Wie „Game of Codes“ die IAG Group in eine sicherere Programmierzukunft führt

Die IAG Group steht hinter vielen der führenden Versicherungsunternehmen im asiatisch-pazifischen Raum und zeichnet jährlich Policen für Millionen von Kunden mit einem Prämienvolumen von rund 11,4 Milliarden AUD. Bianca Wirth ist Corporate Security Education & Awareness Manager bei der IAG Group. Da sie sich der Notwendigkeit eines ausgeprägten Sicherheitsbewusstseins und entsprechender Praktiken innerhalb des Entwicklungsteams sehr bewusst war, machte sie sich daran, eine wirklich innovative und optimale Umgebung zu schaffen, in der das Team wichtige Techniken für sicheres Programmieren erlernen konnte.

VORHANG AUF: Game of Codes

Die Herausforderung

Entwickler stehen oft unter Zeitdruck und müssen zahlreiche Aufgaben und Projekte gleichzeitig bewältigen. Dennoch ist es für jedes Unternehmen von größter Bedeutung, bei Sicherheitsstandards auf dem neuesten Stand zu bleiben – erst recht, wenn Millionen sensibler Kundendaten vor Hackern geschützt werden müssen. Bianca und ihr Team setzten sich klare Ziele, um ihre Cybersicherheitsinitiativen robuster zu gestalten. Sie legten fest, dass die Verringerung der Angriffsfläche in den von IAG entwickelten Anwendungen Priorität hat. Dies sollte durch Schulungen erreicht werden, die Entwickler befähigen, kritische und hochriskante Schwachstellen zu erkennen und zu beheben. Zwar gibt es umfangreiche Kurse für sicheres Programmieren, doch diese können mühsam und langwierig sein und wichtige Mitarbeiter von Projekten mit engen Zeitplänen abziehen, was das gesamte Unternehmen unter Druck setzt. Der Bedarf an einer schnellen Weiterbildung des Entwicklerteams bei minimaler Beeinträchtigung des Arbeitsalltags wurde deutlich. Da die Entwickler in Australien und Neuseeland zudem an unterschiedlichen Systemen arbeiteten, war dies keine leichte Aufgabe.

„Dieses Jahr habe ich eine Änderung an unserem Quellcode vorgenommen, durch die eine SQL-Injection-Schwachstelle beseitigt wurde. Das habe ich dem ‚Game of Codes‘ zu verdanken. Allein schon das Thema sicheres Programmieren im Hinterkopf zu behalten, ist hilfreich. Der Wettbewerb ist eine gute Möglichkeit, die Leute zu motivieren, ihr Bestes zu geben … denn seien wir ehrlich: Sicherheit ist nicht gerade das beliebteste Thema, daher ist dies ein guter Weg, um die Leute einzubinden.“ R, IAG-Entwickler

Die Umsetzung

Bianca plante die Einführung einer spielerischen Schulungserfahrung und arbeitete dabei eng mit ihrem Team und Secure Code Warrior zusammen, um Turniere und Trainings zu implementieren, die die Fähigkeiten ihrer internen Entwickler fördern sollten. Hierfür war eine fundierte Kommunikationsstrategie unerlässlich, um den unterschiedlichen Motivationen und Persönlichkeiten der Mitarbeiter bei der Einführung einer völlig neuen Plattform gerecht zu werden und deren volles Potenzial auszuschöpfen:

„Wir haben einen Kommunikationsplan entworfen, der festlegt, wie wir die wichtigsten Punkte und Botschaften an die Mitarbeiter und Stakeholder vermitteln und welche Anreize wir ihnen bieten. Die meisten Leute haben wirklich Spaß an der spielerischen Erfahrung. Es hängt einfach von ihrer Persönlichkeit, ihrer Motivation und ihrem Antrieb ab. Deshalb versuchen wir, ein breites Spektrum an Beweggründen abzudecken. Manche lieben die Preise, für andere ist der Erfolg an sich schon Ansporn genug“, sagte sie.

Bianca und IAG präsentierten die spielerische Lernplattform von Secure Code Warrior auf fachkundige Weise und verwandelten ihr Turnier in ein unterhaltsames Wettbewerbserlebnis namens „Game of Codes“. Die Mitarbeiter wurden in Häuser mit mittelalterlichem Thema eingeteilt (inklusive gebrandeter Fanartikel) und traten in einem Kampf gegeneinander an, der seinem HBO-Namensvetter in nichts nachstand.

