Der ROI von entwicklergesteuerter Sicherheit

Die Kosten von schlechtem Code

Technologische Sprünge machen es Entwicklern einfacher denn je, Code schneller als je zuvor auszuliefern. Das kann für Innovationen aufregend sein, aber entmutigend, wenn es darum geht, die Qualität und Sicherheit von Software zu verbessern. Die Kosten für zusätzliche Tools, Schulungsprogramme und Investitionen in die Weiterbildung von Entwicklern zu rechtfertigen, kann wie eine „nette Sache“ und nicht wie eine wichtige Geschäftsfunktion erscheinen, wenn die Geschwindigkeit, mit der der Code versendet wird, beibehalten wird.

Der schnellere Versandcode ist vielleicht einfacher geworden, aber leider der Versand sichern Der Code hat das nicht getan, sodass Unternehmen mehr Bedrohungen ausgesetzt sind als je zuvor. Die Kosten der Cyberkriminalität sind auf der ganzen Welt atemberaubend und steigen rasant an. Tatsächlich beliefen sich die Kosten der Cyberkriminalität im Jahr 2020 auf ungefähr 1 Billion US-Dollar. Im Durchschnitt belaufen sich die Kosten einer Datenschutzverletzung auf 4,35 Mio. $. Sie verteilen sich auf entgangene Geschäfte von Bestandskunden und potenziellen Kunden sowie auf Ressourcen, die für die Erkennung, Eskalation und Überarbeitung aufgewendet wurden.

Trotz dieser astronomischen Kosten verlangen mehr als die Hälfte der Unternehmen von Entwicklern nicht, dass sie jährlich formelle Schulungen zum Thema Securecode absolvieren.

Sicherheitsexperten wissen alle, dass es sich wie ein Maulwurf-Spiel anfühlen kann, wenn es darum geht, Sicherheitslücken zu finden und zu beheben. Selbst wenn Sie bereits ein Sicherheitsprogramm mit einer Abhilfemaßnahmen haben, gibt es immer Verbesserungsmöglichkeiten. Die meisten Unternehmen stellen fest, dass ihr Sicherheitsansatz nicht so robust ist, wie sie früher dachten, wenn ihre Disaster Recovery- oder Backup-Funktionen auf die Probe gestellt werden. Wenn die Stärkung der Widerstandsfähigkeit Ihres Unternehmens vor Cyberangriffen eine Ihrer obersten Prioritäten ist, sollte es Teil Ihrer Pläne zur weiteren Verbesserung Ihrer Sicherheitslage sein, die Ihren Entwicklern überlassen wird, die Perspektive zu verlagern. Ein kompetentes, kompetentes Entwicklerteam, das von Anfang an sicheren Code entwickelt und über genügend Fachwissen verfügt, um Schwachstellen schnell zu lokalisieren und zu beheben, ist Ihre kostengünstigste Methode zur Risikominderung.

Ein Missverständnis, wenn es um die Ausbildung von Entwicklern geht, ist, dass dies lediglich Kosten für das Unternehmen oder sogar eine Versicherungspolice mit sich bringt. Klaus Klaus Klinger, DevSec Awareness Evangelist bei Allianz, erklärt: „Das Ganze muss in den Chefs des Managements beginnen. Eine Investition in die Schulung von Entwicklern ist keine verlorene Investition, sondern eine Investition in Qualität, Produktivität und den Ruf des Unternehmens.“

Der ROI kann in diesem Bereich oft schwer zu quantifizieren sein, aber letztendlich sollten Unternehmen darüber nachdenken, wie ihre Sicherheitslage ihnen hilft, Risiken zu reduzieren, ihren Ansatz zu rationalisieren und ihren Entwicklerteams Zeit und Produktivität zu sparen.

Wie kann man den ROI der Cybersicherheitskosten quantifizieren?

Wenn es um den ROI geht, ist es wichtig, zwei verschiedene Aspekte zu berücksichtigen: die Kosteneinsparungen durch die Risikominderung im Vergleich zu den Auswirkungen Ihrer Sicherheitsschulung.

Schauen wir uns dieses allzu häufige Beispiel an: Eine Sicherheitslücke oder ein Sicherheitsverstoß führt dazu, dass eine E-Commerce-Website für mehrere Tage offline ist, während ihre Teams nach dem Problem suchen und herausfinden, wie es behoben werden kann. Die Kosten der unterlassenen Behebung lassen sich anhand der Umsatzeinbußen während des Ausfalls, den Auswirkungen gestohlener Zugangsdaten, dem Verlust des Kundenvertrauens (was zu langfristigen Umsatzeinbußen führt) und dem allgemeinen Produktivitätsverlust bei der Behebung des Problems beziffern.

Das läuft wirklich auf eine Kosten-Nutzen-Analyse hinaus. Die wichtigsten Bereiche, die Sie bewerten sollten, sind der Sicherheitsreifegrad Ihres Unternehmens, die Risikoakzeptanz Ihres Unternehmens und die Bereiche in Ihrem Code, die beibehalten oder verbessert werden müssen.

Menschen konzentrieren sich oft auf die falschen Kennzahlen, um Erfolg und Wert zu bestimmen. Vielleicht sollten wir uns weniger mit der Rendite der Anfangsinvestition des Programms befassen und stattdessen messen Auswirkung des Programms selbst.

Maßnahme zum Nachweis der Wirkung

Um den ROI zu ermitteln, müssen Sie messbare Ziele festlegen. Dies beginnt mit der Bewertung der Kenntnisse Ihrer Entwickler im Bereich sichere Programmierung und dem Verständnis, wo sie ihre Fähigkeiten erweitern müssen.

