Wie Dun & Bradstreet und Shutterstock erfolgreiche Security-Champions-Programme aufgebaut haben

Im vergangenen Monat haben wir eine Diskussionsrunde darüber veranstaltet, wie sich ein erfolgreiches Security-Champions-Programm aufbauen und skalieren lässt. Security Champions sind Entwickler, die ein Interesse an Sicherheit und einen Platz in der Entwicklung haben. Sie fungieren als Schnittstelle zwischen Entwicklungs- und Sicherheitsteams, um zusammenzuarbeiten und Wissen auszutauschen. Diese Programme können entscheidend dazu beitragen, kontinuierlich sichere Anwendungen in dem Tempo bereitzustellen, das das Unternehmen verlangt.

In dieser Session haben Nitin Bhargava (VP, Global Head of Product Security & Architecture bei Dun & Bradstreet) und Christian Bobadilla (Director, Product & Application Security bei Shutterstock) ihre Erfahrungen und Erkenntnisse aus den jeweiligen Programmen mit uns geteilt. Hier finden Sie einige Highlights und wichtige Erkenntnisse.

So gelingt „Shift Left“ in der Sicherheit

Shutterstock und Dun & Bradstreet verfolgen beide einen Shift-Left-Ansatz: Sie beziehen Entwickler entweder früher in den Sicherheitsprozess ein oder verlagern Sicherheit an den Anfang des Entwicklungsprozesses. Unabhängig vom Ansatz verfolgen sie zwei Ziele: dem gravierenden Mangel an Sicherheitsexperten entgegenzuwirken und die Sicherheit des Unternehmens zu stärken, indem sie engagierte Mitarbeitende finden und mit ihnen zusammenarbeiten.

Bei der Einführung eines Security-Champions-Programms hob Bhargava drei Aspekte hervor, auf die er sich bei Dun & Bradstreet konzentrierte:

• Erwartungen mit den Entwicklungsteams abstimmen: Sie müssen klar kommunizieren, was Sie von den Entwicklungsteams erwarten, wie viel Verantwortung sie übernehmen sollen und welcher Anteil ihrer Arbeitszeit für Security Champions vorgesehen ist. Anschließend müssen Sie Rollen und Verantwortlichkeiten klar vermitteln.

• Metriken erfassen: Wahrscheinlich haben Sie zunächst mit einem unverbindlichen Auftrag begonnen, ein Champions-Programm auszuprobieren. Wenn Sie es jedoch auf größere Teile des Unternehmens ausweiten möchten, benötigen Sie Metriken. Sie müssen dem Führungsteam die Frage beantworten können: „Welchen Mehrwert bietet dieses Programm?“

• Eine starke Community aufbauen: Eine kleine, eng verbundene Community ist entscheidend, damit die Mitglieder voneinander lernen und sich engagiert und motiviert für den Erfolg des Programms einsetzen.

Bei Shutterstock ging Bobadilla anders an den Aufbau des Programms heran: Er gestaltete es unterhaltsam und unkompliziert und organisierte Events und Aktivitäten wie ein Hacking Village, einen Escape Room und eine Schnitzeljagd. Dieser Ansatz bietet einige Vorteile:

• Einander kennenlernen: Entwickler lernen ihr Sicherheitsteam richtig kennen. Wenn sie Sicherheitsfragen besprechen oder Schwachstellen melden möchten, wissen sie, an wen sie sich wenden können, und fühlen sich dabei wohl, weil sie die Teammitglieder bereits in einem informellen Rahmen getroffen haben.

• Mit Spaß lernen: Neben dem Spaß lernen die Teilnehmenden Sicherheit ganz praktisch kennen. Die Events wecken ihre Neugier, und oft wenden sie sich später mit Fragen an das Team.

• Alle einbeziehen: Diese Events sind nicht nur für Entwickler gedacht. Auch andere Teams, etwa die Rechtsabteilung, werden zur Teilnahme und zum Lernen eingeladen. So entsteht eine Unternehmenskultur, in der alle die Bedeutung von Sicherheitsprinzipien schätzen.

