Wie Schulungen zu sicherem Programmieren die digitale Transformation im Finanzwesen unterstützen

Finanzinstitute stehen vor einer Vielzahl von Herausforderungen, deren Bewältigung davon abhängt, wie effizient und effektiv sie Technologie in einer sich schnell wandelnden Finanzwelt einsetzen können.

Unternehmen agieren in einer Zeit des rasanten Wandels – sowohl intern als auch branchenweit – in einem hart umkämpften, Cloud-basierten Geschäftsumfeld. Bei der Umsetzung ihrer digitalen Transformation arbeiten Unternehmen beispielsweise daran, dieorganisatorischen Reibungsverlustezu überwinden, die Investitionen in neue Technologien wie künstliche Intelligenz behindern, welche wiederum Zahlungsprozesse und andere Abläufe beschleunigen könnten.

Stets präsent ist dabei die Notwendigkeit, eine Vielzahl regulatorischer Anforderungen einzuhalten – von den Vorgaben des Sarbanes-Oxley Act zur Verwaltung von Finanzunterlagen und den PCI-DSS-Regeln (Payment Card Industry Data Security Standard) zum Schutz von Karteninhaberdaten bis hin zum Schutz personenbezogener Daten gemäß dem California Consumer Privacy Act (CCPA) und der EU-Datenschutz-Grundverordnung (DSGVO).

Bußgelder und andere Kosten bei Nichteinhaltung können sich schnell summieren. DerCost of a Data Breach Report 2023von IBM ergab, dass die durchschnittlichen Kosten für Unternehmen mit einem „hohen Grad an Nichteinhaltung“ bei 5,05 Millionen US-Dollar lagen – das ist mehr als eine halbe Million Dollar über den durchschnittlichen Kosten einer tatsächlichen Datenpanne.

Apropos Datenpannen: Cyberangriffe sind nach wie vor eine Plage für Finanzinstitute, die nach wie vor die am zweithäufigsten angegriffene Branche sind. Allein Ransomware-Angriffe haben laut dem BerichtState of Ransomware in Financial Services2023 von Sophos dramatisch zugenommen: von 34 % im Jahr 2021 auf 55 % im Jahr 2022 und bis auf 64 % im Jahr 2023. Die Zahl der Datenkompromittierungen (einschließlich Datenpannen und der Offenlegung privater Daten) in der US-Finanzdienstleistungsbranche stieg lautStatistavon 138 im Jahr 2020 auf 744 im Jahr 2023.

Versäumnisse in diesen Bereichen – sei es bei der internen Effizienz, der Compliance oder der Sicherheit – gefährden den Ruf eines Unternehmens und damit auch die Kundenbindung, das Lebenselixier der Finanzdienstleistungsbranche. Um wettbewerbsfähig und erfolgreich zu bleiben, müssen Unternehmen das Vertrauen ihrer Kunden stärken. Dies beginnt damit, sicherzustellen, dass ihre Software, Systeme und Prozesse effizient und effektiv sind. Im Zentrum all dessen steht sicherer Softwarecode.

Entwickler stehen unter wachsendem Druck, Anwendungen und Dienste schneller als je zuvor zu erstellen, zu aktualisieren und bereitzustellen. Das bedeutet, dass sie mit immer mehr Softwarecode arbeiten müssen – sei es, dass dieser von internen Entwicklern geschrieben, durch KI erzeugt, aus Open-Source-Repositories bezogen oder von Drittanbietern geliefert wurde.

Die Qualität und Sicherheit dieses Codes ist entscheidend für einen effektiven Betrieb, doch genau hier mangelt es Unternehmen allzu oft. Und mit zunehmendem Code-Volumen wächst auch die Zahl der Fehler, Schwachstellen und Sicherheitslücken, sofern diese nicht frühzeitig im Software Development Lifecycle (SDLC) korrigiert werden.

Unternehmen müssen frühzeitig ansetzen („Shift Left“), um sichereren Code zu erstellen und Fehler zeitnah zu beheben. Agile Schulungen zu Best Practices für sicheres Programmieren bilden das Fundament für sichere, vertrauenswürdige Anwendungen, was nicht nur das Risiko für ein Unternehmen senkt, sondern auch den Geschäftserfolg fördert.

TREND 1: KI-ENTWICKLUNGSWERKZEUGE

Innovation durch KI erfordert sicheren Code

Künstliche Intelligenz, insbesondere generative KI, hält in rasantem Tempo Einzug in Wirtschaft, Bildung und Alltag. Unter den unzähligen Einsatzmöglichkeiten generativer KI hat sich das Schreiben von Programmcode als besonders bemerkenswert herausgestellt. Dies hat sich zwar weitgehend als vorteilhaft erwiesen, wirft jedoch auch ein weiteres, eng mit der KI-Nutzung verknüpftes Problem auf: die Sicherheit. Als Vorreiter bei neuen Technologien müssen Finanzinstitute ein Gleichgewicht zwischen Produktivitätssteigerungen und dem sicheren sowie verantwortungsvollen Einsatz von KI gewährleisten.

Bislang wurde KI hauptsächlich zur Unterstützung bei der Code-Entwicklung eingesetzt und nicht etwa zur Automatisierung von Fehlerbehebungsprozessen, wobei die Auswirkungen überwiegend positiv waren. Teilnehmer einerUmfrage von GitHub, die ergab, dass mehr als neun von zehn Entwicklern in den USA KI-Programmiertools nutzen, nannten als Vorteile Produktivitätssteigerungen (53 %), die Freiheit für Entwickler, sich auf kreative statt auf repetitive Aufgaben zu konzentrieren (51 %), sowie die Vermeidung von Burnout (41 %).

Großbanken und andere Finanzdienstleister setzen KI häufiger als Vorreiter ein als Unternehmen anderer Branchen. Schließlich sind Finanzinstitute im Grunde Technologieunternehmen, da sie über die Mittel verfügen, in großem Umfang in neue Technologien zu investieren, und stets nach einem Wettbewerbsvorteil suchen.

