Secure Code Warrior-Forschung: Kritische Infrastrukturbranchen machen Fortschritte bei der „Secure-by-Design“-Bereitschaft von Entwicklern

Eine neue, in Zusammenarbeit mit dem Paladin Global Institute erstellte Analyse unterstreicht, wie wichtig die Weiterbildung von Entwicklern ist, um Fortschritte bei „Secure-by-Design“ präzise messen zu können 

‍

BOSTON – 15. Oktober 2024 – Secure Code Warrior, der weltweit führende Anbieter für entwicklerzentrierte Sicherheit, hat neue Erkenntnisse zur Weiterbildung von Entwicklern und deren Auswirkungen auf „Secure-by-Design“ (SBD)-Initiativen in Unternehmen veröffentlicht. Seit April 2024 haben mehr als 200 Unternehmen, darunter Secure Code Warrior, das „Secure-by-Design“-Versprechen unterzeichnet. Die neue Analyse zeigt, dass Unternehmen in kritischen Infrastrukturbranchen wie Finanzdienstleistungen, Verteidigung, Gesundheitswesen und IT Fortschritte dabei machen, ihre Entwickler auf SBD-Initiativen vorzubereiten. Secure Code Warrior stellte fest, dass die Entwicklerteams dieser Branchen eine durchschnittliche Sicherheitslage aufweisen – gemessen am SCW Trust Score, einem globalen Benchmark zur Quantifizierung der Sicherheitskompetenzen von Entwicklerteams –, die über der anderer Branchen liegt. 

Chief Information Security Officers (CISOs) fällt es zunehmend schwer, den tatsächlichen ROI in der Anfangsphase ihrer SBD-Initiativen nachzuweisen. In den letzten Jahren war das Fehlen eines Benchmarks zur Bewertung der Fortschritte im Vergleich zu Industriestandards eine zentrale Herausforderung. Der Schlüssel zum Erfolg von „Secure-by-Design“-Initiativen liegt nicht nur darin, Entwicklern die Fähigkeiten für sicheren Code zu vermitteln, sondern auch Industrie- und Regierungsbehörden zu versichern, dass diese Fähigkeiten tatsächlich vorhanden sind.

„Mehr denn je haben wir eine nationale Verantwortung, SBD-Weiterbildungsprogramme sicherzustellen“, sagte Chris Inglis, Senior Strategic Advisor bei der Paladin Capital Group und ehemaliger National Cyber Director. „Risikominimierung steht im Mittelpunkt dieser aktuellen Analyse, und Secure Code Warrior ist führend darin, die Sicherheitsschulung von Entwicklern zu verbessern, Cyberangriffe zu verhindern und die kritische Infrastruktur unseres Landes zu stärken.“

Wichtige Erkenntnisse: Die Analyse von Secure Code Warrior zur Weiterbildung von Entwicklern in kritischen Infrastrukturbranchen basiert auf Erkenntnissen aus über 20 Millionen Datenpunkten von 600 Unternehmenskunden und mehr als 250.000 aktiven Entwicklern weltweit. Die Analyse ergab:

• Die Gesamtzahl der Entwickler, die derzeit an entwicklerzentrierten SBD-Weiterbildungsinitiativen teilnehmen, liegt bei weniger als 4 % aller Entwickler weltweit.
• Bestimmte Sektoren der kritischen Infrastruktur, wie die Finanzdienstleistungsbranche, wiesen im Vergleich zum Durchschnitt nicht-kritischer Infrastrukturen die höchste Sicherheitslage auf, gemessen am SCW Trust Score. Beispielsweise lag der durchschnittliche Trust Score im Finanzdienstleistungssektor bei 336. 
• Überraschenderweise hatte der Finanzdienstleistungssektor trotz Compliance- und Regulierungsanforderungen eine ähnliche Sicherheitslage wie mehrere andere kritische Sektoren. 
• Sowohl groß angelegte als auch kleinere „Secure-by-Design“-Weiterbildungsinitiativen können erfolgreich sein, wobei die Forschung zeigt, dass kleinere Initiativen schneller anlaufen und effizienter umgesetzt werden können. Damit diese Initiativen jedoch erfolgreich sind und schneller einen messbaren Return on Investment (ROI) liefern, ist laut Forschung ein verbindliches Mandat erforderlich.
• Wenn Weiterbildungsinitiativen fest etabliert sind, sind die von Entwicklern in Anwendungen eingebrachten Risiken deutlich geringer. Die Analyse ergab, dass Entwickler in großen Weiterbildungsprogrammen (über 7.000 Entwickler in einem Unternehmen) Schwachstellen vorhersehbar um 47–53 % reduzieren können.