Bei diesem unkomplizierten Ansatz geht es darum, den Teilnehmenden das Gefühl zu geben, dass es ein Privileg ist, Teil des Programms zu sein – und keine zusätzliche Pflicht.

Wirkung erzielen

Anschließend ging es um die Vorteile der Zusammenarbeit mit Security Champions aus den Entwicklungsteams. Bhargava erklärte, dass es ohne eine feste Ansprechperson so wirken kann, als würde man zu unterschiedlichen Zeiten mit unterschiedlichen Personen sprechen. Dadurch wird eine reibungslose und effektive Kommunikation erschwert. Eine Ansprechperson pro Team zu benennen, half Dun & Bradstreet hingegen beim Onboarding, bei Maßnahmen zur Behebung von Sicherheitsproblemen und bei der kontinuierlichen Einbindung.

Das Programm half dem Unternehmen außerdem dabei, Sicherheitsmaßnahmen im gesamten Unternehmen zu skalieren. Bhargava sagt: Wenn Sie die Zahl der Anwendungen in kurzer Zeit von 10 oder 20 auf Tausende erhöhen, muss Ihr Champions-Netzwerk als „Erweiterung des AppSec-Teams“ funktionieren.

Bei dem Versuch, Shutterstock kulturell zu verändern, beobachtete Bobadilla etwas Ungewöhnliches: Mitarbeitende begannen, Sicherheitsprobleme und Phishing-E-Mails freiwillig zu melden und das Sicherheitsteam einzubeziehen, wenn sie an einer neuen Idee oder Funktion arbeiteten. Zuvor war das nicht der Fall. Diese Veränderung zeigte, wie sich die Sicherheitskultur weiterentwickelt hatte.

Tipps für neue Security-Champions-Programme

Dun & Bradstreet und Shutterstock teilten nützliche Tipps für den Start eines neuen Security-Champions-Programms in Ihrem Unternehmen.

„Fangen Sie klein an und suchen Sie sich zumindest einige Partner oder Personen aus der Entwickler-Community, die sich wirklich für Sicherheit begeistern und interessieren“, sagt Bhargava.

Er ergänzt: „Legen Sie genau fest, was diese Personen erreichen sollen und wie viel Zeit dafür neben ihrer regulären Entwicklungsarbeit benötigt wird. Anschließend können Sie das Programm stärker formalisieren.“

„Wir sorgen dafür, dass die Mitarbeitenden vom ersten Tag an bei einer Sicherheitseinführung das Sicherheitsteam kennenlernen“, sagt Bobadilla.

„Beschränken Sie Sicherheitsevents nicht nur auf Entwickler. Wenn alle im Unternehmen teilnehmen können, werden Sie meiner Meinung nach feststellen, dass sich Mitarbeitende aus verschiedenen Teams für Sicherheit interessieren. Ihre Teilnahme wird das Unternehmen stärken“, ergänzt er.

Gemeinsam Verantwortung für Sicherheit übernehmen

Zum Abschluss teilten weitere Gäste der Diskussionsrunde ihre Erfahrungen mit Security-Champions-Programmen. Einigkeit bestand darin, dass ein Champions-Programm die Wahrnehmung verändert: Sicherheit wird angenommen statt vermieden. Diese Programme helfen Entwicklern auch dabei, Verantwortung für ihren Teil der sicheren Entwicklung zu übernehmen, sodass Entwicklungsteams langfristig selbstständig arbeiten können. Letztlich geht es darum, Sicherheit zu einem zentralen Bestandteil der Entwicklerkompetenzen zu machen – genauso wie Qualität und Leistung.

Weitere Informationen zu Security-Champions-Programmen finden Sie in unserem neuen Whitepaper: So bauen Sie ein Security-Champions-Programm auf.