AppSec-Erfolg messen: Wichtige KPIs, die den Mehrwert belegen

In der Softwareentwicklung muss der Schutz des Softwareentwicklungslebenszyklus (SDLC) vor Cyberbedrohungen stets höchste Priorität haben. Ein Shift-Left-Ansatz setzt frühzeitig an und berücksichtigt Sicherheit von Anfang an. So können Ihre Entwicklungsteams mehr Zeit in Innovationen investieren und müssen sich weniger mit Schwachstellen beschäftigen. Doch das ist erst der Anfang. 

AppSec-Teams müssen CISOs und anderen Führungskräften außerdem zeigen, dass das AppSec-Programm wie vorgesehen funktioniert und geschäftlichen Mehrwert bietet. Deshalb ist es wichtig, transparent zu machen, wie AppSec-Investitionen Risiken reduzieren und das Unternehmen beim Erreichen seiner Geschäftsziele unterstützen. Den Erfolg von AppSec nachzuweisen, geht jedoch nicht über Nacht. Zunächst müssen Sie die richtigen KPIs und Kennzahlen ermitteln und erfassen, damit Führungskräfte und Stakeholder ein klares Bild davon erhalten, wie das Programm funktioniert. Anschließend müssen Sie diese Kennzahlen in eine überzeugende Geschichte übersetzen, die bei der Zielgruppe ankommt. 

In diesem Leitfaden erfahren Sie, wie Sie den Erfolg Ihres AppSec-Programms richtig messen und vermitteln können, damit Entscheider und Führungskräfte erkennen, dass sich die Investitionen in diesem Bereich weiterhin auszahlen.   

Wichtige Leistungskennzahlen (KPIs) für AppSec-Programme 

„Was man nicht messen kann, kann man nicht steuern“ – diese bekannte Geschäftsweisheit besagt, dass Sie Daten benötigen, um festzustellen, ob etwas funktioniert. Das gilt auch für AppSec: Quantifizierbare Kennzahlen können die Wirksamkeit von Sicherheitsmaßnahmen messen und Verbesserungsbereiche aufzeigen. Auf vier wichtige KPI-Kategorien sollten Sie sich konzentrieren:

1. Kennzahlen zur Risikoreduzierung

2. Teamabdeckung und Engagement

3. Trends bei der Anwendungssicherheit

4. Effizienz des Schwachstellenmanagements

Kennzahlen zur Risikoreduzierung

Kennzahlen zur Risikoreduzierung zeigen, wie Ihr Unternehmen die potenziellen Auswirkungen von Sicherheitsbedrohungen mindert. Zu den gängigen Kennzahlen gehören:

• Anzahl kritischer Schwachstellen: Erfasst die Anzahl kritischer Schwachstellen im Zeitverlauf. 

  • Ein erfolgreiches AppSec-Programm weist einen rückläufigen Trend auf. Das deutet darauf hin, dass Ihr Unternehmen weniger Bedrohungen mit hohem Risiko ausgesetzt ist.

• Behebungsrate von Schwachstellen: Misst, wie schnell Schwachstellen in einem festgelegten Zeitraum behoben werden.

  • Werden beispielsweise in einem Monat 120 Schwachstellen entdeckt und 60 davon behoben, beträgt die monatliche Behebungsrate 50 %. 

• Anteil von Anwendungen mit hohem Risiko: Misst den Anteil der Anwendungen, die für Geschäftsprozesse sensibel oder geschäftskritisch sind. 

  •  Diese Kennzahl hilft Ihnen dabei, Maßnahmen zur Behebung von Schwachstellen zu priorisieren – idealerweise, indem Sie zuerst Bedrohungen für Anwendungen mit hohem Risiko angehen.

• Sicherheitsschulden: Erfasst ungelöste Sicherheitsprobleme, die sich im Laufe der Zeit ansammeln. 

  • Je länger Sicherheitsprobleme ungelöst bleiben, desto größer ist das Risiko von Sicherheitsverletzungen oder Exploits. Wenn Sie diese Schulden erfassen, erhalten Sie ein Gesamtbild der Sicherheitslage Ihres Unternehmens. 

Teamabdeckung und Engagement

Kein AppSec-Team kann isoliert arbeiten. Um Bedrohungen wirksam zu reduzieren und die Sicherheit Ihres Unternehmens zu verbessern, müssen Teams aus verschiedenen Bereichen eingebunden werden. Wenn Sie die Beteiligung und das Engagement der einzelnen Teams messen, können Sie den Erfolg von AppSec belegen. Nützliche Kennzahlen sind unter anderem: 

• Anteil der Anwendungen, die Sicherheitstests unterzogen wurden: Erfasst den Anteil der Anwendungen, für die Sicherheitsbewertungen durchgeführt wurden.