Während einige die Befürchtung geäußert haben, dass KI menschliche Arbeitskräfte ersetzen wird, funktioniert die Technologie tatsächlich am besten im Zusammenspiel mit dem Menschen. Doch Entwickler benötigen mehr als nur eine oberflächliche Checklisten-Mentalität, um den richtigen Umgang damit zu erlernen. Sie benötigengezielte Schulungen, um Sicherheitsstandards in realen Szenarien wirklich zu verstehen. So können sie nicht nur selbst sicheren Code schreiben, sondern auch die Arbeit ihrer KI-Programmierassistenten kompetent überwachen.

Ein Beispiel: Eine Übung inder Schulung von SCWfordert ein LLM-Modell dazu auf, den Inhalt eines echten Code-Schnipsels zu ändern, um die Funktion des Codes anzupassen. Die KI reagiert darauf mit der Erstellung eines Code-Blocks – dieser ist jedoch anfällig für Cross-Site Scripting (XSS). Die Schulung stellt sicher, dass der Entwickler diese Schwachstelle erkennt.

KI und Entwickler können sehr produktiv zusammenarbeiten, jedoch nur, wenn die Entwickler ausreichend geschult sind, um sicherzustellen, dass die KI sicheren Code generiert.

Programmierfehler der KI können sich schnell verbreiten

Beim Training zum Schreiben von Code nimmt ein KI-Modell Tausende von Code-Beispielen auf, genau wie ein anderes Modell Tausende von Prosa- oder Gedichtbeispielen verarbeitet, bevor es eine Geschichte oder ein Gedicht für einen Nutzer schreiben kann. Es gibt jedoch keine Garantie dafür, dass das KI-Modell nicht auf ein fehlerhaftes Beispiel zurückgreift. Da KI-Modelle ihre Prozesse nicht transparent machen, treten Fehler erst im Nachhinein zutage. Und die KI wird diese Fehler so lange wiederholen, bis sie korrigiert werden.

Eine früheStudie von KI-Forschernergab, dass KI-generierter Code erhebliche Mängel aufwies, darunter Cross-Site Scripting (XSS)-Schwachstellen, Anfälligkeit für Code-Injection-Angriffe sowie neue, spezifisch für KI-generierten Code typische Schwachstellen, wie sie etwa mit Prompt-Injection verbunden sind. Würden KI-Tools ungeprüft zum Schreiben von Code eingesetzt, könnte sich fehlerhafter Code schnell verbreiten. Das Ergebnis wäre eine Welt, in der Software, die ohnehin schonzahlreiche Schwachstellenaufweist, unsicherer wäre als je zuvor.

Es ist zwingend erforderlich, dass menschliche Entwickler und KI-Modelle bei der Code-Entwicklung zusammenarbeiten und die Einhaltung bewährter Verfahren für sicheres Programmieren sicherstellen. Nur so können Finanzinstitute von höherer Geschwindigkeit und Effizienz profitieren und gleichzeitig Risiken begrenzen, die ohne menschliches Eingreifen potenziell katastrophale Folgen haben könnten.

Finanzinstitute können bei der sicheren Entwicklung eine Vorreiterrolle einnehmen

Das rasante Wachstum der KI, insbesondere bei Systemen, die auf großen Sprachmodellen (LLMs) wie ChatGPT und zahlreichen anderen generativen KI-Anwendungen basieren, die eigene Inhalte erstellen können, verlief nicht ohne Fehltritte. KI-Modelle haben Fehler produziert, voreingenommene Ergebnisse geliefert undKI-Halluzinationen, was zu lauteren Rufen nach Regulierung geführt hat. Das Weiße Haus hat beispielsweise eineExecutive Orderzur Entwicklung und Nutzung von KI erlassen. Zudem wurde eineKI-Grundrechtechartavorgeschlagen, die die Öffentlichkeit vor KI-bezogenen Risiken schützen soll. Staatliche Initiativen sind jedoch auf die Kooperation und Zusammenarbeit mit den Technologieunternehmen angewiesen, die diese KI entwickeln – viele von ihnen haben sich bereits dazu verpflichtet,ethische Standards einzuhaltenvon 138 im Jahr 2020 auf 744 im Jahr 2023.

Auch die Finanzdienstleistungsbranche wird voraussichtlich strenge interne Kontrollen einführen. Unternehmen sind zwar stets auf der Suche nach Wettbewerbsvorteilen, wissen aber auch, dass die Sicherheit ihrer Informationen – sowohl der internen Daten als auch der ihrer Kunden – oberste Priorität hat. Zudem müssen sie sicherstellen, dass sie die regulatorischen Anforderungen erfüllen, wie etwa die des Office of the Comptroller of the Currency (OCC) in den USA oder der Europäischen Zentralbank (EZB) für den europäischen Raum.

Als Vorreiter bei der Einführung von KI sind Banken und Finanzinstitute daran interessiert, wie KI die Effizienz steigern kann, und fördern Innovationszentren sowie andere Initiativen zur Erforschung der KI-Fähigkeiten. Doch Unternehmen benötigen auch Kontrollen, um die Sicherheit zu gewährleisten. Eine frühe Einführung birgt immer inhärente Risiken, und mit der zunehmenden Skalierung der KI-Nutzung müssen Risiken und Chancen abgewogen werden. Unternehmen profitieren beispielsweise davon, bereits in der Anfangsphase der KI-Nutzung eine SWOT-Analyse (Stärken, Schwächen, Chancen und Risiken) durchzuführen.

Effektive KI-Nutzung beginnt mit sicherem Code

Die Fähigkeit der Finanzbranche, KI effektiv zu nutzen, hängt von der Sicherheit ab – und diese beruht darauf, dass der von der KI erstellte Code von Anfang an sicher ist. Unternehmen müssen sicherstellen, dass hochqualifizierte Ingenieure die KI-Programmierung genau überwachen, Fehler identifizieren und diese schnell korrigieren. Die Zusammenarbeit mit Unternehmen, die agile Schulungen und andere Dienstleistungen zur Gewährleistung von Sicherheit und Compliance anbieten, ist ein guter erster Schritt, um eine starke Sicherheitskultur zu etablieren.

