Wenn es um Technologie – einschließlich Sicherheit – geht, ist es oft teurer, ein Problem erst später zu beheben, als dies frühzeitig zu tun. Das Aufschieben der unvermeidlichen Verbesserungen, die zur Behebung fehlerhafter Software oder veralteter Technologie erforderlich sind, ist so, als würde man „sich Geld leihen und dabei glauben, man müsse es nie zurückzahlen“, sagt der Programmierer Ward Cunningham, der das erste Wiki entwickelt hat.
Cunningham prägte vor mehr als einem Jahrzehnt den Begriff „“ (technische Schulden), um zu beschreiben, wie die überstürzte Markteinführung fehlerbehafteter Technologie in ähnlicher Weise funktioniert wie die Ansammlung von Zinsen auf eine Schuld. Wenn Sie den Kapitalbetrag nicht tilgen, steigen die Zinsen so stark an, dass sie Ihr gesamtes Budget aufzehren und es unmöglich wird, den Kredit unter abzuzahlen.
Wenn Sie ein Dutzend Technologieexperten bitten, den Begriff „technische Schulden“ zu definieren, erhalten Sie ein Dutzend verschiedene Antworten. Für Softwareentwickler bedeutet „technische Schulden“ wahrscheinlich so etwas wie Abstriche zu machen, um Code rechtzeitig ausliefern zu können. Ein CIO hingegen betrachtet technische Schulden möglicherweise als die sich kumulierenden Auswirkungen älterer Tools, die die Fähigkeit eines Unternehmens beeinträchtigen, seinen Mitarbeitern, Partnern und Kunden moderne digitale Funktionen und Innovationen bereitzustellen.
In beiden Fällen führt die Anhäufung von noch nicht erledigten technischen Aufgaben, die für den zukünftigen Erfolg erforderlich sind, dazu, dass sich die Kosten und die Komplexität im weiteren Verlauf vergrößern. Das Ergebnis: Die IT-Mitarbeiter entwickeln immer mehr Notlösungen, um Probleme zu beheben, die sie eigentlich schon früher hätten beheben sollen.
„Ich betrachte technische Schulden als etwas, das dadurch entsteht, dass Entscheidungen getroffen werden müssen, die zwar kurzfristige Ziele erfüllen, aber langfristige Verbindlichkeiten nach sich ziehen“, sagt Fernando Montenegro, leitender Sicherheitsanalyst bei 451 Research, einem Unternehmen der S&P Global Market Intelligence.
Unabhängig von der Definition häuft sich die technische Schuld immer weiter an. Als „ “ McKinsey 50 CIOs in 2020 „“ befragte, stellte das Unternehmensberatungsunternehmen fest, dass 10 % bis 20 % des für neue Produkte vorgesehenen IT-Budgets stattdessen zum Abbau von technischen Schulden verwendet wurden. Tatsächlich machte die technische Schuld 20 % bis 40 % der aktuellen Technologieinvestitionen eines Unternehmens vor Abschreibungen aus. Zum Zeitpunkt der Umfrage gaben 60 % der CIOs an, dass ihre technische Verschuldung in den letzten drei Jahren erheblich zugenommen habe.
Technische Sicherheitsschulden als Priorität behandeln
Jonathan Feldman ist nicht daran interessiert, dass sich zu viel technische Verschuldung anhäuft. Als CIO der Stadt Asheville in North Carolina setzt sich Herr Feldman intensiv dafür ein, dass die IT-Systeme seiner Stadt stets auf dem neuesten Stand bleiben. So hat er beispielsweise die Informationssysteme von Asheville schrittweise von lokal installierter Software auf die Cloud von „ “ umgestellt.
“„Technische Schulden entstehen dadurch, dass Entscheidungen getroffen werden müssen, die zwar kurzfristige Ziele erfüllen, aber langfristige Verpflichtungen nach sich ziehen.“Fernando Montenegro, Sicherheitsanalyst bei 451 Research
Die Modernisierung der IT-Umgebung bedeutet zwar häufig den Einsatz von Cloud-Software, beinhaltet jedoch auch den Aufbau eines Technologie-Stacks aus Programmiersprachen, Frameworks und Entwicklungstools, der in der Lage ist, neue Funktionen zügig zu integrieren und sich an veränderte geschäftliche Anforderungen anzupassen. Als Beispiel führt Feldman an, wie Cloud- und SaaS-basierte Softwaresysteme der Stadt Asheville halfen, während der Pandemie rasch auf Remote-Arbeit umzustellen.
