Warum wir den Faktor Mensch in der Cybersicherheit niemals unterschätzen dürfen

Wir haben uns sehr gefreut, dass der erste Beitrag im Forbes Technology Council unseres Chairman und CEO, Pieter Danhieux, veröffentlicht wurde. Darin erläutert er, warum die Weiterbildung von Entwicklern zur Erstellung sichererer Codes der Schlüssel zur Abwehr von Cyberangriffen und Datenlecks ist. Darüber hinaus zeigt er auf, wie diese sicherheitsbewussten Entwickler dazu beitragen können, besseren und sichereren Code schneller bereitzustellen, als viele IT-Abteilungen vermuten. Die Notwendigkeit für diesen Ansatz ist unbestreitbar. Eine aktuelle Studie ergab, dass alle 39 Sekunden ein Cyberangriff stattfindet, und wir alle haben die Störungen miterlebt, die ein einziger erfolgreicher Ransomware-Angriff auf die Colonial Pipeline verursacht hat – was im großen Ganzen noch weniger zerstörerisch war als der SolarWinds-Hack.

‍

Viele verbreitete Schwachstellen existieren weiterhin, weil sich niemand die Mühe gemacht hat, Entwicklern zu zeigen, wie man schlechte Codierungsmuster durch bessere, sicherere Methoden ersetzt. Die nachträgliche Fehlerbehebung in der Softwareentwicklung ist extrem kostspielig, sowohl in Bezug auf den Zeitaufwand als auch auf Verzögerungen bei der Bereitstellung. Die Korrektur von Code nach der Bereitstellung, insbesondere wenn ein Angreifer eine zuvor unentdeckte Schwachstelle ausgenutzt hat, kann manchmal Millionen kosten. Ganz zu schweigen vom Reputationsschaden für ein Unternehmen nach einer großen Sicherheitsverletzung.

Sicherheitstechnisch geschulte Entwickler werden ganz natürlich zu besseren Programmierern. CISOs sollten ihre Sicherheitstools keinesfalls aufgeben, aber durch einen inklusiven, präventiven Sicherheitsansatz von oben können sie die größte Ressource ihres Unternehmens nutzen: den Faktor Mensch – insbesondere wenn es darum geht, sicheren Code von Beginn des Softwareentwicklungszyklus an zu schreiben.

Hier sind die drei wichtigsten Strategien, die Sie dabei beachten sollten.

1. Agieren statt reagieren

Unternehmen tappen oft in die Falle, nur reaktiv zu handeln, indem sie beispielsweise auf die Konkurrenz reagieren, anstatt eine eigene Vision zu verfolgen. Viele verfallen auch bei Sicherheitslücken in diesen Modus und nehmen Cybersicherheit erst ernst, wenn sie nach einem erfolgreichen Angriff dazu gezwungen werden. Leider ist der Schaden dann bereits entstanden: Bußgelder, Wiederherstellungskosten, Kundenabwanderung und der Verlust des Markenimages belasten das Ergebnis. Eine weitere Form der Reaktion statt Aktion ist das Vertrauen auf automatische oder manuelle Code-Scans, anstatt sich darauf zu konzentrieren, von vornherein sicheren Code zu schreiben. Leider sind Code-Scans keine perfekte Lösung; je mehr Schwachstellen im Code vorhanden sind, desto größer ist die Wahrscheinlichkeit, dass einige übersehen werden.

Nur durch einen proaktiven Ansatz und die Zusammenarbeit mit Entwicklern, um von Anfang an sicheren Code zu erstellen, lässt sich ein Softwareentwicklungszyklus etablieren, der die Wahrscheinlichkeit minimiert, dass Schwachstellen an die Nutzer gelangen.

2. Weiterbilden, nicht überfordern

Wenn Sie sich dazu entschließen, Entwicklern das nötige Wissen für sicheren Code zu vermitteln, wählen Sie Ihren Ansatz mit Bedacht. Interne Workshops, die die Arbeit unterbrechen, frustrieren Entwickler und Manager gleichermaßen. Externe Kurse am Abend oder Wochenende sind noch unbeliebter. Der beste Ansatz ist, Programmierkenntnisse schrittweise aufzubauen, indem relevante Informationen direkt während des Codierungsprozesses bereitgestellt werden – so bilden Sie weiter, ohne die Entwickler abzulenken oder den Entwicklungsprozess zu verlangsamen.

3. Motivieren, nicht voraussetzen

Entwickler sollten Sicherheitsschulungen nicht als Strafe oder lästige Pflicht empfinden. Manager müssen ihre Teams inspirieren, indem sie die wichtige Rolle von sicherem Code für den Unternehmenserfolg verdeutlichen. Es ist zudem wichtig zu vermitteln, dass sichere Programmierer wertvoller für das Unternehmen sind und von besseren Karrierechancen profitieren.

Die begrüßenswerte Executive Order der Biden-Administration hat den Fokus auf Cybersicherheit verstärkt und die Notwendigkeit betont, „Kriterien zur Bewertung der Sicherheitspraktiken von Entwicklern und Anbietern einzubeziehen sowie innovative Methoden zur Einhaltung sicherer Standards zu identifizieren.“ Doch Tools allein reichen nicht aus. Kein Tool kann verhindern, dass Menschen Systeme umgehen oder Fehler machen. Um die Sicherheit zu maximieren, müssen CISOs den Faktor Mensch nutzen und Entwickler dazu ermutigen, zu aktiven Befürwortern und Anwendern von Sicherheitspraktiken zu werden.