Auf Goldkurs: Höhere Standards für sicheren Code bei Paysafe

Paysafe verwandelt Finanztransaktionen in Erlebnisse, die auf Vertrauen basieren. Das Unternehmen weiß, dass eine sichere, nahtlose Plattform, die ein jährliches Transaktionsvolumen von über 152 Milliarden US-Dollar verarbeitet, weit mehr erfordert als nur die Erfüllung grundlegender Compliance-Standards. Seit vier Jahren verfolgt Paysafe durch die Partnerschaft mit Secure Code Warrior einen ganzheitlichen Ansatz für das Entwickler-Risikomanagement, wobei ihr Anwendungssicherheitsprogramm einen positiven Einfluss auf die geschäftlichen Anforderungen zeigt, darunter:

‍
Die Herausforderung: Höhere Standards für sicheren Code bei Paysafe

Als multinationaler Online-Zahlungsanbieter betrachtet Paysafe sicheres Programmieren seit jeher als strategische Priorität, die über die bloße Erfüllung der PCI-DSS-Compliance-Anforderungen hinausgeht. Während formelle, von Experten geleitete Schulungen und Kompetenzbewertungen Teil ihrer frühen Bemühungen waren, war es stets das Ziel von Paysafe, den Umfang und die Reichweite ihrer Initiative für sicheres Programmieren kontinuierlich zu erweitern, um einen erstklassigen Ansatz für Anwendungssicherheit zu gewährleisten und sicherzustellen, dass Entwickler von Anfang an sicheren Code schreiben.

„Für uns ging es nie nur darum, ein Kästchen abzuhaken, dass wir eine Schulung durchgeführt haben. Unser Ziel ist es, unsere Mitarbeiter über laufende Entwicklungen auf dem Laufenden zu halten. Wir streben immer danach, besser zu werden und mehr zu tun. Wir möchten, dass Engineering-Teams und Sicherheitsteams zusammenarbeiten. Teams, die sich weiterentwickeln können, sind besser informiert und entwerfen besseren Code“, sagt Boyan Hristov, People Development Partner bei Paysafe.

Die Vision von Paysafe war es, Sicherheit frühzeitig in den Prozess zu integrieren („Shift Left“) und sicherheitsbewusste Entwickler auszubilden, die Praktiken für sicheres Programmieren in jede Phase des Softwareentwicklungslebenszyklus einbetten. Um dies zu unterstützen, benötigten sie ein skalierbares, ansprechendes und kontinuierliches Programm, das nicht nur Audits für die PCI-Compliance ermöglicht, sondern auch einen tiefgreifenden und nachhaltigen kulturellen Wandel vorantreibt. Dazu gehörten spielerische Lernerfahrungen, regelmäßige Turniere und kontinuierliche Schulungen, um Entwickler einzubinden und sie dazu zu motivieren, bei Sicherheitstrends in der Branche stets auf dem neuesten Stand zu bleiben.

Die Lösung: Ein innovativer Ansatz mit Secure Code Warrior

Paysafe hat die Developer Risk Management Platform von Secure Code Warrior eingeführt, um Praktiken für sicheres Programmieren zu skalieren, Ingenieure einzubinden und Sicherheit früher im Entwicklungslebenszyklus zu verankern. Ihr Security-Champions-Programm ist im Laufe der Zeit gewachsen, wobei Secure Code Warrior eine entscheidende Rolle bei der Erreichung der Ziele zur Cyber-Risikoprävention spielt.

Paysafe ermöglichte es Entwicklern, sich organisch mit der Plattform auseinanderzusetzen, und förderte spielerische Aktivitäten wie Turniere mit attraktiven Preisen, um die Beteiligung und Begeisterung der Entwickler zu wecken. Bei der Einführung des Programms wurden einige Bewertungen verpflichtend gemacht, um die PCI-Compliance-Anforderungen zu erfüllen, während andere Inhalte und Aktivitäten optional angeboten wurden.

Als das Programm an Fahrt gewann, bot die Führungsebene zusätzliche Unterstützung, um die Ziele der Entwicklungs- und Infosec-Teams weiter in Einklang zu bringen. Dies ermöglichte es dem Paysafe-Team, das Programm auf die nächste Stufe zu heben und formellere Zertifizierungsprogramme mit festgelegten KPIs und Leistungsanreizen einzuführen.

Die nächste Phase des Programms konzentrierte sich auf die branchenüblichen OWASP Top 10-Themen, wobei Zertifizierungsstufen es Entwicklern ermöglichten, verschiedene Leistungsniveaus zu erreichen. Inzwischen hat das Programm ein neues Maß an Skalierung und Reife erreicht und die grundlegenden Standards für alle Entwickler angehoben, von Vollzeitbeschäftigten bis hin zu externen Mitarbeitern.