Die Risikolandschaft verändert sich ständig, insbesondere innerhalb des Softwareentwicklungszyklus. Als Vorreiter bei der KI-Einführung müssen Finanzinstitute eine Führungsrolle bei der sicheren und verantwortungsvollen Nutzung von KI übernehmen. Einige Finanzinstitute sind groß genug, um staatliche Richtlinien zu beeinflussen. Indem sie Maßnahmen ergreifen, um durch die Zusammenarbeit von KI-Modellen und Entwicklern sicheren Code zu gewährleisten, können diese Institute Best Practices etablieren, denen andere Branchen folgen können.

Integrations

You can learn more from SCW’s whitepaper explaining the role AI can play in code writing and why it’s essential that developers are thoroughly trained in recognizing secure coding patterns and the vulnerabilities that result from unsecure code.

Download Whitepaper

‍TREND 2: ZUNEHMENDE REGULIERUNG

Code ist das Herzstück der regulatorischen Compliance

Ein wichtiger Treiber für die Implementierung sicherer Programmierpraktiken ist die Notwendigkeit für Finanzinstitute, die Einhaltung der für ihr Geschäft geltenden Vorschriften sicherzustellen. Institute unterliegen einer Vielzahl von Regelungen, die je nach Art der abgewickelten Transaktionen variieren.

Zum BeispielPCI DSS 4.0, die neueste Version des Payment Industry Data Security Standard, ist ein globaler Standard zum Schutz von Kredit- und Zahlungskartendaten sowie Transaktionen. Er soll Betrug und Missbrauch verhindern und gilt für alle Unternehmen, die Karteninhaberdaten speichern, verarbeiten oder übertragen. Der Standard ist zwar kein Gesetz, wird jedoch vertraglich durchgesetzt und hilft dabei, Datenschutzverletzungen zu vermeiden, die wiederum Verstöße gegen andere Vorschriften wie die DSGVO darstellen können.

Eine weitere Vorschrift, derDigital Operational Resilience Act(DORA), ist ein verbindlicher EU-Rahmen für das Risikomanagement im Finanzdienstleistungssektor, der sowohl Finanzinstitute als auch deren Drittanbieter umfasst. DORA legt technische Standards fest, um Risikomanagementpraktiken innerhalb der EU zu vereinheitlichen und einen universellen Standard zu schaffen.

DieSociety for Worldwide Interbank Financial Telecommunication, bekannt als Swift, ist eine genossenschaftliche Organisation, die den Standard für Geldtransfers im globalen Finanzsektor gesetzt hat. Das Customer Security Program (CSP) von Swift hat dasCustomer Security Controls Framework(CSCF) entwickelt, das jährlich aktualisiert wird. Die über 11.000 Swift-Mitglieder in mehr als 200 Ländern nutzen das CSCF, um ihre eigenen Sicherheitskontrollen zu planen und ihre Compliance zu bestätigen.

All diese Vorschriften haben gemeinsam, dass sie hohe Standards für den Schutz von Daten und Transaktionen in der Finanzdienstleistungsbranche setzen. Compliance schützt nicht nur Kundendaten und Vermögenswerte, sondern bewahrt Institute auch vor den Folgen unzureichender Sicherheit, wie etwa Bußgeldern, Sanktionen bei Nichteinhaltung, Reputationsschäden und dem Vertrauensverlust von Investoren im Falle einer Sicherheitsverletzung.

Entwickler müssen mit der sich wandelnden Regulierungslandschaft Schritt halten

Sichere Programmierung bildet ein solides Fundament für Unternehmen, die die Erwartungen geltender Vorschriften sowie die Anforderungen des Office of the Comptroller of the Currency (OCC) in den USA oder der Europäischen Zentralbank (EZB) in Europa erfüllen möchten. Einer der Hauptgründe für die Einführung der Plattform von Secure Code Warrior oder eines anderen Anbieters ist es, Entwicklern sichere Programmierung in einer praxisnahen und motivierenden Umgebung zu vermitteln.

Diese Art der Schulung macht den Unterschied, wenn es um komplexe regulatorische Anforderungen geht, insbesondere da diese nicht statisch sind. Vorschriften entwickeln sich ständig weiter und bringen neue, oft anspruchsvollere Anforderungen mit sich. Je nach Anforderung ändert sich eine Vorschrift in einem bestimmten Jahr vielleicht nicht grundlegend, aber Unternehmen müssen mindestens alle paar Jahre mit signifikanten Änderungen rechnen.

So aktualisiert beispielsweise PCI DSS 4.0, das seit dem 1. April 2024 verpflichtend ist, den PCI DSS 3.2.1 (veröffentlicht 2022) in mehreren wesentlichen Punkten. Es führt einen maßgeschneiderten Ansatz ein, der Unternehmen mehr Flexibilität bei der Erfüllung der Anforderungen bietet und sich stärker auf Ergebnisse als auf reine Checklisten konzentriert. Gleichzeitig kommen neue Anforderungen an Authentifizierungskontrollen, Passwortlängen und gemeinsam genutzte Konten hinzu, um nur einige der zahlreichen Aktualisierungen zu nennen. Zudem müssen Unternehmen nun Rollen und Verantwortlichkeiten für die Erfüllung jeder Anforderung klar definieren.

Wichtig ist auch, dass Version 4.0 vorschreibt, dass Entwickler, die an maßgeschneiderter Software arbeiten, mindestens alle 12 Monate in Softwaresicherheit geschult werden müssen. Dies umfasst sichere Design- und Programmiertechniken sowie – falls Test-Tools verwendet werden – die Anwendung dieser Tools zur Erkennung von Schwachstellen. Zudem ist festgelegt, dass jede bei Penetrationstests identifizierte Schwachstelle unabhängig von ihrem Schweregrad behoben werden muss und die Teams einen zweiten Penetrationstest durchführen müssen, um die erfolgreiche Fehlerbehebung zu bestätigen.