  • Je höher dieser Anteil, desto besser – denn das deutet auf weniger potenzielle Lücken in der Abdeckung hin.

• Abschlussquote von Sicherheitsschulungen für Entwickler: Misst, wie viele Entwickler an Sicherheitsschulungen teilgenommen haben. 

  • Entwickler, die eine Sicherheitsschulung absolvieren, können sichere Programmierpraktiken besser umsetzen und ihre Arbeit so gegen Cyberbedrohungen absichern.  

• Sicherheitsbefunde pro Anwendung: Erfasst die Anzahl der pro Anwendung identifizierten Schwachstellen. 

  • Diese Kennzahl ist nicht immer leicht zu interpretieren: Eine hohe Zahl kann auf gründliche Tests hindeuten, aber auch darauf, dass Entwickler möglicherweise keine sicheren Programmierpraktiken anwenden.

• Mittlere Zeit bis zur Einbindung des Sicherheitsteams (MTSI): Misst, wie früh im Entwicklungslebenszyklus Sicherheitsteams eingebunden werden. 

  • Wenn Sicherheitsteams früher in den Entwicklungsprozess eingebunden werden, lassen sich Schwachstellen erkennen und beheben, bevor sie Probleme verursachen. 

Trends bei der Anwendungssicherheit

Wenn Ihr AppSec-Programm wie vorgesehen funktioniert, sollten sich die Trends im Laufe der Zeit positiv entwickeln. Um das festzustellen, müssen Sie bestimmte Kennzahlen erfassen, mit denen sich der Zustand Ihrer Sicherheit bewerten lässt. Dazu gehören:

• Anzahl offener Schwachstellen: Erfasst, wie gut AppSec mit der Behebung von Sicherheitsproblemen Schritt hält.  

  • Die Trendlinie sollte nach unten zeigen und damit auf eine im Laufe der Zeit sinkende Zahl offener Schwachstellen hindeuten. 

• Wiederauftretensrate von Schwachstellen: Misst, wie häufig dieselben Schwachstellen in Anwendungen erneut auftreten. 

  • Eine hohe Wiederauftretensrate deutet darauf hin, dass Sie bessere Sicherheitspraktiken für Entwickler oder strengere Testverfahren benötigen, damit dieselben Probleme nicht immer wieder behoben werden müssen. 

• Anteil der Anwendungen ohne bekannte Schwachstellen: Zeigt, wie gut es Ihrem Unternehmen gelingt, Schwachstellen in Anwendungen zu vermeiden. 

  • Ein hoher Anteil ist besser. Lassen Sie sich davon jedoch nicht in falscher Sicherheit wiegen: Keine bekannten Schwachstellen zu haben, schließt unbekannte oder noch unentdeckte Bedrohungen nicht aus. 

• Geschwindigkeit beim Einspielen von Sicherheitspatches: Misst, wie schnell ein Unternehmen Sicherheitspatches einspielt. 

  • Eine hohe Einspielrate zeigt, dass Ihr Unternehmen Schwachstellen proaktiv angeht und dadurch seine Sicherheitsrisiken verringert.

Effizienz des Schwachstellenmanagements

Bei dieser Kategorie geht es darum, wie effizient Ihr Unternehmen Schwachstellen findet und behebt. Eine höhere Effizienz steigert die Produktivität, weil Entwickler weniger Zeit mit der Behebung von Sicherheitsproblemen verbringen und sich stärker auf die Entwicklung besserer Software konzentrieren können. Wichtige Kennzahlen sind:

• Mean Time to Detect (MTTD): Misst die durchschnittliche Zeit von der Entstehung bis zur Entdeckung einer Schwachstelle. 

  • Kürzere Erkennungszeiten zeigen, dass Ihr Ansatz Probleme wirksam frühzeitig aufdeckt.

• Mean Time to Remediate (MTTR): Misst die durchschnittliche Zeit, die benötigt wird, um eine Schwachstelle nach ihrer Entdeckung zu beheben. 

  • Sinkende Behebungszeiten zeigen, dass Sie einen effizienten Prozess für das Schwachstellenmanagement entwickelt haben. Steigende Zeiten deuten darauf hin, dass Sie Ihren Prozess optimieren sollten. 

• Anteil der behobenen Schwachstellen nach Schweregrad: Misst, wie gut Ihr Unternehmen Schwachstellen nach ihrem Schweregrad priorisiert (z. B. kritisch, hoch, mittel). 

  • In einem gut optimierten Programm für das Schwachstellenmanagement werden Schwachstellen mit einem höheren Schweregrad zuerst behoben.

• Falsch-Positiv-Rate: Gibt den Anteil der gemeldeten Schwachstellen an, die keine tatsächliche Bedrohung darstellen.