‍„Wir schätzen die Partnerschaft, die wir in den letzten vier Jahren mit SCW aufgebaut haben, sehr. Gemeinsam konnten wir gezielte Schulungen zur Anwendungssicherheit anbieten und die Beziehungen zwischen unseren Sicherheits- und Engineering-Teams stärken – basierend auf dem gemeinsamen Engagement, sicheren Code direkt beim ersten Mal und so früh wie möglich im SDLC zu entwickeln“, sagt Alan Osborne, Chief Information Security Officer bei Paysafe.

Mit der kontinuierlichen Unterstützung und Abstimmung durch CISO, CTO und Führungskräfte aus dem Engineering-Bereich hat Paysafe gemeinsam mit Secure Code Warrior das Programm stetig weiterentwickelt. Heute ist das Programm eng auf die geschäftlichen Anforderungen abgestimmt, liefert greifbare Ergebnisse und bleibt für die internen Teams relevant und motivierend.

Ergebnisse: Ein neuer Standard für sicheren Code im gesamten Unternehmen

Die Initiativen von Paysafe zur Anwendungssicherheit haben sich seit Beginn ihrer Reise vor vier Jahren verbessert. Durch die Partnerschaft mit Secure Code Warrior hat Paysafe gezeigt, welche enorme Wirkung ein ganzheitlicher Ansatz für das Entwickler-Risikomanagement im gesamten Unternehmen haben kann.

Die Analyse der SAST-Scandaten durch Paysafe zeigte, dass Anwendungen, die von Teams entwickelt wurden, die mit Secure Code Warrior geschult wurden, eine deutliche Verringerung der bei Scans in der frühen Entwicklungsphase entdeckten Schwachstellen aufwiesen. Die Anzahl der beim ersten Scan gefundenen Schwachstellen sank bei Teams, deren Entwickler aktiver mit der SCW-Plattform arbeiteten, noch weiter.

Das Team mit dem höchsten Aktivitäts- und Engagement-Level bei Secure Code Warrior verzeichnete im Jahresvergleich eine signifikante Reduzierung der in frühen Entwicklungsphasen gefundenen Schwachstellen – was den Mehrwert kontinuierlicher, kompetenzbasierter Schulungen bei der Festigung von Gewohnheiten für sicheres Programmieren unterstreicht. Die Erstellung von sicherem Code von Anfang an sparte dem Team und anderen Teams im SDLC viel Zeit. Tausende von Entwicklungsstunden wurden eingespart, da die Notwendigkeit entfiel, Code-Schwachstellen zu identifizieren, zu protokollieren und zu überarbeiten, indem sie bereits in der frühen Entwicklung verhindert wurden. Dies führte zu einer Produktivitätssteigerung von 45 % bei den Entwicklern und verdeutlichte die Vorteile der Weiterbildung im Bereich sicherer Code sowie die Verbesserung des täglichen Entwicklungsprozesses. Ein Gewinn für Engineering- und AppSec-Teams gleichermaßen.

Das Engagement von Paysafe für sicheren Code hat dazu beigetragen, dass sich das Unternehmen abhebt und einen vierten Platz im SCW Trust Score^®  im Benchmark für Bank- und Finanzdienstleistungen erreicht hat. Auch wenn dies ein Erfolg ist, auf den sie stolz sind, endet das Engagement von Paysafe für Initiativen zur Code-Sicherheit hier nicht. Angespornt durch die Ergebnisse der Partnerschaft mit Secure Code Warrior möchte Paysafe das Programm weiter ausbauen. 

„Secure Code Warrior hat uns geholfen, die Produktivität unserer Entwickler zu steigern, die Markteinführung von Produkten und Verbesserungen zu beschleunigen sowie Kosten und Risiken langfristig deutlich zu senken“, sagt Alan Osborne, Chief Information Security Officer bei Paysafe. „Wir haben gezeigt, dass sicheres Programmieren durch verbesserte Entwicklerschulungen kein bloßes ‚Nice-to-have‘ ist, sondern eine bewährte Investition, die einen echten ROI liefert und gleichzeitig die Fähigkeiten, Erfahrungen und Kompetenzen unserer Entwickler stärkt.“

Als Nächstes möchte Paysafe seine Sicherheitsstandards weiter operationalisieren, indem zusätzliche Governance- und Risikomanagementmaßnahmen in die Prozesse integriert werden. Mit dem SCW Trust Agent vertieft das Unternehmen seine langjährige Partnerschaft mit Secure Code Warrior und unterstreicht sein Engagement für exzellente Cybersicherheit.