Ein Ausgangspunkt wäre die Messung des Engagements, um Ihnen zu helfen, strategische Entscheidungen darüber zu treffen, wie Sie umfassendere Schulungsprogramme erstellen können. Am wichtigsten: Messen Sie die Wirkung. Schauen Sie sich zunächst die Anzahl der Schwachstellen an, die im Lebenszyklus der Softwareentwicklung durch Codeanalysen, Bug-Bounties oder klassische Schwachstellentests erkannt werden, bevor Sie das Programm in den einzelnen Teams starten. Eine der einfachsten Methoden, um festzustellen, ob Ihr Trainingsprogramm das gewünschte Ergebnis erzielt, besteht darin, den Rückgang der Sicherheitslücken zu messen, die insgesamt in Ihre Codebasis eingeführt werden.

‍

Die wichtigsten Fragen zur Bewertung des ROI:‍

1. Rationalisieren wir unseren Ansatz?

‍Wirfst du mehr Tools auf das Problem ein oder löst du es an der Ursache? Wenn Sie Ihrem Tech-Stack weitere Tools hinzufügen, entsteht ein Ansatz zur Suche und Behebung von Sicherheitslücken nach dem Prinzip „Schweizer Käse“. Sie erhöhen auch die Betriebskosten, ohne dass sich dies auf die Quelle vieler Sicherheitslücken — den Code — auswirkt. Obwohl Scan- und Pentesting-Tools unbedingt Teil Ihres Arsenals sein sollten, sollten sie nicht Ihre letzte Verteidigungslinie sein. ‍

2. Verbessern wir Effizienz und Produktivität?

Zeit, die für umfassende Codeüberprüfungen und Überarbeitungen von Code aufgewendet wird, der von AppSec zurückgesendet wurde, kann zu einem erheblichen Produktivitätsverlust führen. Reduzierung von Brandschutzübungen, indem Entwicklerteams befähigt und in die Lage versetzt werden, ihre Aufgaben selbst in die Hand zu nehmen sicheres Codetraining sollte ein guter Maßstab für die Bewertung der positiven Auswirkungen Ihres Sicherheitsprogramms sein. ‍

3.Senken wir Risiken?

Das Finden und Beheben einer Sicherheitslücke kann wie das Lösen eines großen Rätsels sein, dessen Fertigstellung mit einer robusten Lösung manchmal Tage, Wochen oder sogar Monate dauern kann. Durch die Möglichkeit, Entwickler selbst an der Quelle zu beheben, kann sich AppSec auf die Risikoüberwachung und die Stärkung der Sicherheitslage des Unternehmens konzentrieren.

4. Erhöhen wir die Geschwindigkeit (behalten aber trotzdem die Qualität bei)?

Schneller Versand mit Code ist nicht immer eine gute Sache. Abstriche zu machen und Sicherheitslücken in den Code einzubringen, kann in Zukunft viele Kopfschmerzen bereiten und technische Schulden anhäufen. Kurzfristiges Denken ist hier nicht die Antwort. Man kann das Risiko mindern, indem man seinen Code von Anfang an sichert, damit sich das Problem in Zukunft nicht noch verschärft.
‍

Empfohlene Metriken zum Nachverfolgen:

• Engagement — wie viel Zeit planen Sie für Schulungen ein und wie engagieren sich die Entwickler? Nehmen sie an Kursen und Prüfungen teil und nehmen sie an Turnieren teil?
• Fähigkeiten — wo sind die Stärken? In welchen Bereichen haben Sie Verbesserungsbedarf festgestellt?
• Reduzierung von Sicherheitslücken — Haben Sie während der Codeüberprüfung einen messbaren Rückgang der Sicherheitslücken festgestellt? Stellen Sie fest, dass AppSec weniger Nacharbeit leistet?
• Produktivität — wie lange dauert es, ein Problem zu beheben? Haben Sie eine Steigerung der Produktivität oder Geschwindigkeit durch die Reduzierung von Sicherheitslücken festgestellt?

Schaffen Sie Wert, indem Sie nach links wechseln

Verstöße und Sicherheitslücken nehmen von Jahr zu Jahr rasant zu. Es ist wichtig, proaktiv mit der Entwicklung eines ganzheitlichen Sicherheitsansatzes zu beginnen — und zwar zunächst mit Ihrem Code. Das wird dazu beitragen:

• Reduzieren Sie die Komplexität, indem Sie in Ihre wertvollsten Ressourcen — Ihre Mitarbeiter — investieren, anstatt Geld in Tools zu stecken, die nur einen Teil des Problems lösen
• Verbessern Sie die Effizienz und die Gesamteffektivität, indem Sie Nacharbeiten oder Korrekturen einschränken, die normalerweise von AppSec identifiziert würden nach der Code wird bereitgestellt
• Reduzieren Sie Risiken und sorgen Sie für die Einhaltung gesetzlicher Vorschriften, um kostspielige Bußgelder, den Verlust des Kundenvertrauens oder, schlimmer noch, die Kosten einer Datenschutzverletzung zu vermeiden

Vermeiden Sie kurzfristiges Denken und schnelle Lösungen. Sie können nur zu technischen Schulden und später zu weiteren Kosten führen. Planen Sie langfristig, indem Sie die Möglichkeiten der Weiterbildung nutzen und Ihre Entwickler in die Lage versetzen, Ihre beste Verteidigungslinie gegen Sicherheitslücken und Cyberkriminalität zu sein. Überzeugen Sie sich selbst von den Auswirkungen und Kosteneinsparungen.

‍