Wie Thales entwicklergesteuerte Sicherheit implementiert hat

Hintergrund

Die Thales Group ist ein französischer multinationaler Konzern, der elektrische Systeme sowie Geräte und Ausrüstung für die Bereiche Luft- und Raumfahrt, Verteidigung, Transport und Sicherheit entwickelt, produziert und vertreibt. Viswanath S. Chirravuri ist Software Security Technical Director bei Thales. Viswanath, kurz Vis, begann seine Karriere im Sicherheitsbereich ursprünglich als Programmierer. Heute ist er eine leitende Sicherheitsführungskraft bei Thales mit mehr als 18 Jahren Erfahrung in der Sicherheitsbranche und hält über 30 Zertifizierungen, darunter CISSP, PMP und GSE. Er hat mehr als 3.000 Software-Experten in über 18 Ländern geschult. Darüber hinaus hat Vis mehr als 10 SANS-Challenge-Coins bei internationalen Cybersicherheits-Turnieren (wie Netwars) gewonnen und ist aktives Mitglied des GIAC Advisory Board. Wir haben mit Vis darüber gesprochen, wie er Mensch, Prozesse und Technologie aufeinander abgestimmt hat, um ein erfolgreiches Programm zum Erlernen von sicherem Code bei Thales zu entwickeln.

Ausgangslage

Als Vis bei Thales anfing, coachte er Geschäftsbereiche darin, die Ursache von Schwachstellen, die durch Penetrationstests entdeckt wurden, als mögliche Lösung zur Verringerung des technischen Schuldenbergs zu betrachten. Das Anwendungssicherheitsteam nutzte sieben verschiedene Anbieter, um ihre Sicherheitslage zu festigen – von IAST/DAST-Tools bis hin zu Penetrationstest-Tools. Vis wollte Markttrends verstehen und Bedrohungen skalierbar verwalten, um durch eine starke Integration von Prozess und Technologie Minderungsstrategien zu entwickeln. Dies bedeutete den Wechsel von einem rein toolbasierten Ansatz hin zu einer Strategie mit einer starken Lernkomponente. Er bemerkte, dass viele Entwickler keinen Sicherheitshintergrund oder entsprechende Sicherheitskenntnisse hatten. Sein anfänglicher Ansatz war klassenzimmerbasiertes Training für Entwickler zu Themen wie den OWASP Top 10, aber er erkannte schnell, dass dies aufgrund der erforderlichen Reisen für Präsenzschulungen und der Notwendigkeit, Tausende von Entwicklern weltweit zu erreichen, nicht skalierbar war. Vis stellte fest:

„Es wird immer ein Ungleichgewicht im Verhältnis zwischen Sicherheit und Entwicklung geben. Selbst wenn ich ein Verhältnis von 1:1 zwischen Sicherheitsexperten und Entwicklern hätte, könnte ich sie nicht ständig einbinden. Unsere Entwickler über neue Angriffsvektoren, Best Practices, neue Sprachen und neu entdeckte Schwachstellen auf dem Laufenden zu halten, bedeutete, dass wir das Selbstlernen der Entwickler fördern mussten, damit sie in ihrem eigenen Tempo vorankommen können. Wenn sie Hilfe brauchen, kann ich sie unterstützen, aber ich habe erkannt, dass ich nicht derjenige sein kann, der ihnen beibringt, wie man jede gefundene Schwachstelle behebt.“

Anfangs gab es Widerstand von Entwicklungsmanagern bezüglich der Zeitinvestition, die Entwickler für das Erlernen von sicherem Code aufbringen müssten, da viele Entwickler bei Null anfingen. Vis musste die Wahrnehmung steuern, dass ein Engagement für das Erlernen von sicherem Code Software-Release-Zyklen stören oder geschäftskritische Sprints verlangsamen könnte. Er musste einen Weg finden, die Organisation angemessen zu motivieren, Zeit in agiles Lernen für sicheren Code zu investieren. Vis verfolgte eine „Mensch zuerst“-Einstellung, um Schwachstellen an der Quelle anzugehen: „Leute sagen oft, dass Sicherheit Zeit von der Entwicklung wegnimmt. Für mich ist es Zeitverschwendung, wenn man etwas entwickelt und es unsicher ist. Man sollte Software immer so entwickeln, dass sie sicher ist, und sich die Zeit sparen, Schwachstellen beheben zu müssen, die leicht hätten vermieden werden können. Wir sollten alle das gemeinsame Ziel haben, zuverlässigen Code auszuliefern.“

