Best Practices für die Einführung von Snyk

Die erste Frage, die viele Kunden uns nach dem Kauf von Snyk stellen, lautet: Wie führen wir das Produkt jetzt im gesamten Unternehmen ein? Ob es sich um eine Sicherheitsexpertin oder einen Sicherheitsexperten handelt, die oder der Entwicklungsteams einbinden und Sicherheitstests nach links verlagern möchte, oder um eine VP of Engineering, die oder der entscheiden muss, an welcher Stelle sich Snyk am besten in die Pipeline integrieren lässt: Als Customer Success Manager bei Snyk hören wir diese Frage sehr oft.

Einige grundlegende Voraussetzungen können Ihre Bemühungen deutlich beschleunigen: Entwickler, die sich bereits mit Sicherheit befassen, eine Führungsebene, die das Vorhaben unterstützt, oder auch Compliance-Anforderungen.

Doch was können Sie tun, wenn diese Voraussetzungen in Ihrem Unternehmen nicht gegeben sind? Wir bei Snyk haben zwar eine allgemeine Vorstellung davon, wie die Einführung gelingen kann, insbesondere dank unserer Zusammenarbeit mit vielen Kunden. Uns ist jedoch klar, dass unsere Kunden selbst diese Frage am besten beantworten können – Kunden, die Snyk bereits erfolgreich eingeführt haben. Deshalb haben wir genau diese Kunden um Rat gefragt.

Zunächst führten wir eine Reihe von Interviews mit unseren erfolgreichsten Kunden. Um ein möglichst umfassendes Bild zu erhalten, wählten wir Kunden unterschiedlicher Größe und aus verschiedenen Branchen mit unterschiedlichen Präferenzen bei den Tools aus. Wir sprachen mit Kunden mit sehr unterschiedlichen Organisationsstrukturen sowie ganz verschiedenen Beweggründen und Zielen für die Einführung von Snyk. Anschließend griffen wir ihre Ideen auf und entwickelten daraus ein Best-Practice-Modell. Wir sind überzeugt, dass es der effektivste und umfassendste Weg ist, Snyk in Ihren Entwicklungsprozess zu integrieren und mit der Behebung von Sicherheitslücken zu beginnen.

Das Modell umfasst folgende Schritte:

1. Team – finden Sie das richtige Team für den Start der Einführung

2. Schulung – gestalten Sie Schulungen für Ihre Nutzer, die auf die besonderen Anforderungen Ihres Unternehmens zugeschnitten sind

3. KPIs – legen Sie klare KPIs fest, die zu Ihren Zielen passen

4. Richtlinien – etablieren Sie verbindliche Prozesse, die festlegen, wie Nutzer mit Informationen von Snyk umgehen sollen

5. Integration – richten Sie Snyk an einem entscheidenden Punkt Ihres Software Development Lifecycle (SDLC) ein

6. Feedback – geben Sie Ihren Teams Feedback

Sehen wir uns die einzelnen Schritte genauer an.

Finden Sie das richtige Team für den Start

Viele unserer erfolgreichen Kunden begannen mit der Einführung, indem sie zunächst nur ein Team an Bord holten. Klein anzufangen mag etwas zu vorsichtig klingen. Wie uns diese Kunden jedoch berichteten, lässt sich so Verschiedenes ausprobieren, herausfinden, wie Ihre Entwickler am liebsten arbeiten, und anschließend gezielt nachjustieren.

Auch die Wahl des ersten Teams ist wichtig. Finden Sie heraus, welches Ihrer Entwicklungsteams den größten Einfluss hat und den Ton für die anderen angibt. Sobald dieses Team reibungslos mit Snyk arbeitet, verbreitet sich die Nachricht organisch in den anderen Teams – und die Nachfrage nach Snyk kommt aus dem Unternehmen selbst.

Stellen Sie interne Schulungsressourcen bereit

Snyk bietet verschiedene Schulungsressourcen, darunter Schulungen per Videoanruf, ein Schulungsdeck und Blogbeiträge. Einige Kunden nutzen diese Ressourcen noch intensiver, indem sie sie im Unternehmen teilen und so das Interesse der Entwickler an Sicherheit wecken. Andere erstellen eigene Schulungsmaterialien, die auf ihre spezifischen Arbeitsweisen abgestimmt sind. Das Sicherheitsteam eines unserer größten Kunden hat ein Demovideo erstellt, das bei jeder Integration den jeweiligen Teams vorgestellt wird. Das Video umfasst alle spezifischen Integrationen und Programmiersprachen, mit denen die Entwicklungsteams des Unternehmens arbeiten.

Eine weitere gute Möglichkeit, Informationen zu teilen, die uns ein anderer unserer Top-Kunden nannte, ist ein interner Slack-Kanal speziell für den Austausch über Snyk. Dort teilen Entwickler Best Practices und stellen einander Fragen. Der Wissensaustausch unter Kollegen ist eine hervorragende Schulungsmethode, mit der sich Informationen außerdem schnell mündlich weiterverbreiten.

