So überzeugen Sie Ihren Chef davon, in sicheres Codiertraining zu investieren

Wenn Sie sich in irgendeiner Weise mit Software befassen, egal ob Sie Entwickler, QA-Mitarbeiter, technischer Leiter oder AppSec-Experte sind, stehen die Chancen gut, dass Sicherheit Teil Ihres Jobs ist. Es ist die Aufgabe des Sicherheitsteams, auf Software-Sicherheitslücken hinzuweisen, und es ist die Aufgabe des Entwicklers, sein Bestes zu geben, um Code zu schreiben, der von Anfang an fehlerfrei ist. Um diese Aufgaben jedoch so effizient und effektiv wie möglich zu erledigen, ist es wichtig, dass alle Beteiligten bei der Bekämpfung von Sicherheitsbedrohungen zusammenarbeiten, angefangen beim Code, auf dem Ihre Anwendungen ausgeführt werden.

Effektiv etwas über sicheres Programmieren zu lernen und dieses Wissen zu behalten, kann jedoch den Eindruck erwecken, dass es von Natur aus schwierig ist. Mit den richtigen Tools muss das nicht sein. Es ist jedoch nicht immer einfach, Stakeholder und Vorgesetzte davon zu überzeugen, in die richtige Art von Schulung zu investieren. Schulungen werden allzu oft mit dem alleinigen Ziel ausgewählt, ein Compliance-Kästchen anzukreuzen, und in den meisten Fällen sind sie für die tägliche Arbeit eines Entwicklers irrelevant. Aber was wäre, wenn Entwickler in Echtzeit etwas über Sicherheit lernen könnten, in dem language:framework, in dem sie täglich arbeiten, und dabei Spaß haben könnten? Und um das Ganze abzurunden? Ihr Unternehmen erfüllt gleichzeitig die Industriestandards.

Wir halten dir den Rücken frei. Im Folgenden finden Sie einige Strategien, mit denen Sie bei Ihren Kollegen, Führungskräften und Entscheidungsträgern in Ihrem Unternehmen die Treue gewinnen können, damit Sie an einem entwicklerorientierten Schulungsprogramm zur Sicherheitsprogrammierung teilnehmen.

Das Vermeiden von Software-Sicherheitslücken von Anfang an spart unermesslich viel Zeit und Geld

Verbringen Sie zu viel Zeit damit, wiederholte Sicherheitsprobleme zu finden, zu melden oder zu beheben? Sie sind nicht allein.

Stellen Sie sich das folgende Szenario vor: Sobald AppSec eine Sicherheitslücke findet und sie an die Entwicklung zurückmeldet, nehmen Entwickler an einer entsprechenden Schulungsstunde teil und lernen nicht nur, wie dieser Fehler behoben werden kann, sondern auch, wie Sie in Zukunft vermeiden können, denselben Fehler zu machen. Was denkst du wäre das Ergebnis? Dieser Entwickler würde sich aufgrund ihrer Relevanz höchstwahrscheinlich an diese Lektion erinnern und es ist weniger wahrscheinlich, dass er denselben Fehler erneut macht. Wenn Sie also in einem Sicherheitsteam arbeiten, ist die Wahrscheinlichkeit geringer, dass ein Entwickler diese Sicherheitslücke unwissentlich erneut auslöst, und dass derselbe Entwickler die Sicherheitslücke mit geringerer Wahrscheinlichkeit erneut beheben muss.

Schauen Sie sich dieses Video von unserem Kunden Contrast Security an, um zu erfahren, wie leistungsstark Echtzeittraining für sein Entwicklungsteam ist.

Wenn alle Entwickler an regelmäßigen Sicherheitscode-Schulungen teilgenommen haben und die Tools zur Hand hatten, um sich in Echtzeit über Sicherheitsprobleme zu informieren, ist die Zeit, die zurückgewonnen wird, um fantastische Software zu entwickeln und an Sicherheitsprogrammen zu arbeiten, unermesslich. Klingt nach einem ziemlich guten Argument für Ihr Unternehmen, einfach in ein solches Tool zu investieren, oder?

