Wie MongoDB ein erfolgreiches Security-Champions-Programm aufgebaut hat

Vor Kurzem haben wir mit Amy Berman, Leiterin für strategische Security-Operations bei MongoDB, über die Rolle von Security Champions in ihrem Unternehmen gesprochen. Für alle, die mit dem Konzept noch nicht vertraut sind: Security Champions sind Entwicklerinnen und Entwickler mit Interesse an Security, die die Zusammenarbeit zwischen Entwicklungs- und Security-Teams fördern können.

Lesen Sie weiter und erfahren Sie mehr über Bermans Erkenntnisse zum Aufbau eines erfolgreichen Security-Champions-Programms bei MongoDB und darüber, wie dort ein Bewusstseinswandel angestoßen wurde, damit Application Security angenommen statt vermieden wird.

Engagierte Security Champions gewinnen

Als MongoDB mit dem Aufbau seines Security-Champions-Programms begann, hatte das Unternehmen ein klares Ziel vor Augen. Berman fragte: „Wie können wir Entwicklerinnen und Entwickler frühzeitig beeinflussen und weiterbilden, statt erst dann, wenn ein Vorfall eintritt?“ Dem Team für strategische Security-Operations bei MongoDB war klar, dass die erste Herausforderung beim Aufbau des Programms darin bestehen würde, Security Champions zu gewinnen und ihr Engagement für das Programm zu fördern. Hier erfahren Sie, was laut Berman gut funktioniert hat.

Transparenz

Bermans Team erkannte, dass die Unterstützung durch die Führungsebene entscheidend sein würde, um in den verschiedenen Abteilungen Security Champions zu gewinnen. „Die Kommunikation war enorm wichtig“, sagte Berman. „Deshalb haben wir die damit verbundenen Verpflichtungen erläutert, etwa formelle Meetings und weitere Anforderungen im Laufe des Quartals, und die Führungskräfte haben das Programm bei unternehmensweiten All-Hands-Meetings vorgestellt.“ Da Entwicklerinnen und Entwickler die Zustimmung ihrer Führungskraft benötigen, um sich zu beteiligen, muss klar sein, welcher Zeitaufwand mit der Rolle als Security Champion verbunden ist.

Exklusivität

Neben transparenter Kommunikation über die Erwartungen an Security Champions legte Bermans Team Wert darauf, die Teilnahme am Programm als etwas Besonderes zu gestalten. „Wir achten immer darauf, mit den Security Champions zusammenzuarbeiten und sie zuerst über Neuigkeiten zu informieren“, erklärte Berman. Security Champions fühlen sich dadurch nicht nur als Teil einer exklusiven Gruppe, sondern sind auch entscheidend, um frühzeitig Feedback zu neuen Security-Initiativen einzuholen. Außerdem sind sie von unschätzbarem Wert, wenn es darum geht, diese neuen Maßnahmen nichttechnischen Teams zu erklären. Berman ergänzte: „Sie erhalten Einblicke und können dem Security-Team Feedback geben, bevor es Maßnahmen im gesamten Unternehmen einführt.“

Anreize

Viele Security-Champions-Programme sind erfolgreich, indem sie einfach kostenlose Werbegeschenke anbieten. Bermans Team setzte jedoch auch auf Wahlfreiheit als wichtigen Anreiz. Teilnehmende am Programm konnten jedes Quartal selbst entscheiden, welche Security-Veranstaltungen sie besuchen wollten. „Wenn Menschen die Themen selbst auswählen, die sie interessieren, sind sie viel stärker eingebunden und engagiert“, erklärte Berman. „Ich glaube, Wahlfreiheit hat eine große Wirkung.“ MongoDB bietet zwar ein Punktesystem, mit dem man durch das Finden von Schwachstellen oder das Teilen hilfreicher Security-Erkenntnisse Prämien sammeln kann, doch das ist zweitrangig gegenüber der Idee, Security Champions die Freiheit zu geben, sich bei den Themen einzubringen, die sie am meisten interessieren.

Eine positive Security-Kultur schaffen

Laut Berman gibt es zwei Arten von Security-Kultur: eine positive und eine negative. „Wir möchten eine positive Security-Kultur schaffen“, erklärte Berman. „Unser Security-Team soll ein echter Partner sein.“ Deshalb können Entwicklerinnen und Entwickler, Produktmanagerinnen und Produktmanager sowie weitere Personen bei MongoDB die zukünftige Security-Roadmap mitgestalten. So entsteht eine gemeinsame Verantwortung dafür, die Sicherheitslage ihrer Anwendungen zu verbessern.

Berman zufolge ist es ein großer Vorteil, das Bewusstsein für Security und die Verantwortung dafür im Unternehmen zu verankern: So kann das Security-Team ein großes und wachsendes Unternehmen besser unterstützen. „Wir haben nicht genug Ressourcen, um alles abzudecken“, erklärte Berman, „aber das Feedback der Security Champions hilft uns, unsere Maßnahmen zu priorisieren.“ Berman ist außerdem überzeugt, dass sich das Security-Team nicht allein auf Technologie verlassen kann. Um Cybersicherheit langfristig skalieren zu können, muss das menschliche Risiko durch eine positive Security-Kultur reduziert werden.

Das Security-Champions-Programm von MongoDB heute

Im vergangenen Jahr ist das Security-Champions-Programm von MongoDB auf 90 Mitglieder aus 45 verschiedenen Abteilungen an 25 Standorten angewachsen. Damit das Programm nachhaltig ist und das Bewusstsein für Security weiter stärkt, hat MongoDB eine eigene Rolle geschaffen, die sich künftig um die Verwaltung und den Ausbau des Programms kümmert.

Konkret konzentriert sich das Programm von MongoDB auf die Cybersicherheitsbildung und Interessenvertretung für Teams außerhalb des Security-Bereichs. Durch den unternehmensweiten Umfang und die inhaltliche Tiefe des Security-Champions-Programms wird Security mittlerweile in allen Bereichen des Unternehmens berücksichtigt.

Weitere Informationen zu diesen Programmen finden Sie in unserem aktuellen Whitepaper zuSo bauen Sie ein Security-Champions-Programm auf. Wenn Sie mehr über eine weitere Erfolgsgeschichte mit Security Champions erfahren möchten, lesen Sie unseren kürzlich veröffentlichtenRoundtable mit Dun & Bradstreet und Shutterstock.