Starke Sicherheit in der Lieferkette beginnt mit sicherer Software

Warum die Verwendung eines sicheren Anwendungsentwicklungs-Frameworks wichtig ist

In den letzten Jahren sind Angriffe auf die Lieferkette häufiger denn je geworden, so dass die Sicherheit der Lieferanten für viele Unternehmen zu einem wichtigen Thema geworden ist. Heute sind MSPs in einer Position, in der sie feststellen müssen, wie sicher ihre vorgelagerten Lieferanten sind, um ihr Geschäft und ihre nachgelagerten Kunden zu schützen.

Wie kann das passieren? Viele dieser Angriffe werden durch Schwachstellen in den Software-Sicherheitsentwicklungsprozessen ermöglicht. Viele Anwendungen werden heutzutage mit Blick auf Geschwindigkeit, Leistung und Benutzerfreundlichkeit entwickelt, so dass Flexibilität Vorrang vor Sicherheit hat. Aus diesem Grund wird die Sicherheit bei der Anwendungsentwicklung oft vernachlässigt, doch die Anwendungsschicht ist nach wie vor ein leichtes Ziel, wie die Mehrzahl der Angriffe auf sie zeigt. Laut einem kürzlich vom Cyentia Institute in Auftrag gegebenen Forschungsbericht sind 56 % der größten Vorfälle der letzten 5 Jahre auf irgendeine Form von Sicherheitsproblemen bei Webanwendungen zurückzuführen...". In der Tat sind viele aufsehenerregende Sicherheitsverletzungen heute eine direkte Folge der folgenden Angriffe auf Webanwendungen:

• Sicherheitslücken bei Zugriffskontrollen – Wenn ein unbefugter Benutzer oder Hacker Zugriff erhält, um Inhalte zu ändern oder zu löschen, oder – schlimmer noch – die vollständige Kontrolle über eine Webanwendung erlangt.
• Injection- und Cross-Site-Scripting-Angriffe – Dabei wird bösartiger Code in eine Webanwendung eingeschleust, was häufig zu Datenverlust, Datenlöschung, Denial-of-Service-Angriffen oder sogar zur vollständigen Kompromittierung des Systems führt.
• Serverseitige Request-Forgery-Schwachstellen – Hierbei bringt ein Angreifer eine Webanwendung dazu, eine Serverantwort an ein anderes oder unbekanntes Ziel zu senden und dabei Firewalls oder Zugriffskontrolllisten zu umgehen.
• Nicht gepatchte, nicht unterstützte und veraltete Anwendungen – Im Laufe der Zeit finden Hacker selbst in den robustesten Anwendungen Schwachstellen, die sie ausnutzen können. Daher ist es unerlässlich, sicherzustellen, dass Anwendungen und Managementsysteme unterstützt werden und auf dem neuesten Stand sind.

Es ist klarer denn je, dass Softwareanwendungen heute für den Betrieb von IT-Dienstleistern entscheidend sind. Die meisten Anwendungen haben Zugriff auf wertvolle Daten, weshalb der Schaden, der durch die Ausnutzung einer unsicheren Webanwendung entsteht, enorm sein kann. Ganz gleich, ob es sich um RMM oder eine Business-Continuity-Lösung handelt, wir dürfen nicht unterschätzen, wie wichtig es ist, sicherzustellen, dass die Anwendungen mit Blick auf die Sicherheit entwickelt werden.

Datto hat das Building Security in Maturity Model (BSIMM) übernommen

Für Datto stand Sicherheit schon immer an erster Stelle. Im Rahmen unseres Engagements für den Schutz von MSPs und deren Kunden haben wir uns zum Ziel gesetzt, den Channel Security Gold Standard für Software-Lieferketten zu definieren. Daher halten wir während des gesamten Softwareentwicklungszyklus ein hohes Sicherheitsniveau aufrecht und bewerten und verbessern unsere Anwendungsentwicklungsprozesse ständig, um den höchsten Sicherheitsstandards zu entsprechen.

Da die Sicherheit der Lieferkette immer wichtiger wird, betrachten wir die Sicherheit der Anwendungsentwicklung als eine notwendige und strategische Komponente unseres Geschäfts und haben daher das BSIMM-Framework übernommen, um unser Engagement als sicherer Anbieter und Partner gegenüber der Channel-Community zu demonstrieren.

Was ist BSIMM?

Das Building Security In Maturity Model (BSIMM) ist eine Studie über aktuelle (zeitpunktbezogene) Software-Sicherheitsinitiativen, die die Entwicklung der Anwendungssicherheit (appsec) quantifiziert. BSIMM hilft Unternehmen bei der Planung, Implementierung und Messung ihrer Software-Sicherheitsinitiativen. Eine BSIMM-Bewertung bietet eine objektive, datengestützte Bewertung zu einem bestimmten Zeitpunkt, so dass Entwickler die Sicherheit ihrer Anwendungen kontinuierlich verbessern können.