Wenn Sie ein großartiges Tool gefunden haben, das Sie gerne verwenden würden, um Ihre Sicherheitsfähigkeiten zu verbessern, etwas wie (Husten) Sicherer Codekrieger, das ist ein gutes Argument dafür, es dem CISO oder CTO in Ihrem Unternehmen vorzustellen.

Befähigte Entwickler liefern bessere Ergebnisse und sind glücklicher

Zeit und Geld sind für Ihr Managementteam natürlich sehr wichtig, aber auch Ihre Arbeitszufriedenheit. Zufriedene Mitarbeiter erzielen bessere Ergebnisse, bleiben länger an ihrem Arbeitsplatz und tragen zu einem positiven Arbeitsumfeld bei. Deshalb sind Karriereförderung und Weiterbildung eine Investition, keine Kosten. Und ob dieses Training tatsächlich Spaß macht und etwas Relevantes lehrt? Das ist genau das goldene Ticket zum Erfolg.

Die gute Nachricht ist, dass Entwickler in der Regel hochmotiviert sind, Sicherheit zu lernen, weil sie wissen, wie wichtig es für ihre Arbeit ist. In einer Studie mit der Evans Data Corporation haben wir Entwickler aus der ganzen Welt befragt und herausgefunden, dass Entwickler Sicherheit lernen wollen, weil:

1. Es erhöht die Produktivität und Effizienz
2. Sie sind neugierig und persönlich daran interessiert, mehr darüber zu erfahren.
3. Sie wollen die Probleme vermeiden, die mit unsicherem Code verbunden sind
4. Sie verstehen, dass dies das Potenzial für den beruflichen Aufstieg bietet
5. Es ist eine effizientere Nutzung der Humanressourcen
   

(Laden Sie das vollständige Whitepaper herunter hier.)

Das einzige Problem ist, dass das sicherste Programmiertraining sie im Stich lässt. Es ist für ihre tägliche Arbeit nicht relevant und, seien wir ehrlich, es ist geradezu langweilig. Dies sind Funktionen, die in der Regel keine guten Ergebnisse liefern, wenn es darum geht, Informationen zu speichern und tatsächlich zu lernen. Wenn die Lernplattform jedoch entwicklerorientiert, unterhaltsam und ansprechend ist und für ihre Arbeit relevant ist, kann sie echte Ergebnisse liefern und Menschen hervorbringen, die wollen um sicheren Code zu schreiben. Und warum sollte Ihr Chef, sei es ein Entwicklungsleiter oder ein CISO oder CTO, nicht wollen, dass Entwickler daran interessiert sind, sicher zu programmieren und über die entsprechenden Fähigkeiten verfügen?

Sicherheitsverständnis macht Ingenieure insgesamt zu besseren Ingenieuren

Wenn Ingenieure verstehen, wie anfällig Software für Angriffe sein kann, denken sie bei ihrer Arbeit daran. Je besser jemand versteht, was schief gehen kann, desto mehr arbeitet er mit einem präventiven Ansatz.

Nicht nur das, auch Code von schlechter Qualität enthält mit größerer Wahrscheinlichkeit Software-Sicherheitslücken, und es ist für Entwickler einfacher, unwissentlich eine Sicherheitslücke in diesen Code einzubauen. Warum? Weil sie viel von dem, was sie tun, Code lesen und ändern. Wenn dieser Code schlecht organisiert ist und eine schlechte Logik verwendet, dauert die Ausführung dieser Aufgaben länger und es wird einfacher, etwas zu ändern und versehentlich eine kritische Sicherheitslücke einzuführen.

Wenn man sich mit Sicherheit und der Vermeidung von Problemen auskennt, denkt man auch genauer über die Gesamtqualität dieses Codes nach und darüber, wie man ihn so schreibt, dass ein Fehler nicht einfach versehentlich eingeführt werden kann. Sicherheitstraining ist eine Win-Win-Situation. Entwickler lernen etwas über sicheres Programmieren, werden aber in der Zwischenzeit auch zu besseren Ingenieuren.

Zahlen haben Macht

Eine weitere gute Taktik, um die Zustimmung Ihrer Führungskräfte für die Einführung einer sicheren Lernplattform zum Programmieren zu gewinnen, besteht darin, Ihre Kollegen mit ins Boot zu holen. Je mehr Entwickler daran interessiert sind, ihr Sicherheitswissen weiterzubilden, desto einfacher wird es sein, das Management oder die Geschäftsleitung davon zu überzeugen, in diese Technologie zu investieren.