Obwohl Änderungen meist schrittweise erfolgen, sind Vorschriften auch ereignisgesteuert – eine größere Sicherheitsverletzung kann plötzliche, weitreichende Änderungen auslösen. Ein Vorfall, bei dem Mitte der 1990er Jahre 87 Millionen Konten bei JPMorgan Chase betroffen waren, erschütterte beispielsweise die Regulierungslandschaft. Die Aufsichtsbehörden erhöhten daraufhin die Erwartungen an die Entwickler- und Tech-Community und verlangten von Banken den Nachweis über die ergriffenen Maßnahmen und die Umsetzung der aus dem Vorfall gelernten Lektionen.

Compliance hängt von der Qualität des zugrunde liegenden Codes ab

Die Qualität des Codes, der zur Erfüllung dieser Anforderungen verwendet wird, hat einen erheblichen Einfluss auf die Leistung neuer Funktionen. Dies spielt eine wichtige Rolle, wenn Unternehmen den umfangreichen und detaillierten PCI DSS Compliance Report erstellen, der jährlich erforderlich ist. Da Vorschriften immer komplexer werden, wächst die Bedeutung sicherer Programmierung entsprechend, was einen wesentlichen Unterschied bei der Risikominimierung und der Kontrolle über die Software eines Unternehmens ausmacht.

Compliance ist für Finanzinstitute unerlässlich, da der Aufbau von Kundenvertrauen von zentraler Bedeutung ist. Sichere Programmierung kann zudem das Kundenerlebnis verbessern, da vieles von der reibungslosen Interaktion mit zuverlässiger Software abhängt, was wiederum die Kundenbindung stärkt.

Die Programmierung neuer Anwendungen und Dienste hat Auswirkungen auf das gesamte Unternehmen. Sie ist entscheidend für die Steigerung der Effizienz, die Verwaltung von Cloud-Migrationen und die Ermöglichung weiterer Funktionen in einem schnelllebigen Geschäftsumfeld. Doch der Code muss absolut sicher sein und die Compliance-Anforderungen erfüllen, damit das Unternehmen erfolgreich sein kann.

Integrations

Read the no-nonsense guide to getting your development team on board with PCI DSS compliance, including how security professionals and development managers can work together to build powerful security programs.

Read Guide

TREND 3: AGILES LERNEN

Agile Schulungen und Mensch-KI-Teams sorgen für sicheren Code

Die Verbreitung von KI-Modellen hat die Befürchtung neu entfacht, dass künstliche Intelligenz den Menschen viele Arbeitsplätze wegnehmen wird. Während sich Beschäftigte in einigen Berufen – von der Buchhaltung und dem Kundenservice bis hin zu Rechtsanwaltsgehilfen und Content-Erstellern – durchaus Sorgen machen könnten, sehen Softwareentwickler die KI eher als hilfreiche Unterstützung. Sie wird ihre Jobs nicht ersetzen, ihnen aber zeitaufwendige oder repetitive Aufgaben wie das Schreiben von Code abnehmen.

Das Schreiben von Code ist tatsächlich nur ein Teil der Arbeit eines Entwicklers. Im2023 Global DevSecOps Reportvon GitLab gaben die meisten Entwickler an, dass sie etwa ein Viertel ihrer Zeit mit dem Schreiben von Code verbringen. Der Rest verteilt sich auf andere Aufgaben wie die Verbesserung von Code (17 %), Tests (11 %) sowie Meetings oder andere administrative Tätigkeiten (ebenfalls 17 %).

Die Verbesserung von Code ist ein Aspekt der Arbeit, der wahrscheinlich an Bedeutung gewinnen wird, wenn KI-Modelle Code generieren. KI sorgt für Schnelligkeit und Effizienz bei der Code-Erstellung, doch diesem Code kann nicht blind vertraut werden. Es gibt unzählige Beispiele für Fehler, Voreingenommenheit und Sicherheitslücken in KI-generiertem Code. Sicherheitsexperten unter den Entwicklern müssen eng in die Überprüfung von KI-generiertem Code eingebunden werden, um Schwachstellen zu beheben und sicherzustellen, dass die Software den Entwicklungsstandards entspricht.

Entwickler benötigen praxisnahe, agile Schulungen

Für die Entwickler selbst erfordert die Arbeit mit KI-generiertem Code, dass sie ihre bestehenden Fähigkeiten schärfen – und sich neue aneignen – in Bezug auf Best Practices für Sicherheit und die Fähigkeit, schlechte Codierungsmuster zu erkennen. Richtig geschulte Entwickler sind in der Lage, Fehltritte eines KI-Modells vor der Bereitstellung zu erkennen und die Vorteile der KI zur Beschleunigung der Entwicklung optimal zu nutzen.

Die erforderlichen Fähigkeiten sind jedoch komplex und lassen sich nicht durch standardmäßige, statische Schulungsmethoden erlernen oder vertiefen. Entwickler haben im Job kaum freie Zeit – sie stehen mehr denn je unter dem Druck, Code schnell zu entwickeln und bereitzustellen. Sie müssen ihre Fähigkeiten auf eine Weise erweitern können, die zu ihrer täglichen Arbeit passt.

Unternehmen müssen Entwicklern ein umfassendes Programm füragile Schulungenanbieten, das einen praxisorientierten Ansatz für sicheres Programmieren verfolgt und nachweislich die Anzahl der Schwachstellen in der Software deutlich reduziert.

Agile Schulungen können individuell auf die Programmiersprachen zugeschnitten werden, mit denen Entwickler in Berührung kommen – vom alten, aber immer noch verwendeten COBOL bis hin zu modernen neuen Tools wie Google Go. Sie können so gestaltet werden, dass sie fortgeschrittene Inhalte in Formaten vermitteln, die den bevorzugten Lernmethoden der Entwickler entsprechen – sei es visuell, auditiv, verbal oder direkt praxisorientiert – und in einem Tempo, das optimal zu den einzelnen Entwicklern und ihren Arbeitsplänen passt.

