Kamer van Koophandel: Entwicklerorientierte Sicherheit im großen Maßstab

Wichtige Erkenntnisse

Die Kamer van Koophandel (KVK) hat ein modernes, entwicklerzentriertes Sicherheitsprogramm aufgebaut, das als Vorbild für die Branche dient. In Zusammenarbeit mit Secure Code Warrior hat die KVK Praktiken für sicheres Programmieren in die täglichen Entwicklungsabläufe integriert, ein strukturiertes und unternehmensweit akzeptiertes Zertifizierungsprogramm etabliert und eine messbare Risikominimierung erreicht, die die Stärke eines proaktiven, entwicklergesteuerten Sicherheitsansatzes unterstreicht. Zu den Highlights gehören:

„Wir hatten bereits ein starkes Sicherheitsfundament, wollten aber noch einen Schritt weiter gehen und Sicherheit für jeden Entwickler zur Selbstverständlichkeit machen. Deshalb haben wir uns für Secure Code Warrior entschieden und Bildung zum Eckpfeiler unserer Strategie erklärt, um unsere Teams zu befähigen, von Anfang an sicher und selbstbewusst Software zu entwickeln.“

– Sebastiaan Rijnbout, Product Owner of Development Services

‍Die Herausforderung

Ein entwicklerorientiertes Sicherheitsbewusstsein schaffen

Die KVK, die niederländische Handelskammer, spielt eine zentrale Rolle bei der Unterstützung von Unternehmern in den gesamten Niederlanden. Als offizielle Stelle für die Registrierung von Unternehmen, juristischen Personen und Organisationen, die wirtschaftlich tätig sind, fördert die KVK Transparenz und stärkt die Integrität des Geschäftsumfelds. Über die Registrierung hinaus bietet die KVK wertvolle Informationen und Beratung zu wichtigen unternehmerischen Themen – von rechtlichen und regulatorischen Hinweisen bis hin zu Einblicken in Finanzierung, aktuelle Entwicklungen und Cybersicherheit. Durch die Bereitstellung verlässlicher Daten und die Zusammenarbeit mit nationalen und regionalen Wirtschaftsakteuren trägt die KVK dazu bei, ein sicheres und gut informiertes Umfeld für den Erfolg von Unternehmern zu schaffen. Als die KVK begann, die Anwendungssicherheit weiter zu verbessern, verfügte sie bereits über grundlegende Sicherheitsmaßnahmen wie Penetrationstests. Obwohl diese Maßnahmen wertvolle Erkenntnisse lieferten, sah die KVK die Chance, Sicherheit früher im Entwicklungslebenszyklus zu skalieren und Entwickler dazu zu befähigen, Verantwortung für die Risikominimierung zu übernehmen.

Im Jahr 2022 entschied sich die KVK für Secure Code Warrior und startete ihre erste Initiative für sicheres Programmieren mit einem Fokus auf die Entwickler. Was als Basisinitiative zur Einbindung der Entwickler begann, entwickelte sich schnell zu einem funktionsübergreifenden Programm, das von der Führungsebene und dem CISO-Büro unterstützt wurde und die sichere Entwicklung von einem Wunsch zu einem organisatorischen Standard machte.

Die Lösung

Eine Kultur aufbauen, nicht nur ein Programm

Mit Unterstützung des CISO arbeitete das Team für den sicheren Software-Entwicklungslebenszyklus der KVK mit Secure Code Warrior zusammen, um eine unternehmensweite Strategie zu definieren und ein obligatorisches, rollenbasiertes Zertifizierungsprogramm zu entwickeln, das:

Die KVK nutzte die Flexibilität der Plattform von Secure Code Warrior, um ein Zertifizierungsprogramm zu erstellen, das auf ihre spezifischen organisatorischen Anforderungen zugeschnitten ist. Durch die Zuordnung von Schulungsprogrammen zu bestimmten Rollen beginnen neue Mitarbeiter mit einer Schulung zum OWASP Top 10-Bewusstsein, während erfahrene Ingenieure fortgeschrittene, szenariobasierte Übungen absolvieren, die auf realen Arbeitsabläufen basieren. Entwickler auf Champion-Ebene betreuen ihre Kollegen, fördern den Wissensaustausch und helfen dabei, die Sicherheitsexpertise in den Teams zu skalieren. Das Programm der KVK umfasst eine jährliche Rezertifizierung, um sicherzustellen, dass die Fähigkeiten auf dem neuesten Stand bleiben. Die vollständige Implementierung ist im Gange, während die Organisation ihre Abdeckung weiter ausbaut und sich an neue Risiken wie KI-gesteuerte Schwachstellen und aufkommende Bedrohungen anpasst.

