Unternehmenssicherheit: Digitale Transformation und Risikomanagement bei Anheuser-Busch Inbev und Manulife

Während Unternehmen ihre digitale Transformation vorantreiben, ist es unerlässlich geworden, sichere Software schnell bereitzustellen. Dafür müssen sich Anwendungsrisiken über zahlreiche Projekte und Entwicklungsteams hinweg messen und verwalten lassen.

In diesem Beitrag stellen wir zwei aufschlussreiche Vorträge von der SnykCon 2021 zum Risikomanagement und zur Messung wichtiger Risikoindikatoren für Unternehmensanwendungen vor.

Risikoprofilierung von Unternehmensanwendungen

Der erste Vortrag kam von Alex Mor, Global Director of Application Security bei AB Inbev, einem multinationalen Getränke- und Brauereiunternehmen. Er sprach über die digitale Transformation in Unternehmen und deren Auswirkungen auf Cloud-native Anwendungen.

Laut Mor stehen Unternehmen heute vor der Herausforderung, dass Entwicklungsteams immer mehr neue Technologien und Anwendungen einsetzen und agile Methoden einführen. Daher benötigen viele Unternehmen einen einfacheren Ansatz, um das Risikoprofil ihrer wachsenden Technologie-Stacks und Softwareökosysteme zu bewerten.

Die Risikoprofilierung oder Risikobewertung von Anwendungen ist eine Aktivität des OWASP Software Assurance Maturity Model (SAMM). Sie hilft, die potenziellen geschäftlichen Auswirkungen eines Sicherheitsvorfalls besser zu verstehen und einzuschätzen, wie stark bestimmte Anwendungen Bedrohungen ausgesetzt sind.

Mor erläuterte einen dreistufigen Ansatz zur Modellierung von Anwendungsrisiken:

1. Statisch: Das Anwendungsrisiko wird anhand einer Reihe vordefinierter Fragen kategorisiert. Damit lässt sich feststellen, ob eine Anwendung öffentlich zugänglich ist, bestimmte Compliance-Anforderungen erfüllen muss, vertrauliche Daten verarbeitet und vieles mehr.

2. Dynamisch: Das Gesamtrisiko eines Anwendungsportfolios wird quantifiziert. Dabei wird unter anderem berücksichtigt, wie aktiv die Entwicklung ist, wie viele Nutzer es gibt, wo die Anwendungen gehostet werden und welche weiteren Eigenschaften sich verändern und weiterentwickeln.

3. In Echtzeit: Risiken werden bewertet, während sich Anwendungen im Laufe der Zeit verändern. Diese Stufe geht noch weiter und berücksichtigt Anwendungsarchitekturen, Dokumentation sowie weitere Risikobereiche, die sich ständig wandeln.

Die Bedrohungslage in Unternehmen ist naturgemäß dynamisch – insbesondere bei der Entwicklung von Cloud-native Anwendungen. Daher benötigen Sicherheitsteams unbedingt einen Echtzeitüberblick über Anwendungsrisiken. Diese helfen ihnen dabei, AppSec-Programme und andere sicherheitsbezogene Prozesse zur Risikominderung aufzubauen.

Im Rahmen der Risikoprofilierung nutzt AB Inbev Snyk, um die Anzahl der Schwachstellen in den eigenen Anwendungen zu ermitteln und zu verstehen, wie sich diese Sicherheitsprobleme auf das Risiko für das Unternehmen auswirken. Diese in Echtzeit gewonnenen Sicherheitseinblicke sind direkt in den Entwicklungsprozess integriert und helfen AB Inbev dabei, Risiken bei Unternehmensanwendungen einfacher zu bewerten und zu mindern.

Mit der Risikoprofilierung können wir unsere Maßnahmen priorisieren und zuerst die Anwendungen mit hohem Risiko schützen. Gleichzeitig müssen wir auch die Anwendungen mit geringem Risiko im Blick behalten und alle paar Monate überprüfen.

Sehen Sie sich den Vortrag von Mor zur Risikoprofilierung von Unternehmensanwendungen auf der SnykCon 2021 an.

Schwachstellenmanagement in Unternehmen mit KRIs

Der nächste Vortrag wurde von David Matousek gehalten, Director und Lead Technical Product Owner of Cybersecurity Engineering bei Manulife, einem führenden Finanzdienstleister. Er sprach darüber, wie sich mit wichtigen Risikoindikatoren (KRIs) ein wirksames Schwachstellenmanagement erreichen lässt.

Matousek sprach mit den Entwicklungs-, Sicherheits- und Produktteams von Manulife, um der Frage auf den Grund zu gehen: Warum ist es so schwierig, Anwendungen vor Open-Source-Schwachstellen zu schützen? Jedes Team hatte eigene Herausforderungen, doch fehlender Einblick in die Anwendungssicherheit war ein Problem, das alle betraf.

KRIs, die Kennzahlen zur Anwendungssicherheit erfassen, schaffen unternehmensweit Klarheit und Transparenz. Manulife erfasst zum Beispiel den Prozentsatz der Anwendungen mit Schwachstellen im Open-Source-Code, die innerhalb eines bestimmten Zeitraums gemäß den Governance-Richtlinien des Unternehmens nicht behoben wurden.

Laut Matousek hat Manulife drei Maßnahmen ergriffen, um Open-Source-Schwachstellen zu reduzieren:

• Governance: Manulife legt klare Fristen für die Behebung von Schwachstellen fest, abhängig von ihrem Schweregrad und der Anwendungsumgebung.

• Überwachung:Manulife erfasst Open-Source-Schwachstellen mithilfe der Enterprise-Reporting-Funktionen von Snyk und macht sie als globale KRIs sichtbar.

• DevSecOps-Toolteam: Manulife hat ein globales DevSecOps-Team gegründet, das Entwicklungsteams dabei unterstützt, Snyk in ihre sicheren Entwicklungsprozesse einzubinden.

Diese Strategien haben ein wirksames System zur Überwachung von Code-Schwachstellen geschaffen, das Entwicklungs-, Sicherheits- und Produktteams einen besseren Einblick in Anwendungsrisiken bietet. So kann Manulife Open-Source-Schwachstellen effizient erkennen und beheben und die Sicherheitslage seiner Anwendungen verbessern.

Wir möchten unsere KRIs zur Anwendungssicherheit erweitern, damit sie mehr als nur Schwachstellen im Open-Source-Code erfassen. Geplant sind auch Schwachstellen im statischen Anwendungscode, Zugangsdaten und Geheimnisse im Code, Schwachstellen in Image-Artefakten und mehr. So können wir das Risiko jeder Anwendung genauer messen.

Sehen Sie sich Matouseks Vortrag Mit KRIs wirksame Praktiken für das Schwachstellenmanagement in Unternehmen vorantreiben auf der SnykCon 2021 an.

Mehr Sicherheit für Unternehmen

Durch die Risikoprofilierung und das Erfassen von KRIs erhalten Unternehmen einen umfassenderen Einblick in die Sicherheitslage ihrer Anwendungen. Insbesondere können Mors Empfehlungen zur Bewertung von Anwendungsrisiken und Matouseks Ansatz für das Schwachstellenmanagement die Anwendungssicherheit deutlich verbessern. Ein besserer Überblick über Anwendungsrisiken hilft Sicherheits- und Entwicklungsteams, ihre Maßnahmen besser zu priorisieren und sichere Unternehmenssoftware schneller bereitzustellen.

Möchten Sie mehr über Unternehmenssicherheit erfahren? Lesen Sie unseren ausführlichen Beitrag zuBest Practices für die Unternehmenssicherheit und das Management von Schwachstellen in großem Maßstab.