne ergab sich aus Variablen wie der Unternehmensgröße (kleinere Unternehmen mit relativ wenigen Entwicklern erzielten eine deutlichere Ergebnisspanne) und der Frage, ob sich eine Lerngruppe auf ein spezifisches Problem konzentrierte, wodurch ein höherer Prozentsatz an Fehlern eliminiert werden konnte.

Die Ergebnisse bei großen Unternehmen waren recht konsistent. Unternehmen mit 7.000 oder mehr Entwicklern können durch die sicherheitstechnische Weiterbildung ihrer Entwickler eine Reduzierung der Schwachstellen um 47 % bis 53 % erwarten. Ein statistisch durchschnittliches Unternehmen mit mehr als 10.000 Entwicklern – das weder ein Spitzenreiter auf der Plattform war noch den höchsten Benchmark aufwies – verzeichnete beispielsweise eine Reduzierung der Schwachstellen um 53 %.

Natürlich ist das effektivste Training kein pauschaler Ansatz. Es sollte auf die Arbeitsumgebungen der Entwickler und die Art der von ihnen durchgeführten Entwicklungsarbeit zugeschnitten sein.

Unternehmen sollten damit beginnen, die grundlegenden Fähigkeiten zu definieren, die Entwickler benötigen, damit das Schreiben von sicherem Code für sie so natürlich wird wie das einfache Schreiben von Code. Weiterbildungsprogramme sollten aus praxisnahen, agilen Schulungen bestehen, die auf die Art ihrer Arbeit und die verwendeten Sprachen abgestimmt sind. Zudem sollten sie flexibel genug sein, um sich in den Arbeitsalltag integrieren zu lassen.

Für Entwickler umfasst das Skillset mehr als nur das Schreiben von Code. Sie müssen in der Lage sein, Software zu überprüfen, die von KI-Assistenten und Dritten, wie etwa Open-Source-Repositories, erstellt wurde. Entwickler nutzen generative KI-Modelle intensiv und loben im Allgemeinen deren Vorteile, da sie ihnen helfen, schneller mehr Code zu erstellen. Obwohl 76 % der Befragten einer Snyk-Umfrage angaben, dass KI-generierter Code sicherer sei als von Menschen produzierter Code, sagten dennoch 56,4 %, dass KI manchmal oder häufig Fehler einführt. Dieselbe Umfrage ergab zudem, dass 80 % der Entwickler keine Sicherheitsrichtlinien für KI-Code anwenden, was darauf hindeutet, dass Probleme in KI-generiertem Code nicht ausreichend adressiert werden.

Bei einem „Secure-by-Design“-Ansatz arbeiten Entwickler gemeinsam mit Sicherheitsteams – statt getrennt von ihnen – daran, diese Probleme frühzeitig im SDLC anzugehen und Fehler zu identifizieren und zu beheben, bevor der Code in die Produktion geht.

Trust Score misst die Leistung von Einzelpersonen und Unternehmen

Es ist zudem entscheidend, dass Schulungen kontinuierlich stattfinden. Unternehmen müssen eine „Security-First“-Kultur etablieren, die von der Führungsebene bis hin zu allen Mitarbeitern gelebt wird. Der Fokus sollte auf kontinuierlicher Verbesserung und der Anwendung von Sicherheits-Best-Practices während des gesamten SDLC liegen. Technologie und Cyberkriminelle entwickeln sich ständig weiter; das sollte auch die Cybersicherheit tun. Für Unternehmen, die Software entwickeln, sind sicherheitsgeschulte Entwickler das Fundament.

Deshalb ist der Nachweis, dass Schulungen effektiv greifen, genauso wichtig wie das Training selbst. Der Trust Score bietet nicht nur Transparenz über die Leistung einzelner Entwickler und des gesamten Unternehmens, sondern ermöglicht es Unternehmen auch, Leistungsdaten detailliert zu analysieren, um sich auf bestimmte Sprachen, Entwicklerteams oder Softwarekategorien zu konzentrieren. Die Daten aus individuellen und aggregierten Ergebnissen helfen zudem dabei, Bereiche zu identifizieren, in denen Schulungen verbessert werden müssen – etwa wenn sie nicht den gewünschten Effekt auf die tägliche Leistung der Entwickler haben.

Der Trust Score hat Unternehmen in die Lage versetzt, die Leistung ihrer Entwickler zu bewerten und zu bestätigen, ob sie die notwendigen Sicherheitskompetenzen erworben haben und anwenden – und ihnen somit ihre „Lizenz zum Programmieren“ erteilt. Er ermöglicht es Unternehmen, qualifizierten Entwicklern sicher Zugriff auf ihre sensibelsten Daten und kritischen Softwareprojekte zu gewähren, während dieser Zugriff denjenigen verwehrt bleibt, die noch nicht so weit sind.

Beleg für eine sich wandelnde Sicherheitskultur

Cybersicherheit ist längst kein reines Sicherheitsthema mehr. Es ist eine geschäftskritische Angelegenheit, die die Integrität des wertvollsten Gutes vieler Unternehmen betrifft: ihrer Daten. Ein schwerwiegender Vorfall beeinträchtigt den Geschäftsbetrieb, den Ruf und potenziell sogar die Existenzgrundlage einer Organisation. Auch Regulierungsbehörden haben die Bedeutung der Cybersicherheit erkannt. Sie erlassen immer strengere Vorschriften und zeigen sich bereit, gegen CISOs und gegebenenfalls weitere Mitglieder der Geschäftsführung vorzugehen – bis hin zur Erhebung strafrechtlicher Anklagen, wie die Fälle Uber und SolarWinds zeigen.

Die Etablierung einer unternehmensweiten Sicherheitskultur ist im heutigen Umfeld unerlässlich. Da ein Großteil des Unternehmenswerts in Daten, Anwendungen und Diensten steckt, ist sichere Programmierung ein zentraler Bestandteil dieser Kultur. Gezielte Schulungen und Weiterbildungen als Teil einer kulturellen Denkweise sowie der Nachweis, dass diese Maßnahmen die Kultur tatsächlich verändern, ebnen Unternehmen den Weg zu einer stärkeren Sicherheitsaufstellung.

Entwicklergesteuerte Sicherheitsprogramme sind wertvoll. Der Beweis dafür ist der Trust Score.