Eine revolutionäre Zertifizierung für IT-Sicherheit schaffen

Wie ein erstklassiges Finanzinstitut eine revolutionäre Zertifizierung für Sicherheit schuf

Könnte ein Spiel der Schlüssel sein, um Entwickler für Sicherheits-Compliance zu begeistern?

Mit Millionen von Kunden, einer langen Geschichte als vertrauenswürdiges globales Finanzinstitut und einem starken Engagement für Innovation und digitale Transformation nutzte dieser erstklassige Bankkunde Secure Code Warrior als Teil eines einzigartigen Bildungsprogramms innerhalb seines Unternehmens.

Sie riefen eine interne Technologie-Bildungsinitiative ins Leben, um Tausende von Mitarbeitern dabei zu unterstützen, praktische und zukunftsweisende Fähigkeiten in verschiedenen Disziplinen wie maschinellem Lernen und Cybersicherheit zu erwerben.

Die Finanzdienstleistungsbranche befindet sich in einer Phase des radikalen Wandels, in der viele Unternehmen ihre Angebote an die rasante Entwicklung neuer Technologien anpassen. Im Grunde entwickeln sie sich zu vollwertigen Technologieunternehmen mit Finanzfokus. Der Ansatz unseres Kunden hat es ihm nicht nur ermöglicht, mit diesem Trend Schritt zu halten, sondern auch bessere (und intelligentere) Ergebnisse als die meisten anderen zu erzielen. Sie haben massiv in ihre Mitarbeiter investiert, um in diesen wichtigen, aufstrebenden Bereichen auf dem neuesten Stand zu bleiben, und sind dadurch führend bei Innovation und Expertise im FinTech-Bereich.

Um dieses Programm erfolgreich umzusetzen, sahen unser Kunde und das gesamte Team die Notwendigkeit, sicherzustellen, dass ihre Entwickler umfassend in sicherem Programmieren geschult sind und ein hohes Bewusstsein für Cybersicherheit besitzen. Der Security Awareness Manager wollte das Team positiv einbinden und von Anfang an für das Thema Sicherheit begeistern.

Die Herausforderung

Der Security Awareness Manager unseres Kunden verfügt über langjährige Erfahrung in der Sicherheitsbranche und hat die explosionsartige Zunahme der Nutzung von Online-Anwendungen durch Unternehmen jeder Größe sowie den rasanten Anstieg digital ausgerichteter Teams hautnah miterlebt. Er hat aus erster Hand gesehen, wie die unvermeidliche Silobildung von Fachwissen auf eine solche Hyper-Expansion folgen kann, was letztlich für viele Sicherheits- und Entwicklungsteams ein Problem darstellt: „In der Anfangsphase der Online-Einführung dachten Entwickler über Sicherheit nach und wandten sie bei ihren Software-Builds an. In einer zunehmend isolierten Umgebung arbeitet jedoch ein Team beispielsweise an einem Betriebssystem, das dann zur Analyse an ein Sicherheitsteam gesendet wird, und oft kommt es mit einer Reihe von roten Markierungen und Korrekturhinweisen zurück. Es wird zwar zwangsläufig abgesichert, aber die Erkenntnisse und das Wissen verschwinden in einem schwarzen Loch, nur um sich dann immer wieder zu wiederholen“, sagte er.

Er verwies auf die „menschliche Herausforderung“, wenn er über die Sicherheitsprobleme sprach, die er in seiner Rolle häufig sieht:

Softwareentwickler werden dafür bezahlt, Funktionen zu erstellen, und Sicherheit kann als großes Hindernis für die agile Entwicklung angesehen werden. Sie sind mit ihren eigenen Prioritäten beschäftigt und betrachten den Sicherheitsaspekt oft als Aufgabe von jemand anderem. Im Extremfall vertreten manche die Ansicht: ‚Nun, bisher ist nichts passiert. Warum machen wir uns so viele Sorgen um die Absicherung dieser Software und warum unterbricht das meinen Entwicklungszyklus?‘ In einer Welt zunehmender Digitalisierung muss sich diese Einstellung ändern. Anstatt als lästig angesehen zu werden, müssen wir die Bedeutung der geteilten Verantwortung für Softwaresicherheit verdeutlichen.

Angesichts der wachsenden Abhängigkeit von der Softwareentwicklung für unser digitales Leben sah er die Zeichen der Zeit: Als Gesellschaft sind wir für Hacker auf einem zunehmend unfairen Spielfeld leichte Beute. Entwickler müssen Sicherheit ernst nehmen, ein ausgeprägtes Interesse daran entwickeln und zur ersten Verteidigungslinie in ihrem Unternehmen (und tatsächlich in jedem ernsthaften Technologieunternehmen) werden.

Also machte er sich daran, die traditionelle Ausbildung auf den Kopf zu stellen.

Die Umsetzung

Der Security Awareness Manager verfolgte die Philosophie unseres Kunden, einen neuen Standard für Softwarequalität zu setzen. Konkret geht es um die Vorstellung, dass das inhärente Sicherheitsniveau einer Software ein Indikator für ihre Gesamtqualität und Produktlebensfähigkeit ist. Derzeit ist Sicherheit in den meisten Fällen nicht eng mit Qualitätsmaßstäben verknüpft, und schon gar nicht in der gleichen Weise, wie Benutzeroberfläche, Geschwindigkeit und Wartbarkeit bei der Bewertung von Software berücksichtigt werden.

