Australische Banken setzen auf den Ansatz „Entwickler als erste Verteidigungslinie“ für Anwendungssicherheit

Australische Banken sind weltweit führend darin, bei ihren Softwareentwicklern ein ausgeprägtes Sicherheitsbewusstsein zu schaffen. Dies sagt Pieter Danhieux, führender Evangelist für sichere Software und Mitgründer des australischen Start-ups Secure Code Warrior.

Danhieux zufolge binden fünf der sechs größten australischen Banken ihre Entwickler mittlerweile aktiv ein, um durch die spielerische, webbasierte Lernumgebung von Secure Code Warrior Fähigkeiten im Bereich Secure Coding aufzubauen. Zudem nutzen sie Echtzeit-Metriken und Berichte, um die Stärken und Schwächen ihrer Entwickler und Teams zu bewerten. Der erste Vertrag mit einer Großbank wurde im August 2016 geschlossen, gefolgt von vier weiteren Verträgen seitdem.

„Traditionelle Banken stehen unter starkem Druck durch nicht-traditionelle Wettbewerber, ihre Markteinführungszeit zu verkürzen, die Qualität zu verbessern und die Flexibilität zu erhöhen. Dies hat dazu geführt, dass sie agilere Entwicklungsmethoden einsetzen, die sich auf die schnelle Entwicklung von Funktionen konzentrieren – oft auf Kosten der Sicherheit“, so Danhieux.

„Die durchschnittlichen Kosten einer Datenpanne liegen mittlerweile bei 3,6 Millionen USD, und die Wahrscheinlichkeit, dass ein Unternehmen betroffen ist, liegt bei eins zu vier. Die meisten großen Sicherheitsverletzungen weltweit sind auf Programmierfehler zurückzuführen, die es Hackern ermöglichen, erweiterte Rechte in Computernetzwerken zu erlangen und so Zugriff auf kritische Daten zu erhalten“, fügte er hinzu.

Herr Danhieux verwies auf Sicherheitsvorfälle der letzten Jahre, darunter bei der Qatar National Bank, VTech, Mossack-Fonseca (Panama Papers) und TalkTalk, bei denen Hacker mangelhafte Software-Sicherheitspraktiken ausnutzten.

Danhieux, langjähriger ethischer Hacker, leitender Dozent am SANS Institute und AISA Cyber Security Professional of the Year 2016, unterstützt nachdrücklich agile Entwicklungsmethoden, die Sicherheit von Anfang an integrieren – eine Praxis, die von vielen Technologieunternehmen und einer wachsenden Zahl von Finanzinstituten angewandt wird.

„Der Wechsel zur agilen Entwicklung bietet Unternehmen und Kunden große Vorteile bei der Geschwindigkeit, schafft aber neue Herausforderungen bei der Vermeidung von Sicherheitslücken. Jeder Entwickler muss Sicherheit heute in seiner DNA verankert haben, um das Tempo beizubehalten und gleichzeitig Sicherheitslücken zu reduzieren, deren Behebung meist kostspielig ist.“

Secure Code Warrior wurde 2015 in Sydney und London gegründet, als Danhieux, sein Geschäftspartner John Fitzgerald und drei weitere australische Cybersicherheitsexperten beschlossen, Softwareentwicklern dabei zu helfen, Sicherheit als Kernaufgabe ihrer Arbeit zu begreifen.

„Aktuelle Tools für Anwendungssicherheit konzentrieren sich auf den Weg von rechts nach links im Softwareentwicklungszyklus (SDLC) – ein Ansatz, der auf Erkennung und Reaktion setzt: Schwachstellen im geschriebenen Code finden und dann beheben. Wir konzentrieren uns auf den äußersten linken Bereich des SDLC, machen den Entwickler zur ersten Verteidigungslinie im Unternehmen und helfen dabei, Schwachstellen von vornherein zu verhindern“, so Herr Danhieux.

Das schnell wachsende Start-up unterhält heute Büros in Sydney, London, Belgien und Boston und betreut führende Kunden aus den Bereichen Finanzdienstleistungen, Telekommunikation und Technologie in neun Ländern. Das Unternehmen zählt mittlerweile 10.000 aktive Nutzer, hat seinen Kundenstamm verdoppelt und seinen Umsatz in den letzten sechs Monaten verdreifacht.

Craig Davies, CEO des Australian Cyber Security Growth Network (AustCyber), prognostiziert, dass diese Art von praxisorientiertem, evidenzbasiertem Training zu einer grundlegenden Aktivität für Unternehmen wird, die Anwendungen entwickeln.

„Unternehmen, die von Anfang an sicher programmieren, reduzieren nicht nur ihr Risiko erheblich, sondern vermeiden auch enorme Kosten und Verzögerungen bei der Produktinnovation“, sagt Herr Davies.

Danhieux ist beeindruckt von den australischen Banken, die seiner Meinung nach das Risiko erkannt haben und schnell handelten, um ihre Angriffsfläche zu verringern. „Das Tempo, mit dem neue Kunden weltweit Secure Code Warrior einführen, zeigt deutlich, dass Finanzinstitute überall die Bedeutung von Sicherheit in jeder Codezeile erkennen und dass Secure Code Warrior eine einfache Lösung ist, um diese Herausforderung schnell und nachhaltig zu bewältigen.“

‍