Die Schulungen können auch auf die spezifischen Rollen und Bedürfnisse der Mitarbeiter angepasst werden. Eine Plattform kann Feedbackschleifen nutzen, um Inhalte zu verbessern und zu erkennen, wenn ein Entwickler in einem bestimmten Bereich Schwächen zeigt, sodass die Inhalte automatisch gezielt auf diesen Bereich ausgerichtet werden können.

Anstatt Sicherheitsschulungen in langwierigen und trockenen Kursen im Klassenzimmerstil anzubieten, liefern Lernprogramme wie die von Secure Code Warrior optimale, maßgeschneiderte Schulungen, indem sie diese in interaktive Mikroeinheiten unterteilen, die Entwickler direkt in den Kontext realer Probleme einbinden. Microlearning ist für Mitarbeiter zudem jederzeit bei Bedarf vollständig zugänglich.

Ein agiler Ansatz führt zu Ergebnissen

Agile Schulungen haben sich bei der Reduzierung von Programmierfehlern als effektiv erwiesen. LautUntersuchungenDank Secure Code Warrior überarbeiten Entwickler bereits etwa 26 % ihres Codes, bevor dieser in die Produktion geht. Das summiert sich auf rund 13,5 Stunden pro Woche und Entwickler (etwa 700 Stunden im Jahr), die für den Abbau technischer Schulden aufgewendet werden. Diese Zeit für Fehlerkorrekturen beeinträchtigt die Produktivität und verlangsamt die Entwicklungszyklen.

Nicht alle dieser Fehler werden entdeckt; 67 % der Entwickler geben zu, bereits Code mit Sicherheitslücken ausgeliefert zu haben. Unternehmen nutzen zudem Code aus anderen Quellen, wie etwa KI, Open-Source-Repositories und Drittanbietern. Diese Quellen steigern zwar die Produktivität in einer Zeit, in der Unternehmen ein höheres Code-Volumen denn je benötigen, erhöhen aber auch das Risiko für Schwachstellen und Fehler in der Codebasis.

Agile Schulungen können diesem Trend entgegenwirken. Sie stärken die erste Verteidigungslinie, da Entwickler besser darin geschult werden, Fehler im Code zu erkennen – egal, ob dieser von ihnen selbst, einer KI oder Drittanbietern stammt. Im Rahmen seiner Forschung untersuchte Secure Code Warrior Daten von 75.000 Entwicklern (etwa 30 % seiner Basis) und stellte fest, dass Entwickler, die Sicherheit mithilfe der agilen Schulungen erlernt hatten, 53 % weniger Schwachstellen verursachten als ihre Kollegen. Entwickler, die diese Fähigkeiten bei der Überprüfung von KI-generiertem Code anwenden, können Fehler ihres KI-Partners schneller beheben, bevor Software in die Produktion geht.

Mit den agilen Schulungen von Secure Code Warrior erhielten die Entwickler bei Workday – einem Anbieter von Cloud-Anwendungen für Finanz-, Personal- und Studenten-/Fakultätsmanagement – ein klares Verständnis für die Ziele der Schulung und lernten schnell, Probleme innerhalb ihrer Codebasis und ihres Software-Lebenszyklus zu identifizieren und zu beheben.

Die Erfahrung von Workday ist ein anschauliches Beispiel dafür, was agile, praxisorientierte Schulungen bewirken können. Vor der Partnerschaft mit Secure Code Warrior waren die Entwickler von den präsentationsbasierten Sicherheitsschulungen des Unternehmens wenig begeistert. Die gesamte Entwickler-Community reagierte jedoch sehr positiv auf das Training von Secure Code Warrior, das genau auf ihre Bedürfnisse und Lernpräferenzen zugeschnitten war. Die Ergebnisse sprechen für sich: Ein Team in Dublin konnte die Anzahl der jährlichen Sicherheitsprobleme innerhalb von nur 18 Monaten von 4.662 auf null senken.

In einer Bedrohungslandschaft voller immer raffinierterer Angriffe müssen Finanzdienstleister alles daransetzen, ihre Daten und Anwendungen zu schützen. Die Erstellung sicheren Codes zu Beginn des Softwareentwicklungszyklus (SDLC) ist ein entscheidender Sicherheitsfaktor. Entwickler mit der richtigen agilen Ausbildung können viel dazu beitragen, die Sicherheit der Software zu gewährleisten und gleichzeitig die Gesamtrisiken für ihr Unternehmen zu senken.

Integrations

Learn how Workday focused on creating secure agile learning that drove developer engagement and helped achieve their goals of improving Workday’s overall security posture.

Learn More

TREND 4: ZUNAHME VON DRITTANBIETER-APPS UND APIs

Die Verantwortung für Sicherheit gilt auch für Drittanbieter-Apps

In der heutigen, hypervernetzten Geschäftswelt agiert kein Unternehmen isoliert. Finanzinstitute gehen Partnerschaften mit anderen Unternehmen ein, um bestimmte Dienste anzubieten, nutzen Drittanbieter-Apps für die tägliche Kommunikation und Transaktionen und lassen in vielen Fällen Softwarecode von externen Auftragnehmern schreiben. Auch unternehmensinterne Entwickler greifen bei der Anwendungsentwicklung auf Open-Source-Software-Repositories und zunehmend auf KI-generierten Code zurück.

Unabhängig von der Herkunft der Software erwarten Kunden von Finanzdienstleistern, dass jede Anwendung, die sie nutzen, das gleiche hohe Sicherheitsniveau aufweist. Bei jeder Transaktion oder jedem Informationsaustausch bleibt das gastgebende Unternehmen für die Kundendaten verantwortlich. Und Regulierungsbehörden werden es einem Institut nicht gestatten, die Verantwortung für die Nichteinhaltung von Vorschriften auf einen Drittanbieter abzuwälzen.