„Die Integration von Zertifizierungen in unseren Entwicklungsprozess war ein Wendepunkt“, sagte Sebastiaan. „Es hat jedem Entwickler gezeigt, dass Sicherheit eine gemeinsame Priorität und ein natürlicher Teil unserer Softwareentwicklung ist. Mit Secure Code Warrior ist Lernen kein einmaliges Ereignis, sondern kontinuierlich, kontextbezogen und nahtlos in unsere tägliche Entwicklungskultur eingebettet.“

Das Ergebnis: Die Schulung fühlte sich relevant, erreichbar und direkt mit der täglichen Arbeit der Entwickler verbunden an. Anfang 2024 hatten 90 % der KVK-Entwickler die Foundation-Zertifizierung erreicht – ein Meilenstein, der sowohl die Strategie als auch den kulturellen Wandel hin zu einer entwicklergeführten Sicherheit bestätigte.

Die Ergebnisse

Echte Wirkung, messbarer Fortschritt

Die Investition der KVK in die sichere Entwicklung mit Secure Code Warrior hat beeindruckende Ergebnisse geliefert:

KVK nutzt den SCW Trust Score®, einen Maßstab, der das Engagement eines Unternehmens für sichere Codierungspraktiken anhand zentraler Sicherheitskennzahlen bewertet. Innerhalb von sechs Monaten stieg der Trust Score von KVK deutlich an und platzierte das Unternehmen unter den besten 12 % weltweit.

„Der SCW Trust Score bietet uns klare, datengestützte Einblicke, wo unsere Risiken liegen und wie wir unsere Schulungen gezielt dort einsetzen, wo sie am meisten bewirken“, erklärte Sebastiaan. „Es ist nicht nur ein Benchmark, sondern ein Fahrplan, der uns hilft, Fortschritte zu belegen und den echten geschäftlichen Mehrwert sicherer Entwicklung aufzuzeigen.“

KVK hat in Zusammenarbeit mit Secure Code Warrior einen neuen Standard für entwicklerorientierte Sicherheit gesetzt. Durch die Verbindung von starker Führung, einer klaren Strategie und messbaren Ergebnissen wurde sichere Entwicklung zu einer Kernkompetenz, die Compliance-Anforderungen erfüllt und als Branchenmodell dient. Da das Reporting von SCW auf die ISO 27001/27002-Zertifizierungsstandards abgestimmt ist, kann KVK die Wirksamkeit seines Programms bei Audits nachweisen und zeigen, dass sichere Entwicklung nicht nur empfohlen, sondern zwingend erforderlich ist.

KVK plant, sein Zertifizierungsprogramm über die Entwicklung hinaus auf QA-Tester, DevOps und Low-Code-Entwickler auszuweiten, um zu unterstreichen, dass Sicherheit eine gemeinsame Verantwortung im gesamten Unternehmen ist. Zudem sollen KI/LLM-fokussierte Inhalte von SCW eingeführt werden, um Entwickler bei der sicheren Nutzung von Tools wie GitHub Copilot zu unterstützen. Gemeinsam mit den Professional Services von SCW wird zudem der Rollout des Trust Agent optimiert. Diese Bemühungen zeigen, was möglich ist, wenn sichere Codierung zur gemeinsamen Aufgabe wird – nicht nur für Entwickler, sondern für das gesamte Unternehmen.

„Unsere Partnerschaft mit Secure Code Warrior verläuft reibungslos und produktiv“, sagte Sebastiaan. „Sie haben uns geholfen, unser Schulungsprogramm zu implementieren und zu verbessern, was zu einer messbaren Risikoreduzierung und einer stärkeren Kultur der sicheren Entwicklung geführt hat.“

Mit Secure Code Warrior hat KVK ein starkes Fundament für sichere Entwicklung gelegt – und das ist erst der Anfang.