Drei Überlegungen zum Aufbau eines wirksamen Sicherheitsprogramms

Dieser Gastbeitrag stammt von Alex Bovee, CEO und Mitgründer von ConductorOne, einem Unternehmen für Identitätssicherheit.

In der schnelllebigen und sich ständig wandelnden Technologielandschaft von heute ist der Aufbau eines wirksamen Sicherheitsprogramms für jedes Unternehmen entscheidend. Ich hatte das Privileg, Guy Podjarny, CEO und Mitgründer von Snyk, in All Aboard zu begrüßen, einem neuen Podcast von ConductorOne.

In unserem Gespräch ging es darum, Sicherheitskontrollen in einer Cloud-First-Umgebung zu skalieren, den Erfolg Ihres Sicherheitsprogramms zu messen und darum, wie sich die aktuellen makroökonomischen Bedingungen unserer Einschätzung nach auf das Kaufverhalten im Bereich Sicherheit auswirken werden.

Hier finden Sie einige Höhepunkte unseres Gesprächs. Die vollständige Folge hören Sie hier (auch verfügbar auf Apple Podcasts und Spotify).

Sicherheitskontrollen mit Shift Left skalieren

„Shift Left“ wurde wegen seiner Effizienz populär. Es ist hundertmal günstiger und effizienter, ein Problem in der Entwicklungsphase zu finden, als erst bei nachgelagerten Audits. Im Laufe des vergangenen Jahrzehnts hat sich die Geschwindigkeit der Softwareeinführung drastisch verändert, und „die Fähigkeit, mit Software Schritt zu halten, ist zunehmend auf der Strecke geblieben“, sagte Guy.

Die Umstellung auf dieses Modell war nicht einfach. Doch die versprochenen Effizienzsteigerungen und agileren, produktiveren Teams machten die kurzfristigen Schwierigkeiten lohnenswert. Letztlich wollen Entwickler und Führungskräfte etwas entwickeln und innovativ sein – und das schneller als die Konkurrenz. Sicherheitsteams sollten ihre Aufgaben aus dieser Perspektive betrachten. „Die besten Sicherheitsteams sehen sich als Plattform“, sagt Guy. „Sie haben Erfolg, indem sie Entwickler befähigen, schneller sichere Anwendungen zu entwickeln.“

Im Bereich Sicherheit lässt sich das Konzept der agilen Entwicklung damit vergleichen, Leitplanken und Kontrollen näher an den Zeitpunkt zu rücken, an dem Nutzer tatsächlich Entscheidungen treffen. „Sie helfen ihnen dabei, eine sichere Entscheidung zu treffen, oder verhindern, dass sie eine unsichere Entscheidung treffen können“, erklärt Guy. Sicherheitsteams müssen kreative Wege finden, ihr Wissen und ihre Fachkenntnisse in der Entwicklungspipeline zu verankern und Nutzer dabei zu unterstützen, geschäftlichen Mehrwert zu schaffen.

Den Erfolg Ihres Sicherheitsprogramms messen

Es gibt drei praktische Möglichkeiten, den Erfolg Ihres Sicherheitsprogramms zu messen:

1. Anhand messbarer KPIs (Leistungskennzahlen): Wie schnell reagieren Sie auf einen Vorfall? Wie viele später entdeckte Probleme wurden bereits im Vorfeld erkannt? Wie viele Personen oder Entwicklerteams waren tatsächlich eingebunden und haben erfolgreich getestet – und wie viele nicht? Wenn Sie Ihr Sicherheitsprogramm so aufbauen, wie es Ihrer Meinung nach am besten zu Ihrem Unternehmen passt, brauchen Sie verschiedene Möglichkeiten, um zu messen und zu überprüfen, ob es funktioniert.

2. Die Ergebnisse der Sicherheitskontrollen betrachten: Wie viele Schwachstellen gibt es? Wie schnell können Sie sie beheben? Die Ergebnisse zu prüfen ist sinnvoll, weil sie sich relativ leicht messen lassen und als Gradmesser für Ihre Sicherheitslage dienen. Das ist wichtig, denn ohne Ergebnisse gibt es auch keine KPIs zu diesem Vorfall.

3. Wirksamkeit – am schwierigsten zu messen, aber der beste Indikator: Wie gut schützt Ihr Sicherheitsprogramm vor Angreifern? Das lässt sich am schwersten messen. Am besten gelingt es durch externe Validierung. Wie viele Bug-Bounty-Berichte haben Sie erhalten? Wie viele Red Teams kommen zum Einsatz? Wie viele Probleme haben sie gefunden? Eine vollständige Abdeckung wird nie möglich sein – sie wäre zu teuer –, doch für Ihre sensibelsten Assets ist dies eine wirksame zusätzliche Stichprobe. Es geht darum, Risiken zu reduzieren. Wir prüfen aber auch, wie sich die Produktivität von Entwicklern steigern lässt: Wie schnell werden Probleme behoben?

Produktivität und Effizienz in den Mittelpunkt stellen

Sicherheitsteams entwickeln zunehmend selbst Software. Das von Netflix bekannt gemachte Konzept der „Paved Road“ besagt: Als Plattformteam schaffen Sie einen vorgezeichneten Weg mit allen richtigen Kontrollen und bewegen Teams dazu, diesem zu folgen. Entwickler können davon abweichen, müssen dann aber zusätzliche Anforderungen erfüllen und mehr Aufwand betreiben, um Sicherheit und Compliance eigenständig nachzuweisen.

Bei einem vorgezeichneten Weg ist es weniger wahrscheinlich, dass Nutzer sich für eine andere Lösung entscheiden. Bei modernen Lösungen wird eine reibungslose Nutzererfahrung immer wichtiger. Im Bereich Identitätssicherheit kommt es beispielsweise häufig wegen übermäßiger Berechtigungen zu Sicherheitsvorfällen. Warum? Weil es mühsam ist, Berechtigungen unternehmensweit nachzuverfolgen, zu prüfen und zu entziehen. So bleiben Berechtigungen und Zugangsdaten unkontrolliert bestehen. Ich habe ConductorOne mitgegründet, um dieses Problem anzugehen – ein Problem, das ich in den vergangenen zehn Jahren bei meiner Arbeit im Bereich Sicherheitsprodukte selbst erlebt habe.

Die aktuelle makroökonomische Lage sorgt außerdem dafür, dass es zu einem Konflikt zwischen dem Top-down-Drängen auf Konsolidierung und dem Streben nach Effizienz und Kostensenkung kommen wird. Letzteres begünstigt naturgemäß die Dezentralisierung. Guy sagt: „Ich denke, 2023 ist für viele Unternehmen ein Jahr der Ernüchterung.“

Der Kaufentscheidung wird es künftig noch mehr darauf ankommen, den Mehrwert sowohl im Hinblick auf die Risikoreduzierung als auch auf die Produktivitätssteigerung nachzuweisen. Praktische Tools, die mit weniger Aufwand mehr leisten oder sich besser integrieren lassen, werden bevorzugt.

Zurück zum Thema Messung und zum Mangel an etablierten Benchmarks: Guy merkt an: „In der Sicherheitsbranche gibt es nach wie vor viel Spielraum für subjektive Einschätzungen – mehr als in vielen anderen Branchen. Manchmal liegen die Leute richtig, manchmal nicht. Aber jetzt müssen wir uns alle ernsthaft damit auseinandersetzen. Das ist eine positive Entwicklung.“