Wie stellt ein Finanzinstitut sicher, dass jede Anwendung sicher und zuverlässig ist? Es beginnt mit sicherem Code und damit, den Entwicklern die Fähigkeiten zu vermitteln, die sie benötigen, um bereits zu Beginn des Entwicklungsprozesses sicheren Softwarecode zu erstellen und gleichzeitig zu erkennen, wenn der verwendete Code von Drittanbietern nicht den Anforderungen entspricht.

Schulungen auch für externe Teams zugänglich machen

Unternehmen profitieren von der Implementierung eines agilen, praxisorientierten Schulungsprogramms, um Entwicklern sicheres Programmieren zu vermitteln. Die Ergebnisse solcher Schulungen sind eindeutig: Entwickler mit einer Ausbildung in Secure Coding produzieren Code mit 53 % weniger Schwachstellen als diejenigen ohne diese Schulung. Zudem erkennen sie mehr Programmierfehler in Code, der von Drittanbietern stammt.

Selbst wenn die eigenen Entwickler eines Unternehmens in sicherem Programmieren geschult sind, müssen potenzielle Schwachstellen in Drittanbieter-Code adressiert werden. Viele Entwicklerteams bestehen sowohl aus festangestellten Mitarbeitern als auch aus Auftragnehmern, insbesondere bei großen Instituten mit weit verstreuten Standorten im In- und Ausland, einschließlich Primär-, Sekundär- und Tertiärstandorten.

Vor ein paar Jahrzehnten gab es in der Branche einen starken Trend zum Outsourcing der Softwareentwicklung, um mit der Nachfrage nach neuen Anwendungen Schritt halten zu können. Dieser Trend hielt fünf bis zehn Jahre an, bevor er sich wieder umkehrte, doch gemischte Teams aus Festangestellten und Auftragnehmern gibt es an einigen Standorten von Finanzinstituten nach wie vor. Da ständig so viele Anwendungen entwickelt werden, wird ein Teil davon zwangsläufig ausgelagert.

Unabhängig davon, ob der Code von Festangestellten oder Drittanbietern entwickelt wird, bleiben die Erwartungen von Kunden und Regulierungsbehörden bestehen. Der gesamte Softwarecode, den ein Unternehmen verwendet, muss denselben Standards entsprechen, was bedeutet, dass alle Entwickler über das gleiche Kompetenzniveau verfügen müssen.

Unternehmen haben möglicherweise vertragliche Einschränkungen, wenn es darum geht, Schulungen für Auftragnehmer vorzuschreiben, dennoch ist es wichtig, diese zumindest anzubieten. Einige Finanzunternehmen haben eigene Schulungsprogramme ins Leben gerufen, wie etwa Capital One, dasTech Collegeim Jahr 2016 startete. Eine Reihe anderer Banken und Finanzunternehmen, wie Synchrony Bank und North American Bancard, setzen ebenfalls auf das Konzept des agilenkontinuierlichen Lernensum das Qualifikationsniveau zu steigern.

Möglicherweise führen Unternehmen sogar eine Art „Programmierlizenz“ ein und verlangen bestimmte Zertifizierungen, bevor Entwickler Zugriff auf spezifische Systeme erhalten.

Angesichts des anhaltenden Fachkräftemangels in der IT setzen Unternehmen verstärkt auf die Weiterbildung ihrer bestehenden Mitarbeiter, anstatt auf einem leergefegten Markt um Talente zu konkurrieren. Schulungsangebote kommen beiden Seiten zugute: den Mitarbeitern, die ihre Karriere vorantreiben können, und dem Unternehmen, das die benötigten Kompetenzen direkt im Haus hat. Zudem können Trainingsprogramme die Mitarbeiterbindung stärken, indem sie die Arbeitszufriedenheit erhöhen.

Kontinuierliches Lernen ist im aktuellen Umfeld unerlässlich. Die Cybersicherheitslandschaft entwickelt sich ständig weiter und wird immer komplexer. Auch die Anforderungen der Regulierungsbehörden ändern sich jährlich, was die Einhaltung der Vorschriften erschwert. Verstöße können zu Bußgeldern, weiteren Kosten und Reputationsschäden führen, die das Unternehmen erheblich belasten.

Der Schlüssel liegt darin, Entwickler einzubinden

Unternehmen lösen sich von der Vorstellung, Compliance-Schulungen seien nur eine lästige Pflichtübung mit jährlichen Sitzungen. Stattdessen setzen sie auf ganzjährige Trainings, die das Sicherheitsbewusstsein von Entwicklern und anderen Mitarbeitern nachhaltig stärken. Entscheidend ist eine agile Plattform, die Mitarbeitern genau dann die benötigten Schulungen bietet, wenn sie diese brauchen – und zwar in einem Format, das sich nahtlos in ihren Arbeitsalltag einfügt.

So führt beispielsweise das britische SoftwareunternehmenSage, das die Plattform von Secure Code Warrior nutzt, vierteljährliche Schulungen durch, die gezielt auf die Technologien ausgerichtet sind, mit denen die Entwickler aktuell arbeiten.

Die Schulungen sind so weit wie möglich personalisiert und auf die Arbeitsweise der Entwickler zugeschnitten, erklärte Mads Howard, Sicherheitsspezialist bei Sage, während eines kürzlich stattgefundenenWebinarsmit SCW. Sage fördert zudem den Dialog durch eine Feedbackschleife. Der Fokus liegt dabei stärker auf dem Engagement als auf reiner Compliance-Erfüllung. Regelmäßige Wettbewerbe und die Verknüpfung des Trainingsprogramms mit anderen Unternehmensinitiativen sollen das Sicherheitsbewusstsein der Mitarbeiter weiter schärfen.