Legen Sie klare KPIs fest

Wie bei jedem Projekt, das Sie starten, sollten Sie auch bei der unternehmensweiten Einführung von Snyk bereits in der Planungsphase klare KPI-Ziele festlegen. Ob auf Team- oder Unternehmensebene: Diese KPIs sollten intern kommuniziert werden, sobald der Prozess beginnt, damit Ihre Entwickler von Anfang an darauf hinarbeiten können. Kunden berichteten, dass sie KPIs wie die Zahl der in Snyk aufgenommenen Projekte, die Verringerung der Gesamtzahl ihrer Sicherheitslücken und die Zahl der Behebungen nutzen. All diese Kennzahlen werden auch im Tab Report der Snyk-Benutzeroberfläche angezeigt und sind über unsere API abrufbar. So können Sie, Ihr Team und Ihre Entwickler diese KPIs unkompliziert nachverfolgen.

Legen Sie verbindliche Richtlinien fest

Messbare KPIs sind hilfreich, weil sie klare Ziele vorgeben. Zusätzlich können Richtlinien oder Protokolle einen eindeutigen und verbindlichen Weg zu diesen Zielen aufzeigen. Kunden berichteten, dass sie einen Rahmen für den Umgang mit neu veröffentlichten Sicherheitslücken geschaffen haben, einschließlich einer Frist, innerhalb derer die jeweilige Art von Sicherheitslücke behoben werden muss. Sie können außerdem festlegen, in welchen Phasen die einzelnen Arten von Sicherheitslücken bearbeitet und nachverfolgt werden sollen – vom Erstellen eines Jira-Tickets bis zur Zuweisung des zuständigen Teammitglieds für das jeweilige Projekt. Wenn Sie diese Leitlinien gemeinsam mit Ihren Teams im Voraus erarbeiten und den fertigen Plan teilen, können Ihre Entwickler auftretende Probleme leichter bewältigen.

Richten Sie Snyk an einem entscheidenden Punkt im SDLC ein

Snyk lässt sich an verschiedenen Punkten im SDLC integrieren: über unsere CLI, mit Git-Integrationen per Mausklick oder als blockierende Stufe in Ihrer CI/CD-Pipeline. Erfolgreiche Kunden berichteten uns, dass sie zunächst nur einen Teil ihres SDLC integrierten und Snyk später auf weitere Phasen ausweiteten. Jeder Einstiegspunkt bietet eigene Vorteile: Git-Integrationen sorgen für mehr Transparenz über die Arbeit des Teams, eine CI-Integration für sicherere Deployments und vieles mehr. Wenn Sie den für Ihre Anforderungen passenden Einstiegspunkt wählen, sollten Sie Ihre Entwicklungsteams einbeziehen, damit sie wissen, was sie erwartet. Wir empfehlen außerdem, Ihre Teams zur Nutzung der Snyk CLI und der angebotenen IDE-Plugins zu ermutigen. Je weiter links im Entwicklungsprozess Sie Snyk integrieren, desto einfacher lassen sich mögliche Probleme beheben.

Geben Sie Feedback

Feedback ist in jedem Prozess wichtig. Bei Sicherheit und insbesondere bei Compliance ist es jedoch für den Erfolg der Einführung noch entscheidender. Bevor Sie Entwickler anhand von KPIs bewerten, prüfen Sie zunächst, ob das Team Snyk tatsächlich eingeführt hat: Wurden die Projekte hochgeladen? Hat das Team mit der Behebung begonnen? Das kann der Ausgangspunkt sein, um die Einführung besser im Blick zu behalten. Sobald die Entwicklungsteams mit dem Testen und Beheben beginnen, sollten Sie regelmäßig – etwa vierteljährlich oder monatlich – auf die KPIs schauen und bewerten, wie sich das Team entwickelt hat. Einige unserer Kunden erstellen sogar eine Rangliste, um ihre besten Teams zu feiern. Ganz gleich, wofür Sie sich entscheiden: Wenn Sie die Fortschritte Ihrer Teams reflektieren, können Sie sie motivieren und den Sicherheitsstatus immer besser im Blick behalten.

Ob Sie einige oder alle dieser Schritte und in beliebiger Reihenfolge umsetzen: Das zentrale Thema des gesamten Prozesses ist die Einbindung des Entwicklungsteams. Snyk wurde für Entwickler entwickelt, und wir möchten, dass sie das Tool gerne nutzen. Wenn sie bei der Einführung aktiv mitwirken, können Sie ihr Engagement während des gesamten Prozesses fördern und Ihre Anwendungen schneller sicherer machen.

Bleiben Sie sicher!