Die Entwicklung von Dattos Anwendungssicherheitsprogramm und BSIMM
Sicherheit war und ist nach wie vor einer der Schwerpunkte von Datto bei unseren Bemühungen, unseren Partnern erstklassige Lösungen anzubieten. Da Sicherheit nicht isoliert gewährleistet werden kann, sondern das Engagement und den Einsatz des gesamten Unternehmens erfordert, sind wir stets bestrebt, Möglichkeiten zur Verbesserung der Zusammenarbeit mit allen Beteiligten zu finden. Das bedeutet, dass wir zu jedem Zeitpunkt zahlreiche Sicherheitsinitiativen und -verbesserungen vorantreiben, die kontinuierlich weiterentwickelt und neu priorisiert werden. Agilität ermöglicht es uns, flexibel zu bleiben und offen für die Sicherheitsbedürfnisse unserer Partner und der Community zu sein. Im Rahmen dieser Bemühungen hat Datto kürzlich sein Programm zur Offenlegung von Sicherheitslücken (Vulnerability Disclosure Program, VDP) aktualisiert, worüber ich hiergeschrieben habe. Angesichts des Zeitpunkts und des Themas hielt ich dies auch für eine gute Gelegenheit, einen kleinen Einblick in die Geschichte einer unserer wegweisendsten Initiativen im Bereich Sicherheit bei Datto zu geben.
Der Weg zur Entwicklung sicherer Produkte mit einem erstklassigen Framework
Im Jahr 2019 machten sich mehrere Ingenieure bei Datto auf den Weg, unser „Building Security In Maturity Model“ (BSIMM) umzusetzen. Mit zwei festangestellten Sicherheitsingenieuren und einem Sicherheitsarchitekten begannen wir, nach einem Weg zu suchen, das Anwendungssicherheitsprogramm von Datto ganzheitlich, sinnvoll, strukturiert und messbar zu verbessern. Wir entschieden uns dafür, BSIMM zunächst als Inspiration zu nutzen. Im Sinne unserer agilen Kultur suchten wir nach leicht umsetzbaren Maßnahmen, die sich positiv auf die Sicherheit unserer Produkte auswirken würden. Dies war ein wichtiger erster Schritt, da er uns nicht nur die Zeit gab, BSIMM zu verstehen, sondern auch damit zu beginnen, Verbesserungspotenziale zu identifizieren und zu dokumentieren. Dadurch konnten wir anschließend den Umfang und die Größenordnung einiger der Aufgaben erfassen, die wir sowohl erledigen mussten als auch erledigen wollten. Als diese Arbeit an Fahrt gewann, schaltete sich unsere Programmmanagerin Emilyann Fogarty ein und trug dazu bei, das Programm bekannt zu machen, Aufklärungsarbeit zu leisten und Unterstützung dafür zu gewinnen.
Parallel zu unserer Arbeit am BSIMM haben wir weitere Frameworks für die Anwendungssicherheit für unseren Einsatz evaluiert, darunter NIST und OWASP Open SAMM. Wir erkennen zwar den Wert dieser Frameworks und werden wahrscheinlich Elemente davon in das Anwendungssicherheits-Framework von Datto integrieren, doch führen sie zu einer Selbstzertifizierung und bieten keine Möglichkeit einer unparteiischen Bewertung durch Dritte. Diese anderen Frameworks sind zudem statischer Natur, während sich die Sicherheitslandschaft rasant verändert. BSIMM behält seine Relevanz und wird kontinuierlich gepflegt – mit jährlichen Aktualisierungen, die neue Funktionen umfassen, die einige der weltweit besten Sicherheitsprogramme zum Schutz ihrer Anwendungen einsetzen.
Zu diesem Zeitpunkt hielten wir es für unzureichend, ein Framework zu nutzen, das nicht proaktiv wichtige Sicherheitsfunktionen und -praktiken identifiziert und hervorhebt. Da wir im Namen der MSP-Community höchste Ansprüche an uns selbst stellen, haben wir uns für das einzige Framework entschieden, das ein Höchstmaß an verifizierbarer Sicherheit durch die Bewertung durch Dritte bietet. Mit dem Abschluss einer BSIMM-Bewertung würde Datto zu einer Gruppe von mehr als 120 sicherheitsbewussten Unternehmen gehören, die überwiegend aus dem Technologie- und Finanzsektor stammen, darunter Cisco und Paypal, und die durch ihre Teilnahme dazu beitragen, den Standard zu setzen. Datto wäre damit auch der erste und bisher einzige Anbieter, der zu 100 % auf den IT-Channel ausgerichtet ist und Mitglied dieser Gruppe wird.