Ein Ergebnis: Im vergangenen Jahr konnte Sage die durchschnittliche Zeit zur Behebung von Softwareproblemen um 82 % senken, so Howard. Zudem verzeichnet das Unternehmen eine deutlich höhere Beteiligung der Mitarbeiter.

Programmierung ist ein wesentlicher Bestandteil einer Sicherheitskultur, so Howard, deren oberstes Ziel es ist, Vertrauen bei den Kunden aufzubauen. Eine Sicherheitskultur basiert auf den Einstellungen, Wahrnehmungen und Überzeugungen der Menschen und bezieht das gesamte Unternehmen ein, bis hin zur Führungsebene. Ein flexibles Schulungsprogramm für sicheren Code, das gezielte Lerneinheiten in leicht verdaulichen Häppchen liefert, kann ein zentraler Baustein dieser Kultur sein.

Integrations

Discover how Sage implemented best practices in building a secure code learning program, learn the do's and don'ts of a secure code learning program, and see the business and financial impacts including productivity gained and time saved.

Discover

‍TREND 5: VERSTÄRKTER FOKUS AUF ROI BEI TEAMS UND ANBIETERN

Wie sich sicheres Programmieren direkt auf den Return on Investment auswirkt

Die Finanzdienstleistungsbranche umfasst ein breites Spektrum, das von Bankwesen und Finanzmanagement bis hin zu Kreditkarten- und digitalen Zahlungsdiensten reicht. Selbst Versicherungen fallen oft in diesen Bereich. Unternehmen in den jeweiligen Sektoren sehen sich – je nach Art der Transaktionen und ob sie national oder multinational tätig sind – mit unterschiedlichen, wenn auch oft überschneidenden Compliance-Anforderungen konfrontiert.

Doch unabhängig vom jeweiligen Tätigkeitsfeld beeinflussen wirtschaftliche Erwägungen die Geschäftsstrategien. Die Aktienmärkte entwickeln sich zwar gut, sind aber nicht immer ein verlässlicher Indikator für den zukünftigen Erfolg. Gleichzeitig herrscht im Finanzsektor eine gewisse Sorge vor einer möglichen Rezession und anderen kritischen Herausforderungen.

Infolgedessen sparen viele Unternehmen Kosten ein, suchen nach mehr Effizienz und betonen, wie wichtig ein solider Return on Investment (ROI) bei neuen Ausgaben ist. Eine Möglichkeit, den ROI zu steigern, sind Investitionen in Schulungen für sicheren Code. Wenn im Softwareentwicklungszyklus (SDLC), wo Technik und Sicherheit aufeinandertreffen, von Anfang an auf sicheren Code geachtet und Fehler so früh wie möglich behoben werden, führt dies zu klaren, messbaren Vorteilen für das Unternehmen.

Die hohen Kosten unsicherer Software

Daten bilden das Herzstück jedes Finanzdienstleisters, und die Kosten für den Umgang mit diesen Daten durch unsichere, ineffiziente Software können schnell in die Höhe schnellen. DieUntersuchungenvon Secure Code Warrior ergab, dass Softwarequalitätsprobleme US-Unternehmen im Jahr 2022 insgesamt 2,41 Billionen US-Dollar gekostet haben. Die Kosten belasten auch die Entwickler, die immer mehr Zeit mit der Pflege und Behebung technischer Schulden verbringen. Derzeit wenden Entwickler etwa ein Drittel ihrer Zeit für technische Schulden auf, bis 2025 wird dieser Wert voraussichtlich auf 40 % steigen.

Agile Schulungen zu sicheren Programmierpraktiken können diese negativen Zahlen deutlich senken. Entwickler, die mit Secure Code Warrior trainieren, verursachen nachweislich 53 % weniger Schwachstellen als Kollegen ohne diese Schulung, und die Zeit für die Fehlerbehebung halbiert sich. Eine große globale Bank konnte durch das SCW-Training die Anzahl der Schwachstellen um 50 % reduzieren, wodurch SQL-Injection-Lücken und Cross-Site Scripting (XSS) nahezu vollständig eliminiert wurden.

Die Vorteile agiler Schulungen für sicheren Code sind umso größer, je weiter ein Unternehmen den „Shift-Left“-Ansatz verfolgt. Die Kosten für technische Schulden halbieren sich beispielsweise, wenn sie während der Testphase angegangen werden, sinken jedoch um das 14-Fache, wenn sie bereits während der Programmierung behoben werden.

Ein Beispiel: Wie Envestnet seine Entwickler motivierte

Die Auswirkungen sicherer Programmierung können zu messbaren ROI-Gewinnen führen. Ineinem Beispielwollte das große Finanztechnologieunternehmen Envestnet über seine passiven, „Death by PowerPoint“-Sicherheits- und Compliance-Schulungen hinausgehen, die sich hauptsächlich auf die zehn größten Webanwendungsrisiken des Open Worldwide Application Security Project (OWASP) konzentrierten.

Envestnet verfolgte eine Shift-Left-Strategie, die sich auf das Schreiben von sicherem Code und die frühzeitige Lösung von Problemen im SDLC konzentrierte. Zuvor musste jedoch das mangelnde Engagement der Entwickler für die bestehenden Sicherheitsschulungen des Unternehmens adressiert werden. Mit SCW implementierten sie ein vierstufiges, praxisorientiertes Programm, das Schulungen an realen Szenarien beinhaltete und Entwicklern für jede erreichte Stufe Zertifikate verlieh – was nicht nur die Anwendungssicherheit verbesserte, sondern die Entwickler auch in ihrer beruflichen Laufbahn unterstützte.

Die ersten beiden Stufen konzentrierten sich auf das Sicherheitsbewusstsein, während die Stufen drei und vier Security Champions auszeichneten. Das Schulungsprogramm umfasste Turniere, die das Engagement der Entwickler zusätzlich steigerten. Zwischen den ersten beiden Turnieren, die etwa sechs Monate auseinanderlagen, verdoppelte sich die Teilnehmerzahl.