Das Turnier hat mittlerweile sogar internationale Dimensionen erreicht; ein Match zwischen Australien und Neuseeland steht kurz bevor. Dies gibt IAG die Möglichkeit, die führenden Sicherheitsexperten in beiden Ländern zu identifizieren und sicherzustellen, dass sich die Teams gemeinsam weiterentwickeln.

Das Ergebnis

„Game of Codes“ ist im Grunde ein spezialisiertes Trainingsprogramm. Die Einführung als interaktives, unterhaltsames Turnier stellte sicher, dass die Mitarbeiter auf vielfältige Weise motiviert blieben. Der praktische Kern der Übung blieb jedoch erhalten: Entwicklern die Fähigkeiten zu vermitteln, die erforderlich sind, um hochriskante Schwachstellen in IAG-Anwendungen zu identifizieren und abzuwehren.

Indem sichergestellt wird, dass sowohl Entwickler als auch Sicherheitsteams eine „Security-First“-Mentalität verfolgen und in der Lage sind, Schwachstellen nicht nur zu erkennen, sondern von Anfang an zu beheben, erwartet IAG eine Reduzierung kostspieliger Penetrationstests und eine Entlastung des zuständigen Teams.

Neben der kontinuierlichen Entwicklung dieser wichtigen Kompetenz trug „Game of Codes“ auch zur Stärkung der Beziehungen bei. Es förderte den Teamgeist und einen freundschaftlichen Wettbewerb zwischen den beteiligten Gruppen und half den Einzelnen, mehr Vertrauen in ihre Fähigkeiten im Bereich sicheres Programmieren zu gewinnen, da diese nun in einem punktbasierten Turnierumfeld messbar wurden.

Bianca berichtete, dass die interne Unterstützung für das Programm enorm war und es auch von der Geschäftsführung positiv aufgenommen wurde. Dies führte zudem zu einem Botschafterprogramm, bei dem sich Mitarbeiter engagieren konnten, die das Programm fördern und als Sicherheitsvorbilder im Unternehmen fungieren wollten:

„Es war eine fantastische Gelegenheit für einige Entwickler und eine hervorragende Möglichkeit, ihre Fähigkeiten hervorzuheben. Sie profitieren davon auch in ihrer täglichen Arbeit, was sehr wichtig zu sehen ist.“

„Game of Codes“ ist weit mehr als nur ein Spiel oder eine angenehmere Art für Abteilungsleiter, Compliance-Schulungen abzuhaken. Es bietet eine ansprechende Lösung mit hoher Lerneffektivität, die Sicherheitsneulinge schnell zu Sicherheitsexperten macht – ein entscheidender Faktor, um das Risiko eines großflächigen Sicherheitsvorfalls zu minimieren.

Und hier der wichtigste Rat von Bianca persönlich:

„Wenn man ein Programm einführt und erwartet, dass die Leute es einfach so nutzen, wird das nicht funktionieren. Man muss ein Programm darum herum aufbauen, das Verhaltensänderungen anstößt und motiviert. Was wir entwickelt haben, war im Grunde ein Change-Management-Programm für Entwickler mit Fokus auf Sicherheit.“

„Nachdem ich die Schulungen zu Game of Codes absolviert habe, interessiere ich mich mehr für Sicherheit und beziehe sie bei der Erstellung von Automatisierungstests mit ein. Ich bin Senior Tester in einem agilen Team und diese Schulungen haben mich motiviert, mehr über Sicherheitstests zu lernen und sie als mögliche Spezialisierung in Betracht zu ziehen.“ A, Senior Tester bei IAG

FAKTEN AUF EINEN BLICK

• Neben spielerischem Lernen nutzt IAG Secure Code Warrior auch als Tool zur Kompetenzprüfung bei der Rekrutierung von Entwicklern.
• Das Programm wird derzeit für das gesamte Entwicklungsteam ausgerollt, wobei bereits 55 % aktiv im System arbeiten.
• Dabei wurden interne Kennzahlen entwickelt, um den Erfolg des Programms bei der Risikominimierung und Kostensenkung langfristig zu messen.
  ‍