Mit Emilyanns Hilfe und einem klareren Verständnis unserer Ziele mit BSIMM begannen wir, unser BSIMM-Programm über den Rahmen unserer einzelnen Produkte hinaus zu definieren und aufzubauen. Zunächst starteten wir den Aufbau unseres „Satelliten“, indem wir innerhalb der Software-Engineering-Abteilungen von Datto nach Freiwilligen suchten. Dies war der Beginn unseres „Security Champion“-Programms. Um diese Gruppe von Mitarbeitern zu unterstützen und zu befähigen, haben wir eine Gruppe von Führungskräften aus dem Engineering-Bereich zusammengestellt, die schließlich den Kern unserer Software-Sicherheitsgruppe bildeten. Diese Gruppe hatte die Aufgabe, das BSIMM-Programm mitzugestalten und zu beaufsichtigen.
Es war mir eine Ehre, Anfang 2020 zu einem der ersten „Security Champions“ ernannt zu werden. Durch meine Einbindung in das „ Autotask Professional Services Automation (PSA) “ von Datto hatte ich die Gelegenheit, mitzuerleben, wie unser Netzwerk von „Security Champions“ wuchs. Was mit nur drei Mitgliedern des Sicherheitsteams begann, entwickelte sich schnell zu einem Netzwerk von weit über 30 „Security Champions“, DevSecOps-Mitarbeitern sowie weiteren Freiwilligen und festangestellten Mitarbeitern, die – wie ich mit Stolz sagen kann – in jedem einzelnen unserer Produkte eingebunden und verteilt sind. Dieser Teil unseres Programms hat einen solchen Reifegrad erreicht, dass – obwohl Infocyte erst vor kurzem von Datto übernommen wurde – die Einbindung eines dedizierten „Security Champions“ bereits in die ersten Due-Diligence- und Planungsprozesse der Partnerschaft einbezogen wurde.
Die nächste Generation der Anwendungssicherheit bei Datto
Als der Umfang und das Ausmaß von Datto's Application Security-Initiative weiter wuchs, wurde klar, dass wir ein zentralisiertes Team brauchten, das uns bei der Koordinierung dieser sich beschleunigenden Sicherheitsarbeit hilft. Datto hat nun eine eigene Abteilung für Anwendungssicherheit eingerichtet. Die Abteilung für Anwendungssicherheit existierte zwar bereits innerhalb von Datto, wurde aber mit der Abteilung für Offensive Sicherheit zusammengelegt, so dass das Team sowohl für die Anwendungssicherheit als auch für die Offensive Sicherheit zuständig war. Als Datto weiter wuchs und die Arbeit an Application Security und BSIMM weiter zunahm, wurde die Notwendigkeit deutlich, Application Security in eine eigene Abteilung aufzuteilen. Diese Umstrukturierung ermöglichte es dem Team für Offensive Sicherheit, sich auf sehr spezifische Aktivitäten wie Pentesting, Red Teaming, Exploit R&D und Social Engineering zu konzentrieren. Außerdem konnte sich die Abteilung für Anwendungssicherheit nun ausschließlich darauf konzentrieren, unsere Produkte bei der Erstellung sicherer Software zu unterstützen, indem sie Sicherheitspraktiken in alle Phasen des Softwareentwicklungszyklus (SDLC) einbettet.
Nachdem ich die Entwicklung unseres BSIMM-Programms und unseres Satellitenteams von Security Champions beobachtet und mitgestaltet habe, war ich hocherfreut, dass man mich gebeten hat, das neue Team für Anwendungssicherheit zu leiten und zu formalisieren. Mit meiner langjährigen Erfahrung in unserem Offensive Security Team, meiner Erfahrung im Software Engineering und meiner Zeit als Security Champion bei PSA habe ich die Aufgabe, Datto und unsere Produkte dabei zu unterstützen, ein hohes Maß an Sicherheitsreife für alle unsere Produkte zu erreichen und zu erhalten. Zusätzlich zu diesem Übergang wurde Datto's VDP auch in die Verantwortung unserer Abteilung für Anwendungssicherheit überführt und es begannen Diskussionen darüber, wie die internen VDP-Prozesse verbessert werden können und wie die Zukunft des Programms aussehen könnte.