Das Ergebnis: Entwickler mit SCW-Schulung behoben 2,7-mal mehr Schwachstellen als ihre Kollegen und steigerten ihre Behebungsrate um 120 %. SCW-geschulte Entwickler schlossen zudem Schwachstellen mit einer Rate von 4,5 pro Entwickler, verglichen mit 1,82 pro Entwickler bei ihren Kollegen ohne diese Schulung.

Ein früher Start verbessert das Geschäftsergebnis

Agile Programme für sichere Programmierung können individuell an jedes Unternehmen angepasst werden, abhängig von der Art der Finanzdienstleistungen, der Größe der Systeme und den spezifischen Anforderungen.

Unternehmen müssen Compliance-Vorgaben einhalten, sei es der Payment Card Industry Data Security Standard (PCI DSS), der OWASP Application Security Verification Standard (ASVS) oder andere Anforderungen. Sie müssen sicherstellen, dass sie stets sicheren Code schreiben. Doch sie benötigen mehr als nur ein Schulungsprogramm, das lediglich eine Checkliste abarbeitet. Dies reicht nicht aus, um sichere Programmiermethoden zu vermitteln oder die Effizienzsteigerungen zu erreichen, die mit hochqualifizierten, sicherheitsbewussten Entwicklern einhergehen.

Praxisorientierte Schulungen, die eine Strategie zur frühzeitigen Einführung von sicherem Code im SDLC unterstützen und diesen über den gesamten Produktlebenszyklus hinweg aufrechterhalten, reduzieren Risiken, beschleunigen die Markteinführung und steigern zwangsläufig den ROI. Da Systeme, Prozesse und sogar Cyberangriffe immer ausgefeilter werden, ist sichere Programmierung dringend erforderlich. Sie hat das Potenzial, nicht nur bei der Sicherheit einen entscheidenden Unterschied zu machen, sondern auch das Geschäftsergebnis jedes Unternehmens positiv zu beeinflussen.

Integrations

Explore how Envestnet adopted an agile secure code learning platform and tripled developer effectiveness in vulnerability reduction.

Explore

FAZIT

Sichere Programmierung steigert Sicherheit und Produktivität und schafft Vertrauen

Finanzinstitute arbeiten mit sehr wertvollen Gütern, nämlich dem Geld der Menschen und hochsensiblen persönlichen Informationen. Doch in gewisser Weise ist das kostbarste Gut, das ein Unternehmen besitzen kann, Vertrauen. Es ist unerlässlich, um loyale Kunden zu gewinnen und zu binden. Und da so viele Finanztransaktionen digital abgewickelt werden, hängen diese Zuverlässigkeit und die Sicherheit der Software von sicherem Softwarecode ab.

In komplexen Hybrid-Cloud-Umgebungen müssen Finanzinstitute auf „Shift Left“ setzen und Sicherheit bereits zu Beginn des Softwareentwicklungszyklus (SDLC) integrieren. Das bedeutet, Entwickler darin zu schulen, sicheren Code zu schreiben und Schwachstellen in KI-generiertem oder Drittanbieter-Code frühzeitig zu erkennen.

Für viele Unternehmen ist dies ein kultureller Wandel, da Entwickler daran gewöhnt sind, in hohem Tempo zu arbeiten und ständig neue Anwendungen und Dienste bereitzustellen, um der wachsenden Nachfrage gerecht zu werden. Der Schlüssel liegt darin, eine Sicherheitskultur im Unternehmen zu etablieren und Entwickler durch agile, praxisnahe Schulungen für sicheren Code zu begeistern. Die Vorteile dieses Ansatzes liegen auf der Hand.

Einen Win-Win-Kulturwandel fördern

Untersuchungen von Secure Code Warriorhaben ergeben, dass Entwickler, die mit SCW sichere Programmierpraktiken erlernen, 53 % weniger Schwachstellen produzieren als Entwickler ohne diese Schulung. Das spart erheblich Zeit und Kosten.

Entwickler verschwenden derzeit etwa ein Drittel ihrer Zeit mit der Nachbesserung von Softwarecode, wobei 67 % zugeben, Code veröffentlicht zu haben, von dem sie wussten, dass er Schwachstellen enthielt. SCW-Kunden konnten durch agiles Lernen eine zwei- bis dreifache Steigerung sowohl bei der Risikominimierung als auch bei der Entwicklerproduktivität verzeichnen.

Je früher ein Unternehmen im SDLC auf „Shift Left“ setzt, desto größer sind die Einsparungen. Die Kosten können halbiert werden, wenn Probleme während der Testphase behoben werden, aber sie lassen sich sogar um das 14-fache senken, wenn sie bereits während der Programmierung adressiert werden.

Eine agile Schulungsplattform bietet sowohl dem Unternehmen als auch den Entwicklern Vorteile. Entwickler können ihre Karriere durch neue Fähigkeiten vorantreiben, und das Unternehmen profitiert davon, dass qualifizierte Mitarbeiter eher bei einer Firma bleiben, die effektive Weiterbildung und ein lohnenderes Arbeitsumfeld bietet.

Übrigens geben 92 % der Entwickler an, dass sie sich mehr Schulungen wünschen. Aber es muss die richtige Art von Training sein. Herkömmliche Compliance-Schulungen nach Lehrbuch (oder per Diashow) führen oft nur zu Augenrollen und der widerwilligen Erfüllung von Anforderungen. Eine agile Plattform wie die von SCW hingegen motiviert Entwickler nachweislich. Die Schulungen lassen sich passgenau auf die aktuellen Projekte und die verwendeten Programmiersprachen zuschneiden. Zudem erhöht die Bereitstellung von Inhalten in leicht verdaulichen, gezielten Lerneinheiten, die sich mit realen Problemen befassen, den Wert der Schulung und das Engagement der Entwickler.

Schulungen für sicheren Code können der Grundstein für einen kulturellen Wandel hin zu einer sicherheitsorientierten Organisation sein und die Cybersicherheit, die Performance und letztlich die Rentabilität eines Finanzinstituts steigern.