Maßnahmen

Vis hatte zwei Hauptziele: die Sicherung der Software und die Steigerung des Sicherheitsbewusstseins in den Entwicklerteams von Thales. Es war entscheidend, ein Programm zu implementieren, das es Entwicklern ermöglichte, unabhängig zu sein und in ihrem eigenen Tempo zu trainieren. Vis' Strategie bestand darin, im Laufe der Zeit eine Sicherheits-Community aufzubauen, sicheres Programmieren mit Unternehmensrichtlinien zu verknüpfen und ein Mandat für das Erlernen von sicherem Code in der Organisation zu entwickeln. Durch die Förderung einer Community-Kultur, die Entwickler, Tester, Architekten und Ingenieure verband, sah er einen Multiplikatoreffekt für die Motivation. Es entstanden Security Champions, die sich leidenschaftlich für Sicherheit als Teil ihrer täglichen Arbeit einsetzten und halfen, das Bewusstsein für sichere Programmierpraktiken in der gesamten Organisation zu verbreiten. Vis evaluierte mehr als ein Dutzend Anbieter von Sicherheitsschulungen und wurde 2019 Kunde von SCW. Für Thales war es ein riesiger Vorteil, einen Anbieter zu haben, der alle Programmiersprachen und Frameworks in ihrer Umgebung abdeckt, anstatt eine Stückwerklösung zu nutzen. Vis nutzte den riesigen Content-Umfang von Secure Code Warrior, um Schulungen und selbstgesteuertes Lernen für Entwickler im Sicherheitsprogramm aufzubauen:

„Die OWASP Top 10 sind nicht einfach nur zehn Dinge, die man wissen muss. Die Tiefe und Vielfalt der von OWASP abgedeckten Schwachstellen in Kombination mit der schieren Anzahl an Programmiersprachen kann überwältigend sein – die große Bandbreite an Herausforderungen und die Abdeckung, die wir hier haben, war ein Schlüsselfaktor bei der Wahl von SCW. Sie fügen ständig neue Dinge hinzu. Die Tiefe, die Vielfalt der Themen, die aktuellen Inhalte und der Fokus auf Prinzipien des sicheren Codedesigns zeichnen SCW wirklich aus. Mit ihnen ist es kein einmaliges Training, sondern wir haben die Möglichkeit gewonnen, ein kontinuierliches Programm aufzubauen.“

Vis und sein Team strukturierten die Einführung des Programms zum Erlernen von sicherem Code in vier Stufen mit unterschiedlichen Meilensteinen für jede Ingenieursrolle:

Wichtig ist, dass SCW zur Quelle der Wahrheit für Schwachstellenbehebungen wurde. Anstatt sich auf Google-Suchen zu verlassen, die möglicherweise zur Fehlersuche führen, veröffentlichte Vis sowohl Richtlinien des AppSec-Teams als auch solche aus der Inhaltsbibliothek von SCW, damit Entwickler auf eine vertrauenswürdige und authentische Quelle für Schwachstellenbehebungen im Code zurückgreifen konnten. Laut Vis:

„Entwickler sollten nicht frei entscheiden können, wie sie eine Schwachstelle beheben, und dabei möglicherweise eine neue Schwachstelle einführen. Wir haben SCW-Videos über die SCORM-Integration von SCW in unser LMS integriert, um sicherzustellen, dass Entwickler lernen, wie man die Schwachstelle auf die richtige Weise behebt. Dies gab uns auch eine Möglichkeit sicherzustellen, dass Entwickler, die sichere Software liefern, anerkannt werden. Wir bitten sie, ein bestimmtes Niveau an sicherem Programmieren zu erreichen, und wir können dies durch die Schwachstellen verfolgen, die sie beheben und nicht erneut einführen. Auf diese Weise wird die harte Arbeit, die sie geleistet haben, im Unternehmen anerkannt und geschätzt.“

Ergebnisse

Vis und sein Team veröffentlichen einen monatlichen Newsletter zum Thema sicherer Code, in dem sie den besten Lerner im Unternehmen auszeichnen. Sie nutzen SCW, um Bewertungsergebnisse, Turnierteilnahmen und gespielte Herausforderungen zu betrachten, um diese Leistung hervorzuheben. Dies motiviert auch andere Entwickler zum Lernen. Die KPIs, die er anfangs festlegte, konzentrierten sich auf die Reduzierung der Gesamtzahl der Schwachstellen über zwei Jahre. Nach der Implementierung von SCW bemerkte er eine abnehmende Trendlinie. Diese Schwachstellen werden auf Quellcode-Ebene nicht erneut eingeführt. Vis drückt es so aus:

„Die KPIs, die wir unserem Management präsentieren, spiegeln diese fundierte Auswahl wider, die wir getroffen haben. Wir sind stolz darauf, dass wir Schulungen für sicheren Code haben, die unseren Kunden geschäftliches Vertrauen vermitteln. Wir sind für unser umfassendes Schulungsprogramm für sicheren Code anerkannt und werden von unseren Kunden und Kollegen respektiert. Es schafft einen großen Mehrwert für Ihr Unternehmen, wenn Sie ein Programm wie dieses haben.“

Wichtigste Erkenntnisse

Vis hat erkannt, dass Menschen, Prozesse und Technologie bei jeder Sicherheitsinitiative eine Rolle spielen. Durch den Fokus auf Softwaresicherheit, Entwicklerwissen und Compliance lässt sich ein agiles Lernprogramm für sicheren Code erstellen, das Schwachstellen im Quellcode langfristig reduziert. Vis gibt diese Empfehlungen an Fachleute in seinem Bereich weiter, die die Sicherheitskompetenzen ihrer Entwicklerteams ausbauen möchten.