Die BSIMM-Beobachtungen stützen sich auf ein Rahmenwerk aus 12 Praktiken zur Softwaresicherheit, die in vier Bereiche unterteilt sind: Governance, Intelligence, SSDL-Touchpoints und Deployment. Dieses Rahmenwerk umfasst derzeit 122 einzelne Aktivitäten, die sich auf drei Reifegrade verteilen. Der Bereich Governance umfasst beispielsweise Aktivitäten, die zu den Praktiken der Organisation, des Managements und der Messung einer Softwaresicherheitsinitiative gehören.

Warum haben wir uns für BSIMM und nicht für andere Frameworks entschieden?

• BSIMM ist der weltweite Maßstab für Softwaresicherheit: Es gibt zwar zahlreiche Rahmenwerke für Anwendungssicherheit, doch BSIMM ist das einzige, das es Unternehmen ermöglicht, den Reifegrad ihres Anwendungssicherheitsprogramms im Vergleich zu anderen führenden Programmen formal zu bewerten – und dabei auf reale Beobachtungsdaten einer neutralen Stelle zurückzugreifen.
• BSIMM ist stets aktuell: Das Modell wird jährlich auf einzigartige Weise aktualisiert, basierend auf der kontinuierlichen Beobachtung der BSIMM-Aktivitäten der teilnehmenden Unternehmen.
• BSIMM liefert unabhängige Bewertungsdaten: So können wir unseren Kunden, Partnern und Aufsichtsbehörden den Stand der Softwaresicherheit anhand unabhängiger, quantitativer Daten verdeutlichen.
• Die BSIMM-Community: Durch unsere Teilnahme an BSIMM haben wir direkten Zugang zu Ressourcen, Community-Mitgliedern und jährlichen Konferenzen, die es uns ermöglichen, über die neuesten und wichtigsten Trends im Bereich Anwendungssicherheit auf dem Laufenden zu bleiben, gemeinsam an der Lösung technischer Herausforderungen zu arbeiten und zur Verbesserung der Praktiken im Bereich Anwendungssicherheit insgesamt beizutragen.

Datto nimmt Spitzenplatz ein

Datto weiß, dass eine sichere Anwendungsentwicklung für die Gesamtsicherheit eines Unternehmens von entscheidender Bedeutung ist, und hat sich daher verpflichtet, das BSIMM-Benchmark-Tool und -Framework für Software-Sicherheit zu implementieren.

Bei der ersten BSIMM-Bewertung für Datto RMM (Remote Monitoring and Management) erreichte Datto eine hervorragende Platzierung, die nur von 128 der branchenweit sichersten App-Entwickler erreicht wurde, die bei führenden IT-Unternehmen, Finanzinstituten und Fortune-500-Unternehmen eingesetzt werden.

Zusammenfassung der Datto RMM-Bewertung

• Die Ergebnisse von Datto übertrafen das ursprüngliche Ziel und erreichten in 8 der 12 Verfahren eine überdurchschnittliche Punktzahl
• Platz unter den besten 20 % der Unternehmen, die sich der ersten Bewertung unterzogen haben
• Das Unternehmen rangiert unter den Top 5 der Firmen, deren Software-Sicherheitsgruppe weniger als zwei Jahre alt ist
• Datto führt die wichtigste Einzelmaßnahme zur Verbesserung der Softwaresicherheit durch: Es verfügt über eine spezielle SSG, die Ressourcen beschaffen und organisatorische Veränderungen vorantreiben kann.

Im Vergleich zu den durchschnittlichen Spitzenwerten aller BSIMM12-Teilnehmer liegt Datto in den Bereichen Strategie & Metriken, Compliance & Richtlinien, Schulung, Angriffsmodelle, Code-Review, Sicherheitstests, Penetrationstests sowie Konfigurationsmanagement & Schwachstellenmanagement über dem Durchschnitt. In den Bereichen Standards & Anforderungen und Softwareumgebung liegt Datto nahe am Durchschnitt. Die Ergebnisse dieser Beobachtung zeigen auch, dass die zukunftsorientierten Pläne und Prioritäten von Datto gut mit den Empfehlungen und Anleitungen von BSIMM übereinstimmen, um eine gut abgerundete Software-Sicherheitsinitiative zu verfolgen.

"Datto führt die wichtigste Aktivität im Zusammenhang mit der Verbesserung der Softwaresicherheit durch: Es hat eine spezielle Softwaresicherheitsgruppe, die Ressourcen erhalten und organisatorische Veränderungen vorantreiben kann."

Diese erste Bewertung ist ein Beleg für das kontinuierliche Engagement von Datto im Bereich der sicheren Code-Entwicklung und ein Beweis dafür, dass Datto der einzige IT-Anbieter ist, der sich der MSP-Community verschrieben hat und nicht nur die BSIMM-Validierung erhalten hat, sondern auch diese BSIMM-Bewertung erreicht hat.

Es war noch nie so wichtig, fundierte Entscheidungen über Sicherheitssoftware zu treffen, und es hat sich gezeigt, dass dies so entscheidende Auswirkungen auf die nachgelagerten Bereiche hat.

Kontaktieren Sie uns, um mehr über die BSIMM-Bewertung von Datto zu erfahren.