Wie Security Champions eine Sicherheitskultur schaffen 4 Best Practices für Cybersicherheit im Development

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Fsas Technologies GmbH

FTAPI Software GmbH

Die Bedrohungslage durch Cyberangriffe nimmt zu, doch in der Softwareentwicklung wird Sicherheit oftmals noch nicht ausreichend berücksichtigt. Um Cybersicherheit nachhaltig im Entwicklungsteam zu verankern, setzen Unternehmen deshalb auf Security Champions.

Alle 39 Sekunden greifen Hacker Unternehmen an. Das Ziel: Datendiebstahl, Datenmissbrauch und Datenmanipulation. Laut einer Studie des Digitalverbands Bitkom sind im letzten Jahr 84 Prozent der befragten deutschen Unternehmen einem Angriff zum Opfer gefallen – Tendenz steigend.

Ein Grund für die rapide Zunahme an Cyberangriffen ist die immer komplexer werdende IT-Landschaft in Unternehmen, die die Arbeit von Sicherheitsexperten erschwert. Denn durch die Nutzung zahlreicher Systeme und Integrationen entstehen oftmals Schwachstellen und Einfallstore für Hacker.

Tatsächlich gibt es aber immer noch Unternehmensbereiche, in denen Sicherheitsanforderungen noch nicht ausreichend berücksichtigt werden. Zu diesen gehört auch die Softwareentwicklung. Um hier Abhilfe zu schaffen und zu gewährleisten, dass Cybersicherheit von Anfang an mitgedacht wird, etablieren Unternehmen daher immer häufiger sogenannte Security Champions.

Security by Design als Status Quo

Schnellere Entwicklungszyklen, Wartbarkeit, Usability sowie der Einsatz moderner IT-Infrastrukturen und der Cloud: Product Owner und Entwicklungsteams sehen sich zunehmend unter Druck gesetzt, die wachsenden Anforderungen im modernen Entwicklungsprozess miteinander zu vereinbaren.

Die Themen Datenschutz und -sicherheit kommen daher nicht selten zu kurz oder gewinnen erst in einem nachgelagerten Schritt an Relevanz. Dieser leichtfertige Umgang mit sicherheitstechnischen Anforderungen könnte jedoch schwerwiegende Konsequenzen haben, insbesondere im Hinblick auf die Cloud. Beispielsweise können Angreifer durch Schwachstellen in der Konfiguration der Cloud-Infrastruktur auf Datenbanken mit sensiblen Daten zuzugreifen.

Aus diesem Grund muss Sicherheit mit einem Security by Design-Ansatz systematisch und vom ersten Entwicklungsschritt an in den Prozess integriert werden. Security Champions wissen, welche Tätigkeiten dafür im Entwicklungsprozess durchgeführt werden müssen und unterstützen die Product Owner und Entwicklungsteams dabei, diese zu planen, sie angemessen zu priorisieren und effizient umzusetzen.

Eine Kultur für Cybersicherheit schaffen

Security Champions sind Mitarbeitende im Entwicklungsteam, die die explizite Aufgabe übernehmen, Cybersicherheit im Team mitzudenken und tief in den Entwicklungsprozess zu integrieren. Am besten eignen sich dafür Entwickler, Architekten oder Tester, da diese an Scrum-Meetings teilnehmen und somit in der Lage sind, Awareness für das Thema zu schaffen und Sicherheitsprobleme frühzeitig und kontinuierlich anzusprechen.

Doch welche Aufgaben übernimmt ein Security Champion konkret? Um eine Kultur für Cybersicherheit in Entwicklungsteams zu schaffen, helfen Security Champions den Entwicklungsteams, Sicherheit effektiv und effizient zu implementieren. Dieser Prozess startet mit der Definition grundlegender Sicherheitsanforderungen.

Dabei ist es wichtig, auch interne Anforderungen sowie gesetzliche Regulierungen zu berücksichtigen und den Schutzbedarf anhand einer Bedrohungs- und Risikoanalyse zu ermitteln. Schließlich bieten die Risiken, die potenzielle Sicherheitslücken für die Daten des Unternehmens darstellen, letztendlich Aufschluss darüber, warum und durch welche Maßnahmen das zu entwickelnde Produkt geschützt werden muss.