Also, wie macht man das? Angesichts der Tatsache, dass die meisten Entwickler die Notwendigkeit verstehen, im Bereich Sicherheit besser zu werden, und lernen wollen, sollte das nicht allzu schwierig sein. Sie können sie sich das auch ansehen lassen Präsentation für Entwickler von Secure Code Warrior und werfen Sie einen kurzen Blick auf unser Produkt und testen Sie ihre Fähigkeiten zum sicheren Programmieren. Sobald sie die Auswirkungen von unsicherem Code erkennen und erfahren, dass es Spaß machen kann, etwas über Sicherheit zu lernen, fühlen sie sich ermutigt, mehr zu lernen.

Sobald Sie das richtige Tool eingeführt haben, ist ein gesunder Wettbewerb eine gute Möglichkeit, Ihre Entwickler zu motivieren. Versuchen Sie, Ihr Trainingsprogramm mit einem Turnier zu beginnen.

Erfahren Sie, wie Nelnet mit Turnieren wirklich kreativ wurde, um eine Sicherheitskultur in ihrem Unternehmen aufzubauen.

Kontinuierliche Sicherheitsschulungen fördern eine wünschenswerte Unternehmenskultur

Training muss nicht langweilig sein und sollte es auch nicht sein. Wir wissen, dass Vorlesungen teuer und schwer zu organisieren sind — insbesondere bei verteilten Teams — und dass Sie kaum viel davon mitnehmen werden. Unternehmen bieten Entwicklern jedoch weiterhin Schulungen zum sicheren Programmieren an, bei denen kaum mehr getan wird, als jedes Jahr ein Kästchen anzukreuzen, um die Einhaltung der Vorschriften sicherzustellen. Es reicht nicht mehr aus, einfach den Status Quo aufrechtzuerhalten. Es ist an der Zeit, dass Entwicklungsmanager und AppSec noch einen Schritt weiter gehen und gemeinsam ein Schulungstool implementieren, das kontinuierliches und ansprechendes Lernen fördert. Und das beginnt damit, die Entscheidungsträger zu überzeugen.

Kontinuierliches, praktisches Training ist aus einer Reihe von Gründen notwendig. Cybersicherheitsbedrohungen entwickeln sich ständig weiter, daher ist es nur natürlich, dass auch Schulungen zur Bekämpfung dieser Bedrohungen kontinuierlich stattfinden. Nicht nur das, sondern wie bereits erwähnt, ist es viel wahrscheinlicher, dass wir das Gelernte behalten, wenn wir in Echtzeit lernen. Das Programmieren unter Berücksichtigung der Sicherheit ist schwer umzusetzen, weil es unrealistisch ist, von einem Entwickler zu erwarten, dass er sich an etwas erinnert, das er aus einer Slideshow gelernt hat, die vielleicht fast ein Jahr zuvor aus dem Zusammenhang gerissen ist. Aber wenn sie lernen, eine bestimmte Software-Sicherheitslücke in dem Moment zu vermeiden, in dem sie sie gemeldet haben, und das Gefühl haben, gleichzeitig ein Spiel zu spielen, ist das ein ganz neues Ballspiel.

Sobald praktische, relevante Schulungen durchgeführt werden, wird Sicherheit Teil der Unternehmenskultur und wird nicht länger als Nebensache behandelt. Sie wird von Beginn des Softwareentwicklungszyklus an in den Entwicklungsprozess integriert.

Also, worauf wartest du? Beginnen Sie mit der Verbesserung der Sicherheit in Ihrem Unternehmen und dem Schutz wichtiger Unternehmens- und Kundendaten. Holen Sie Ihre Entwickler und Chefs mit ins Boot, um sicheres Programmieren in Ihrem Unternehmen auf die nächste Stufe zu heben. Hören Sie auf, ein für alle Mal dieselben Sicherheitslücken zu haben, indem Sie von Anfang an über Sicherheit nachdenken.

Benötigen Sie mehr Ressourcen?‍

Laden Sie das vollständige „Überzeugen Sie Ihr CISO/CTO-Kit“ herunter