Wie Colgate-Palmolive die Sicherheitskompetenz seiner Entwickler steigerte und eine Kultur für sicheres Programmieren schuf

TL;DR

Über Colgate-Palmolive

Die Colgate-Palmolive Company ist eine bekannte Konsumgütermarke, die in Haushalten weltweit geschätzt wird. Obwohl das Unternehmen auf eine über zweihundertjährige Geschichte zurückblickt, ist es ein innovatives Wachstumsunternehmen, das digitale Technologien nutzt, um eine gesündere Zukunft für Menschen, ihre Haustiere und den Planeten zu gestalten.

Ausgangslage

Wie fast jedes andere Unternehmen durchläuft auch Colgate-Palmolive eine digitale Transformation, um seine Kunden besser bedienen zu können. Dies hat zu einem Umdenken bei der Herangehensweise an die Anwendungssicherheit geführt.

Alex Schuchman, CISO bei Colgate-Palmolive, drückt es so aus:

„Es ist uns sehr wichtig, die Daten unserer Kunden zu schützen und so Vertrauen aufzubauen – nicht nur in unsere Produkte, sondern auch in die digitalen Interaktionen, die unsere Kunden mit uns haben.“

Für Alex bestand die Herausforderung jedoch darin, die Ursache potenzieller Datenschutzverletzungen bei Kunden abzusichern: den Code selbst.

„Die Arbeit an der Entwicklungsseite von Anwendungen war sehr hilfreich, als ich in meine Rolle als CISO wechselte. Ich kenne den Schmerz, wenn man Tickets von der AppSec zurückbekommt, oder die Frustration, wenn man Fristen wegen Nachbesserungen verpasst. Mein Ziel als CISO war es daher nicht nur, die Sicherheit im Softwareentwicklungslebenszyklus zu erhöhen, sondern auch die Implementierung zu optimieren.“

Maßnahmen

Colgate-Palmolive begegnete dieser Herausforderung, indem das Unternehmen seine Sicherheitsschulungen in kleinere, mundgerechte Einheiten unterteilte. Dies machte sie für Entwickler attraktiver, da sie sich besser in den Arbeitsablauf integrieren ließen als die langen, monolithischen Compliance-Schulungen, die sie gewohnt waren. Durch den agilen, kontextbezogenen Ansatz von Secure Code Warrior zum Erlernen von sicherem Code konnten Entwickler Schwachstellen im Kontext ihrer realen Projekte verstehen – was zu höherem Engagement und langfristiger Verankerung sicherer Programmierkenntnisse führte.

„Ich wollte diese Best Practices einführen und gleichzeitig die Entwickler motivieren“, sagt Alex. „Wir haben zwar weiterhin kritische Teile des Programms verpflichtend, aber die Schulungen überschaubar zu halten und auf das Feedback der Entwickler zu hören, hat zum Erfolg des Programms beigetragen.“

Colgate-Palmolive hat einen Okta-Workflow implementiert, der das GitHub-Repository absichert. Wie im Diagramm unten dargestellt, erhalten nur Entwickler Zugriff auf Pull Requests, die spezifische SCW-Bewertungen bestanden haben.

Ergebnisse

Laut Alex: „Wir wussten, dass wir unsere Entwickler von Anfang an mit ins Boot holen mussten, um den Erfolg zu optimieren. Deshalb haben wir sichergestellt, dass die Entwickler wussten, dass sie ein entscheidender Teil des Programms sind. Das Ergebnis war eine deutlich bessere Beziehung zwischen unserem Sicherheitsteam und den Entwicklern; es fühlte sich wirklich so an, als würden wir als Team an dem Programm arbeiten. Wir bauen den Erfolg, den wir bereits erzielt haben, weiter aus und skalieren das Programm zur Sicherheitsreife.“

Wichtigste Erkenntnisse

1. Definieren Sie klare Programmziele und legen Sie Wert auf den Input und das Engagement der Entwickler. Entwickler sind eher bereit, ein Programm zum Erlernen von sicherem Code zu unterstützen, wenn es in ihren Workflow und die von ihnen täglich genutzten Entwicklungstools integriert ist.
2. Die Verwendung eines SSO-Tools wie Okta zur Absicherung des Code-Repositorys schafft Anreize für das Team. Nur Entwickler, die bestimmte SCW-Kurse und Bewertungen erfolgreich abgeschlossen haben, dürfen Pull Requests erstellen.
3. Bauen Sie im Laufe der Zeit eine Sicherheitskultur auf, die eine starke Arbeitsbeziehung zwischen AppSec- und Entwicklungsteams fördert.

‍