Der Weg zu Security Champions: Wie Workday agiles Lernen nutzte, um Entwickler weiterzubilden

Ausgangslage

Bevor Workday agiles Lernen mit Secure Code Warrior einführte, nutzte das Unternehmen interne Kurse, die aus Aufzeichnungen von PowerPoint-Präsentationen bestanden. Diese behandelten die OWASP Top 10 Schwachstellen anhand einiger Pseudocode-Beispiele. Alex Uda, Programmmanager für Security-Entwicklerschulungen, erkannte, dass dies weder seinem Team noch dem Sicherheitsteam insgesamt dabei half, die Ziele zur Verbesserung der allgemeinen Sicherheitslage von Workday zu erreichen. Da das Interesse der Entwickler an den Schulungen schnell nachließ, beschloss man, Feedback einzuholen, wobei sich zwei Punkte immer wieder herauskristallisierten:

1. Der Bedarf an praxisorientierteren Schulungen
2. Der Bedarf an sprachspezifischeren Inhalten
   

Maßnahmen

In der Zusammenarbeit mit den Entwicklern identifizierten Alex und sein Team zwei Hauptprioritäten, um die Entwickler für ein ansprechendes und erfolgreiches Programm für sicheren Code zu gewinnen.

Klarheit und Einfachheit

Die meisten Entwickler verfügen bei Arbeitsantritt über kein spezifisches Sicherheitswissen. Alles, was frustrierend oder zeitaufwendig ist, führt dazu, dass Entwickler nach Workarounds und Hacks suchen. Was Workday an SCW besonders schätzte, war die Möglichkeit für Entwickler, den Prozess klar zu verstehen, Verantwortung dafür zu übernehmen und ihn in ihre Arbeitsabläufe zu integrieren.

Handlungsorientierung und Mehrwert

Entwickler möchten in erster Linie in der Lage sein, Probleme, die die Codebasis oder den Lebenszyklus betreffen, schnell zu beheben. Dafür müssen sie entsprechend geschult werden. Wenn man das Interesse eines Entwicklers für ein Thema wie Sicherheit wecken möchte, muss man den Mehrwert dieser Themen hervorheben.

Bei der Strukturierung des Programms holten Alex und sein Team zunächst Feedback von einer Pilotgruppe aus Security Champions ein und arbeiteten mit ihrem Customer Success Manager zusammen, um deren Vorschläge umzusetzen. Anschließend analysierten sie ihre SAST-Tools sowie verschiedene Kennzahlen zu Vorfällen und Sicherheitsereignissen, um die größten Risiken in ihrer aktuellen Umgebung und branchenweite Trends zu bewerten. Der Fokus lag dabei zunächst auf den OWASP Top 10 und den häufigsten Hochrisiko-Schwachstellen bei Workday
‍

„Indem wir den Entwicklern dieses Wissen und diese Eigenverantwortung gaben, ermöglichte uns SCW aktive Verbesserungen unserer Softwaresicherheit. Es geht nicht nur um das Schreiben von Code, sondern auch um Wachstumschancen und Karriereentwicklung. Die Unterstützung von Workday für das Sicherheitsprogramm existiert, weil das gesamte Unternehmen an einem Strang zieht, sodass den Entwicklern Zeit für Lernen und Weiterbildung eingeräumt wurde. Zwei Stunden pro Woche über einen längeren Zeitraum zu lernen, hilft dabei, dieses Muskelgedächtnis durch Beständigkeit aufzubauen.“
‍

Ergebnisse

Traditionell betrachtet man Sicherheit oft als letzten Schritt im Entwicklungsprozess. In Zusammenarbeit mit dem Sicherheitsteam sehen die Entwickler bei Workday Sicherheit nun als wichtigen Bestandteil des Entwicklungszyklus. Sie können Sicherheitsaspekte schneller und früher im SDLC angehen, was den größten Effekt des Programms darstellt. Ein Team in Dublin konnte die Anzahl der Sicherheitsprobleme von 4662 – was durchschnittlich fast 31,08 Problemen pro Tag entsprach – innerhalb von etwa 18 Monaten auf 0 senken.

Alex beschrieb das Wachstum des Programms als „einen Schneeballeffekt, nachdem wir mit den Security Champions begonnen hatten, die das Thema bereits auf dem Schirm hatten. Als wir das Programm und seine Vorteile bei der Führungsebene bekannt machten und die Teilnehmerzahl stetig erhöhten, sahen wir ein fast natürliches Wachstum durch Mundpropaganda. Aus Schulungssicht ist es unser Ziel, unseren Entwicklern die notwendigen Fähigkeiten zu vermitteln, um Code sicher zu entwickeln. Dies ist besonders wichtig, da Workday weiter wächst.“

Wichtigste Erkenntnisse

Laut Alex: „Um Sicherheit erfolgreich zu skalieren, ist es zwingend erforderlich, dass unsere Entwickler eine Sicherheitsmentalität entwickeln, um Risiken bereits während der Designphase der Softwareentwicklung zu erkennen. Dies passt zu unserer ‚Shift Left‘-Initiative, unsere Entwickler zu befähigen, Zeit, Geld und Ärger zu sparen. Je besser wir bei der Schulung für sicheren Code sind, desto weniger Schwachstellen sehen wir in unseren Scans und Pentest-Ergebnissen.“

Für Entwickler ist es wichtig, dass das Lernen über Sicherheit Spaß macht
SCW zeigt hervorragend, wie spannend das sein kann. Wenn Sie sich mit Sicherheitsschulungen befassen, lassen Sie sich voll darauf ein. Betrachten Sie es als Teil Ihres Entwicklungsprozesses und Ihrer beruflichen Weiterentwicklung.

‍Ermutigen Sie Entwickler, sich an das Team zu wenden, wenn sie neugierig auf Sicherheitsthemen sind
Führen Sie ein Gespräch und beginnen Sie die Zusammenarbeit.‍

Sicherheit als Blackbox oder als nachträgliches Add-on für ein Projekt zu betrachten, ist veraltet und schadet letztlich Ihrer Software
Sicherheit als festen Bestandteil des Entwicklungsprozesses zu begreifen – genau wie TDD, agile Methoden und Linting – verbessert den Arbeitsfluss und erhöht die Qualität der Software, die an Kunden geliefert wird.