Inwiefern sind all diese Informationen zur Anwendungssicherheit für den VDP relevant? Das bereits erwähnte Netzwerk von Security Champions ist nun direkt für die Unterstützung des Anwendungssicherheitsteams bei allen sicherheitsrelevanten Initiativen verantwortlich. Sie sind auch in ihren eigenen Teams befugt, ihre eigenen Sicherheitsinitiativen mit Unterstützung unseres Anwendungssicherheitsteams und der technischen Leitung voranzutreiben.
Ein externes VDP oder Bug Bounty Program (BBP) ist eine neue BSIMM-Aktivität der Stufe 3, die zum ersten Mal in Version 12 des Frameworks eingeführt wurde. Dank unserer proaktiven und kontinuierlichen Bemühungen, die Zusammenarbeit im Bereich Sicherheit zu verbessern, hatten wir bereits ein VDP eingerichtet. Aufgrund unserer Reife in diesem Bereich wurde ich eingeladen, auf der BSIMM-Konferenz 2021 in einem Expertengremium speziell zu diesem Thema zu sprechen, zusammen mit Experten von Yahoo und Lenovo.
Validierung von Drittanbietern
Die Ausweitung der Rolle und der Zuständigkeiten unserer Abteilung für Anwendungssicherheit war eine logische Folge unseres Engagements, unsere Abwehrmaßnahmen zum Schutz von Datto und unseren MSP-Partnern anzupassen. Das Informationssicherheitsteam von Datto beobachtete die sich wandelnde Bedrohungslage im IT-Channel in den Jahren 2018 und 2019 sehr genau und hatte bereits vorausgesehen, dass Software-Sicherheitsangriffe auf Anbieter in der MSP-Lieferkette zu einem größeren Problem werden würden. Die Maßnahmen, die wir in den vergangenen anderthalb Jahren ergriffen haben, bereiteten uns auf ein feindseligeres Umfeld vor, das sich 2021 voll entfaltete – einJahr, das wir als„das Jahr der Angriffe auf dieMSP-Lieferkette“ bezeichnen. Inmitten des Chaos im Channel gipfelten unsere Vorbereitungen für nachweisbare Softwaresicherheit in der Durchführung unserer ersten formellen BSIMM-Bewertung, die von Synopsys für das RMM von Datto durchgeführt wurde.
Obwohl es sich um ein neues Programm und eine neue Abteilung handelt, zeigten die Ergebnisse der RMM-Bewertung, dass Datto einen Reifegrad aufweist, der dem von Unternehmen entspricht, deren Software-Sicherheitsprogramme bereits seit 5,7 Jahren laufen. Das war eine enorme Leistung, und obwohl ich mir wünschen würde, dass die Abteilung für Anwendungssicherheit den ganzen Ruhm dafür einheimsen könnte, sieht die Realität so aus, dass unsere Produkte bereits viele sicherheitsrelevante Maßnahmen und Best Practices umsetzten, um „das Richtige zu tun“ und die Vertraulichkeit, Integrität und Verfügbarkeit unserer Partner und ihrer Daten zu schützen.
Doch damit nicht genug. Im Dezember 2021 haben wir eine Bewertung von Datto Networking durchgeführt, die zu ähnlichen Ergebnissen führte. In diesem Jahr planen wir, eine formelle BSIMM-Bewertung für viele weitere unserer Produkte durchzuführen. Den Anfang macht dabei unser Business-Continuity-Produkt, für das der Start in der ersten Aprilwoche 2022 geplant ist.
Unser fortlaufendes Engagement für die MSP-Community
Wir sind zwar stolz auf die Bewertungsergebnisse und die Fortschritte, die unsere Produkte gemacht haben, aber die Sicherheit ist so wichtig wie eh und je. Jetzt ist es an der Zeit, unser Engagement für die Bereitstellung der sichersten Produkte, die wir unseren Partnern bieten können, weiter zu verstärken. Datto und unser Anwendungssicherheitsteam stehen erst am Anfang eines kontinuierlichen Lebenszyklus der Sicherheitsreife. Ich fühle mich geehrt, dass ich die Gelegenheit hatte, einen Einblick in unsere Fortschritte zu geben, und ich freue mich darauf, in Zukunft mehr Details über unsere Arbeit mit der Community zu teilen.