  • Eine hohe Falsch-Positiv-Rate bedeutet, dass Ihre Teams wertvolle Zeit und Ressourcen für die Untersuchung und Behebung nicht vorhandener Schwachstellen aufwenden. In diesem Fall sollten Sie möglicherweise in bessere Testlösungen (z. B. SCA- und SAST-Tools) investieren und Ihre Sicherheitsprozesse optimieren.

Den ROI gegenüber Stakeholdern auf Führungsebene belegen

Für manche Teams ist der Einstieg in die Erfassung von Kennzahlen einfach. Schwieriger ist es, die Zahlen und die Erfolgsgeschichte Ihres AppSec-Programms so vor Führungskräften und Stakeholdern zu präsentieren, dass sie den Wert des Programms vollständig verstehen. Dafür müssen Sie die Kennzahlen sorgfältig übersetzen und eine überzeugende Geschichte entwickeln, die zeigt, wie AppSec dem Unternehmen dabei hilft, seine wichtigsten Geschäftsziele zu erreichen.  

Technische Kennzahlen in geschäftlichen Mehrwert übersetzen 

Was beschäftigt die meisten Führungskräfte? In der Regel geht es um Geschäftsergebnisse, die Einhaltung von Zeitplänen, Risikomanagement und darum, den geschäftlichen Erfolg der Angebote des Unternehmens sicherzustellen. Diese Entscheider mit Zahlen ohne Kontext zu überhäufen, ist nicht der beste Weg, ihre Aufmerksamkeit zu gewinnen. Zeigen Sie ihnen stattdessen die finanziellen Auswirkungen der Risikoreduzierung. Berechnen Sie außerdem, wie viel das Unternehmen durch die geringere Zahl kritischer Schwachstellen an Kosten im Zusammenhang mit Sicherheitsverletzungen einspart.

Führungskräfte möchten wissen, wie Sicherheitsmaßnahmen die betriebliche Effizienz verbessern. Heben Sie konkret hervor, wie viel Zeit Ihre AppSec-Initiative spart, indem sie Nacharbeiten in der Entwicklung reduziert und so die Markteinführung beschleunigt. Da Compliance zum Geschäftsalltag gehört, können Sie den geschäftlichen Mehrwert von Sicherheit zusätzlich unterstreichen, indem Sie zeigen, wie AppSec das Unternehmen bei der Einhaltung geltender Vorschriften (z. B. HIPAA, DSGVO, PCI-DSS usw.) unterstützt.

Überzeugende Erfolgsgeschichten rund um AppSec erzählen 

Ihr AppSec-Team erkennt möglicherweise Probleme zuverlässig und zählt Schwachstellen. Um den Wert Ihres Programms zu vermitteln, müssen Sie jedoch überzeugend erzählen können. Konzentrieren Sie sich zunächst auf die Ergebnisse. Stellen Sie nicht einfach nur die Anzahl der durchgeführten Sicherheitstests vor. Erläutern Sie stattdessen, wie diese Tests Schwachstellen aufgedeckt und Sicherheitsverletzungen verhindert oder dazu beigetragen haben, Zeitpläne für Produkteinführungen einzuhalten. 

Fallstudien eignen sich ebenfalls hervorragend, um Erfolge zu veranschaulichen. Zeigen Sie zum Beispiel, wie die rechtzeitige Behebung von Schwachstellen dem Unternehmen einen realen Vorfall erspart hat, der andere Branchenakteure getroffen hat. Diagramme, Grafiken und andere visuelle Hilfsmittel können Ihre Aussagen wirkungsvoll vermitteln – insbesondere, wenn Sie positive Trends wie eine sinkende MTTR aufzeigen. Stellen Sie schließlich immer den Zusammenhang dazu her, wie AppSec das Unternehmen dabei unterstützt, Umsatz zu steigern, die Marke zu schützen und Kundenvertrauen aufzubauen. 

Entwickeln Sie Ihre AppSec-Erfolgsgeschichte mit ASPM

Application Security Posture Management (ASPM) unterstützt erfolgreiche AppSec-Programme, indem es einen umfassenden Überblick über die Anwendungsumgebung bietet, relevante Kennzahlen zusammenführt und Schwachstellenmanagement mithilfe von Automatisierung ermöglicht. Erfahren Sie mehr im Whitepaper von Snyk und Accenture: Entwickler stärken, Risiken reduzieren: Wie ASPM DevSecOps voranbringt. 

Wir sind überzeugt, dass ASPM Unternehmen dabei hilft, die zahlreichen Herausforderungen im Bereich Anwendungssicherheit wirksam zu bewältigen. Snyk AppRisk ist ein developer-first ASPM-Tool, das AppSec-Teams die Transparenz, den Kontext und die Kontrolle bietet, die sie zur Verbesserung der Sicherheitslage benötigen. Demo buchen, um zu erfahren, wie Snyk AppRisk Risiken in Rekordzeit reduzieren kann.