Im nächsten Schritt verankern Security Champions Sicherheit in den Prozessen und im Design, indem sie konkrete Maßnahmen priorisiert ins Backlog, in die Definition of Done sowie in die Architektur der Software einbringen. Das sorgt für die effiziente Umsetzung der Maßnahmen und kontrolliert deren Wirksamkeit mit Hilfe von regelmäßig ausgeführten Sicherheitskontrollen und Penetrationstests. Dabei sollen insbesondere Schwachstellen im Code vermieden und Sicherheitsaspekte in alle Codeüberprüfungen integriert werden.

Nachdem alle Maßnahmen fest in den Entwicklungsprozess eingebettet sind und kontinuierlich die Sicherheit verbessern, überwachen Sicherheitschampions die Security-KPIs und betreiben Patch- und Schwachstellenmanagement. Damit ist der Entwicklungsprozess stets gegen neue Bedrohungen gerüstet und die Sicherheit von Software, Systemen und Produkten als integraler Aspekt gewährleistet.

Potenzial von Security Champions ausschöpfen

Als zentrale Ansprechpartner für alle Themen rund um Sicherheit im Entwicklungsprozess, erfüllen Security Champions eine wichtige und anspruchsvolle Aufgabe. Deshalb reicht es nicht aus, lediglich eine Person im Team für diese Rolle zu designieren.

Um das Potenzial von Security Champions voll auszuschöpfen, müssen Unternehmen zeitliche und finanzielle Ressourcen aufwenden und die richtigen Voraussetzungen schaffen. Mit diesen vier Best Practices unterstützen und befähigen Unternehmen ihre Security Champions:

• Training: Damit Security Champions so schnell wie möglich in ihrer neuen Rolle starten können, ist es wichtig, dass sie in einem initialen Training Grundkenntnisse über ihre künftigen Aufgaben erlangen.

• Mentoring: Mit einem Mentoring-Programm stellen Unternehmen sicher, dass neue Security Champions einen Mentor bzw. Kollegen an die Seite gestellt bekommen, der bereits einschlägige Erfahrungen mit der Rolle hat und mit Expertenwissen im Hintergrund unterstützt sowie Sicherheit vermittelt. Denn Security Champions brauchen nicht nur das nötige Know-How, sondern auch viel Fingerspitzengefühl und zwischenmenschliche Fähigkeiten, beispielsweise um effektiv mit Product Owner und anderen Projektbeteiligten zu kommunizieren.

• Knowledge Base: Der Aufbau einer Wissensdatenbank spielt eine entscheidende Rolle für Security Champions. Bei Fragen oder fehlendem Wissen erleichtern die leicht zugänglichen Informationen deren Arbeitsalltag und gestalten die Umsetzung von Maßnahmen effizienter.

• Community: Ein organisierter Zusammenschluss von allen Security Champions in einem Unternehmen bietet die ideale Plattform, um Ideen auszutauschen und voneinander zu lernen. Mit (regelmäßigen) Veranstaltungen und/oder Deep Dives zu bestimmten Projekten werden Security Champions zur aktiven Teilnahme motiviert und können neue Ansätze oder Anregungen mit in ihr Projektteam nehmen.

* Stefan Fleckenstein ist Head of Cybersecurity bei MaibornWolff. Nach langjähriger Tätigkeit in der Softwareentwicklung übernahm Stefan Fleckenstein von 2010 bis 2020 als CIO die Verantwortung für die interne IT-Infrastruktur und Softwareentwicklung von MaibornWolff, zusätzlich zu seiner Arbeit in Kundenprojekten. Die Informationssicherheit wurde in dieser Zeit zu einem der Schwerpunkte seiner Arbeit, in der er MaibornWolff zur ISO 27001-Zertifizierung führte.

Durch die Kombination seiner Erfahrungen aus der Softwareentwicklung und der Informationssicherheit gründete Stefan den Bereich Cybersecurity bei MaibornWolff, der Kunden in allen Fragen der Sicherheit berät und unterstützt. Neben seiner Arbeit als Abteilungsleiter engagiert sich Stefan leidenschaftlich für die Entwicklung von Open-Source-Software.

(ID:49542061)