„Sicherheit muss zu einer nicht verhandelbaren Anforderung für hohe Softwarequalität werden“, sagte er. „Sie korreliert mit Zuverlässigkeit, was für die meisten Unternehmen ein großes Anliegen ist, insbesondere für solche mit einem sich schnell wandelnden, digitalisierenden Geschäftsmodell.“

Da die Kosten für die Behebung von Schwachstellen in bereits geschriebenem Code bis zu dreimal so hoch sind, als wenn sie von Anfang an sicher geschrieben worden wären, ist es ein Hauptziel geworden, eine tragfähige Sicherheitskultur in seinen Entwicklungsteams zu „verankern“. Schließlich gibt es bestimmte Schwachstellen, die Scan-Tools nicht erkennen, und die effizienteste Lösung, um diese zu bekämpfen, ist ein sicherheitsbewusstes Entwicklungsteam.

Der Security Awareness Manager erläuterte seine Erfahrungen mit anderen Schulungsformen, von denen viele immer noch häufig verwendet werden, um Entwickler zu „gewinnen“ und auf wachsende Sicherheitsbedenken vorzubereiten: „Wenn Entwickler gezwungen sind, Sicherheit durch eine Menge theoretischer Arbeit zu lernen, oder noch schlimmer: durch seltene Compliance-Schulungen nach dem Motto ‚Haken dran und weiter‘, gibt es einfach nicht genug praktisches Lernen oder Zeit, um eine nachhaltige Wirkung zu erzielen. Ich war entschlossen, dies durch eine effektivere Lösung zu ändern“, sagte er.

Die Vorteile eines hohen Engagements

Auf Anraten eines versierten Security Awareness Managers und seines Teams implementierte unser Kunde ein maßgeschneidertes Zertifizierungsprogramm, bei dem die Secure Code Warrior-Plattform ein wesentlicher Bestandteil ist.

Ihre Untersuchung nach einer effektiveren, ansprechenderen Schulungslösung für Entwickler führte dazu, dass sie zu einem frühen Anwender von Gamification wurden und deren Potenzial mit ihrem eigenen strukturierten, umfassenden Lehrplan maximierten.

„Es war entscheidend, dass wir hochgradig motivierende Schulungen fest in unserer Kultur verankern und die Teilnehmer dazu bewegen, kontinuierlich weiterzulernen. Das System verfolgt einen gezielten Ansatz, um Wissen, Fähigkeiten und ein Bewusstsein für den Wert von Sicherheit aufzubauen. Letztendlich arbeiten die Teilnehmer dadurch mit echtem Quellcode, den sie täglich verwenden“, sagte er.

Durch die ganzheitliche Lösung, die sowohl branchenübliche Sicherheitsstandards als auch interne Richtlinien abdeckt, konnte unser Kunde die Schulungen schnell implementieren und die Softwaresicherheit im Unternehmen nachhaltig verbessern.

Das Ergebnis

Das Zertifizierungsprogramm unseres Kunden ist ein erfolgreiches, sich stetig weiterentwickelndes Schulungsformat, das sich ideal für zukunftsorientierte Initiativen wie interne technische Bildungseinrichtungen eignet. Der fundierte Kurs, der auf unterhaltsame, interaktive und motivierende Weise vermittelt wird, stellt sicher, dass alle Teilnehmer das Wissen optimal behalten und die nötige Unterstützung erhalten, um eine echte Security-First-Kultur und Denkweise zu entwickeln. Gamification macht das Lernen zwar attraktiver, doch der Kern des Programms blieb praxisorientiert: Entwicklern die Fähigkeiten zu vermitteln, die sie benötigen, um hochriskante Schwachstellen in ihren Anwendungen zu erkennen und abzuwehren.

Es ist wichtig zu erwähnen, dass die Schulung nicht verpflichtend war, sondern ein gewisses Maß an Eigenmotivation der Entwickler erforderte. Dies wurde zwar zweifellos durch Anreize und Belohnungen gefördert, doch die breite Akzeptanz des Programms im Team war vor allem das Ergebnis wachsender Unterstützung und Anerkennung des Prozesses durch die Mitarbeiter selbst.

Neben der kontinuierlichen Weiterentwicklung wichtiger Kompetenzen hilft das Programm auch dabei, die Kluft zwischen Entwicklungs- und AppSec-Teams zu überbrücken, sodass sie an einem Strang ziehen, dieselbe Sprache sprechen und gemeinsame Interessen verfolgen.

Weit entfernt von einer reinen Pflichtübung zur Compliance, ist dieses Programm zu einem Grundpfeiler für die Förderung wertvoller Mitarbeiter und deren Karriere geworden. Es bietet messbare Weiterbildungsmöglichkeiten in einer der am schnellsten wachsenden Branchen der Welt: der Cybersicherheit. Schulungsprogramme wie dieses werden zum Maßstab für die Verbesserung der Softwaresicherheit von Anfang an.

Kurz gefasst

• Die Resonanz der Teilnehmer, die die Zertifizierung abgeschlossen haben und nun selbst als Ausbilder tätig werden möchten, ist beispiellos. Diese Begeisterung von unten ist ein starker Faktor für die Verbreitung durch Mundpropaganda, die Akzeptanz und das allgemeine Sicherheitsbewusstsein.
• Unser Kunde führt das Programm derzeit für mehr als 2500 Entwickler im Unternehmen ein, wobei bereits über 90 % aktiv im System arbeiten.
• Sie nutzen diese Schulung, um ihre Mitarbeiter bei der beruflichen Entwicklung zu unterstützen und sicherzustellen, dass sie über das nötige Wissen verfügen, um ihre Fähigkeiten in einem sich ständig wandelnden technologischen Umfeld einzusetzen.