„Secure-by-Design“ gewinnt weltweit an Dynamik, da Länder ähnliche Richtlinien in ihre umfassenderen Cybersicherheitsstrategien integrieren. Es wird jedoch schwierig sein, sichere Standards für Entwickler bereitzustellen und eine Belegschaft zu fördern, die Sicherheit versteht, ohne die richtigen Datenpunkte für einen Benchmark der Entwicklerfähigkeiten. Ein Programm für agile Weiterbildung kann bei Entwicklern Anklang finden, wenn es auf etablierten Grundlagen aufbaut und praktische Einheiten bietet, die reale Probleme der Entwickler adressieren.

„In einer Zeit beispielloser globaler Cyberbedrohungen zeigen diese neuen Erkenntnisse die Notwendigkeit, SBD-Initiativen in unserer digitalen Infrastruktur zu verbessern, um kritische Schwachstellen zu reduzieren“, sagte Kemba Walden, Präsidentin des Paladin Global Institute und ehemalige amtierende National Cyber Director. „Diese Forschung ist ein klarer Aufruf zum Handeln, um Personal weiterzubilden und Benchmarks zur Erreichung kritischer Cybersicherheitsziele zu schaffen.“

„Grundlagen und Benchmarks können die Sicherheitslage eines Unternehmens erheblich optimieren, indem sie sicheres Programmieren zu einem wesentlichen Bestandteil der DNA machen“, sagte Matias Madou, Mitbegründer und CTO von Secure Code Warrior. „Um zu wissen, ob eine SBD-Initiative echte Fortschritte macht, benötigen Sie quantitative Belege dafür, dass die Weiterbildungsmaßnahmen effektiv sind und Sicherheits-Best-Practices in die Arbeitsgewohnheiten übergehen. Sie müssen volles Vertrauen haben, dass Entwickler ihre Lizenz zum Programmieren wirklich verdient haben.“

Viele Sicherheitsverantwortliche betonen beharrlich die Schwierigkeit, die meisten Elemente eines Unternehmenssicherheitsprogramms zu skalieren, insbesondere solche, die eine kontinuierliche Weiterbildung und Bewertung des einzelnen Personals erfordern. Dies ist ein berechtigtes Anliegen, das jedoch angesichts zahlreicher globaler Gesetzesreformen und Richtlinien, die nachgewiesene Sicherheitskompetenzen von Entwicklern fordern, überwunden werden muss. Viele Unternehmen weltweit ergreifen Maßnahmen und haben groß angelegte Weiterbildungsinitiativen implementiert, die eine signifikante Wirkung zeigen. 

Um mehr über die neueste Analyse von Secure Code Warrior und den SCW Trust Score zu erfahren, klicken Sie hier.

‍

Über Secure Code Warrior:

Secure Code Warrior ist eine Plattform für sicheres Programmieren, die Standards für eine sichere digitale Welt setzt. Wir bieten die weltweit führende agile Lernplattform, die Entwicklern die effektivste Lösung vermittelt, um Prinzipien der Softwaresicherheit zu erlernen, anzuwenden und zu verinnerlichen. Mehr als 600 Unternehmen vertrauen auf Secure Code Warrior, um agile Sicherheitsprogramme zu implementieren und sicherzustellen, dass ihre Anwendungen frei von Schwachstellen sind.

Weitere Informationen zu Secure Code Warrior finden Sie unter www.securecodewarrior.com.