Eine Sicherheitskultur: Wie Sage sein Champions-Programm aufgebaut hat

Sage ist ein britisches multinationales Softwareunternehmen, das Unternehmen einfache und benutzerfreundliche Software und Dienstleistungen für Lohnabrechnung, Personalwesen und Finanzen anbietet. Seit 2017 ist es das zweitgrößte Technologieunternehmen Großbritanniens, der weltweit drittgrößte Anbieter von ERP-Software und der größte Anbieter für kleine Unternehmen – mit über 6 Millionen Kunden weltweit.

Ausgangslage

Bevor Sage mit Secure Code Warrior zusammenarbeitete, hatte das Unternehmen bereits seit etwa 10 Jahren den Aufbau eines Security-Champion-Netzwerks geplant. Trotz des starken Netzwerks sicherheitsorientierter Entwickler war die Schulung jedoch sporadisch und nicht gezielt auf Risikoreduzierung ausgerichtet.

Sage erkannte, wie wichtig es ist, Zeit in den Aufbau von Beziehungen zu investieren und Sicherheit durch einen flexiblen Ansatz langfristig zu verankern. Das Programm von Sage verknüpfte seine Ziele direkt mit der Risikoreduzierung und deren messbaren Auswirkungen. Bei der Pilotierung des Programms in bestimmten Geschäftsbereichen konzentrierte sich das Team darauf, die Risikoreduzierung messbar zu machen und diese Ergebnisse an das Unternehmen zurückzumelden, um sowohl die Entwickler als auch die Führungsebene zu überzeugen.

Maßnahmen

Mads Howard, People-Centered Security Lead bei Sage, arbeitete eng mit Entwicklern zusammen, um die Profile der Security Champions zu verstehen. Sie traf sich mit Entwicklern in jedem Geschäftsbereich und führte Interviews durch, um deren Motivation, bevorzugte Lernmethoden und wahrgenommene Einschränkungen bei der Arbeit zu ermitteln. Gemeinsam mit ihrem Team baute sie Beziehungen zu den Entwicklern und deren Teamleitern auf und betonte dabei stets die Bedeutung eines flexiblen Ansatzes.

Mads betont den beziehungsorientierten Ansatz:

„Wir haben viel Zeit damit verbracht, Beziehungen zu Entwicklungsleitern, Engineering-Teamleitern und Produktmanagern aufzubauen – also den Personen, die entscheiden, wie viel Zeit während der Sprint-Zyklen für Weiterbildung aufgewendet wird.“

Laut Mads kam es zudem darauf an, das Netzwerk der Security Champions konsequent auszubauen:

„Das Security-Champion-Netzwerk wird als zentrales Steuerungselement des Programms angesehen. Damit Produkte dieses Programm erfolgreich durchlaufen können, mussten wir die Rolle des Security Champions ernst nehmen und ihnen gleichzeitig eine fundierte Sicherheitsschulung bieten.“

Das Ziel des globalen Sicherheitsteams bei Sage war die Implementierung eines Sicherheitskontrollprogramms, das die Lernbedürfnisse der Entwickler in einer komplexen technologischen Umgebung berücksichtigt und einen Partner wählt, der ihre bestehenden Sicherheitstools bei der Schwachstellenverwaltung ergänzt.

Es war wichtig, Bildung als wesentlichen Bestandteil eines ausgereiften Sicherheitskontrollprogramms zu etablieren. Sie konzentrierten sich auf die Messung der Risikoreduzierung durch:

• Verbesserung des Risikoscores
• Alter der Schwachstellen, Reduzierung des Schwachstellen-Backlogs
• Lösungszeit
• Verhältnis geschlossener zu offenen Schwachstellen
• Anzahl der Probleme pro Zeile des von Sage geschriebenen Codes (ohne Drittanbieter)

Für Mads gilt:

„Die nächste Phase für Sage als Unternehmen besteht darin, zu beweisen, dass die Qualifizierung durch ein in die Entwickler-Workflows integriertes Programm für sichere Programmierung eine messbare Risikoreduzierung liefert.“

Ergebnisse

Mads betonte die Bedeutung der Partnerschaft und der Unterstützung, die Secure Code Warrior ihr und ihrem Team geboten hat:

„Ich kann ehrlich sagen, dass wir ohne die Unterstützung von Secure Code Warrior nicht so weit gekommen wären und kein Programm mit diesem Reifegrad hätten aufbauen können, das verschiedene Ebenen und Entwicklerteams über unterschiedliche Technologien hinweg abdeckt.“

Nachdem Mads und ihr Team die Interviews abgeschlossen und die Unterstützung der Entwickler gewonnen hatten, begann sie, Secure Code Warrior als Teil eines umfassenderen Sicherheitskulturprogramms zu implementieren.

Das Ergebnis, so Mads, ist:

„Sage hat mittlerweile über 200 Security Champions im Programm. Wenn ein Security Champion wöchentlich 3,5 Stunden (oder 10 % seiner Arbeitszeit) in den Kompetenzaufbau investiert, kann er sich für sicheres Programmieren, kontinuierliche Weiterbildung und den Mehrwert des Programms einsetzen.“

Mit der Unterstützung der Führungsebene und messbaren Zielen zur Risikominimierung konnte Mads den Erfolg nicht nur an der Anzahl der Plattformnutzer und den investierten Stunden messen, sondern auch an der Zeit bis zur Behebung von Schwachstellen, deren Alter und dem Vergleich mit neuen Kundenfunktionen, um einen ganzheitlichen Blick auf die Risikoreduzierung zu erhalten.Für ein Team war die Wirkung enorm: Die durchschnittliche Zeit bis zur Behebung einer Schwachstelle sank um 82 %.

Howard betonte jedoch, dass das Unquantifizierbare noch wichtiger sei: das Engagement, die Verbindlichkeit und die Bereitschaft der Teams, sich aktiv am Programm zu beteiligen.

Wichtige Erkenntnisse

Die Erfahrung bei Sage unterstreicht, wie relevant gut geplante Sicherheitsschulungen und ein flexibler, integrierter Ansatz sind – eine Lektion für jedes Unternehmen, das ein robustes Programm für sicheres Programmieren anstrebt. Laut Mads ist es entscheidend, mit Entwicklern zusammenzuarbeiten, statt gegen sie, um Sicherheit erfolgreich in der Unternehmenskultur zu verankern.

• Eine Sicherheitskultur entsteht nicht über Nacht. Es ist wichtig, Zeit in den Aufbau von Beziehungen zu investieren, Sicherheit schrittweise zu etablieren und dafür Ressourcen bereitzustellen.
• Verknüpfen Sie alles mit der Risikominimierung und konzentrieren Sie sich auf die konkreten Auswirkungen eines Programms für sicheres Programmieren.
• Zeigen Sie dem Unternehmen anhand messbarer Risikoreduzierung, dass das Programm sowohl für Entwickler als auch für die Führungsebene erfolgreich und wertvoll ist.

Für Entwickler, die Security Champions werden möchten, haben sie und ihr Team folgenden Rat:

• Bauen Sie ein Netzwerk aus Gleichgesinnten auf, die sich für Sicherheit interessieren, und besuchen Sie Konferenzen und Vorträge. Investieren Sie Zeit in Themen, die Sie begeistern.
• Denken Sie daran, dass sich eine Unternehmenskultur nicht über Nacht ändert; ihre Entwicklung und Reifung braucht Zeit.

‍