„Wir mussten uns nicht mit VPNs und der Installation von Software auf den Endgeräten der Nutzer herumschlagen“, sagt Feldman. „Ich kenne Gemeinden, die Hunderttausende Dollar aufwenden mussten, um ihren VPN-Konzentrator zu erweitern und so allen ihren Remote-Mitarbeitern Zugang zu gewähren. Wer aus dem Sicherheitsbereich ist der Ansicht, dass clientseitige VPNs heutzutage der richtige Weg zur Gewährleistung der Sicherheit sind? „Absolut niemand.“
Es gibt viele Gründe, warum Unternehmen technische Schulden anhäufen, darunter die Verwaltung einer zu großen Anzahl von Entwicklungsplattformen sowie eine zu umfangreiche veraltete und überholte Infrastruktur. Die Einstellung und Bindung von qualifiziertem technischem Personal erhöht die Belastung ebenso wie die Kurzsichtigkeit, keine Mittel für die Wartung von Systemen und Software über deren gesamte Lebensdauer hinweg einzuplanen.
Wie technische Schulden zu technischem „ “ werden – Sicherheit Schulden
Ein wesentlicher Grund für sicherheitsbezogene technische Schulden ist die unterschiedliche Sichtweise von Sicherheitsexperten und anderen Fachleuten aus dem Technologiebereich auf die Technologie. „Fachleute für Informationssicherheit neigen dazu, Probleme aus der Perspektive zu betrachten, wie sie etwas knacken können“, sagt Nick Selby, CSO bei Paxos, einer Blockchain-Infrastrukturplattform, und Co-Moderator des Podcasts „ : Tech Debt Burndown“ . „Wir betrachten die Situation aus der Perspektive eines Angreifers – von außen nach innen – und versuchen, die Schwachstellen zu identifizieren, die geschlossen werden müssen.“
Im Gegensatz dazu möchten moderne Entwickler ihre Anstrengungen „von innen nach außen“ priorisieren, so Selby. Sie fragen danach, was sie entwickeln möchten, was sie nicht entwickeln können, wie sie Code schneller bereitstellen können und was ihnen dabei im Weg steht.
Feldman weist darauf hin, dass eine zehn Jahre alte Technologie wahrscheinlich veraltete Verschlüsselungsstandards, veraltete APIs und eine größere Starrheit aufweist als die flexibleren Anwendungen von heute. „Es wird einfach die meiste Zeit über eine mühsame Angelegenheit sein, die Sicherheit zu gewährleisten“, sagt er.
Technische Sicherheitsschulden verstärken latente Sicherheitsmängel, wodurch es schwieriger wird, veraltete Anwendungen, Infrastruktur und Endgeräte zu schützen. „Mir fällt kein Beispiel für technische Schulden ein, das keine Auswirkungen auf die Sicherheit hat, da technische Schulden fast immer den Durchsatz, die Skalierbarkeit, die Ausfallsicherheit und die Verfügbarkeit beeinträchtigen“, sagt Selby.
Die Kosten der technischen Schulden lassen sich oft nur schwer ermitteln. Möglicherweise finden sie sich in Altsystemen, deren Wartung schwierig ist, oder in veraltetem Code, der den aktuellen Anforderungen nicht mehr gerecht wird, dessen Austausch jedoch zu kostspielig wäre, oder in Daten, die in Silos gespeichert sind und daher nicht analysiert und sinnvoll genutzt werden können. Sicherheitsteams stellen möglicherweise fest, dass ihre Möglichkeiten, die Vertraulichkeit, Integrität und Verfügbarkeit von Systemen und Informationen sicher zu gewährleisten, begrenzt sind.
Angesichts der Tatsache, dass jedes Unternehmen technische Schulden hat und diese erhebliche Auswirkungen auf die Sicherheit haben – was kann eine Führungskraft tun? Sicherheitsexperten empfehlen, die technische Sicherheitsschuld auf ein überschaubares Maß zu reduzieren:
Beziehen Sie Sicherheitsteams frühzeitig mit ein
Als „ “, der bereits in einer frühen Phase einbezogen wird, kann dies bedeuten, dass man bereits in der Entwurfsphase an einem neuen System oder einer neuen Anwendung mitwirkt oder zu einem Zeitpunkt, zu dem die Einführung neuer Funktionen oder Änderungen das Risikoniveau eines Unternehmens beeinflussen könnte.
„Für Sicherheitsexperten gilt: Je früher wir das Entwurfsdokument erhalten, desto besser“, sagt Selby von Paxos. Er empfiehlt, Sicherheitsingenieure in die Entwicklungsteams zu integrieren, damit sie vom ersten Tag an zusammenarbeiten. „Es gab keinen Anruf an den Sicherheitsdienst, der sich weiter hinten im Zug umsehen und sich vergewissern sollte, dass alles in Ordnung ist“, sagt er. „Das Sicherheitsteam war bereits vor Ort und hat von Anfang an für einen reibungslosen Ablauf gesorgt.“
Legen Sie den Schwerpunkt auf den Schuldenabbau
Die technische Schuld ist in jedem Unternehmen unterschiedlich, ebenso wie die optimalen Wege, sie abzubauen. Manchmal äußert sich technische Sicherheitsverschuldung in Form veralteter Unternehmensplattformen, deren Absicherung einen erheblichen zusätzlichen Aufwand erfordert. In anderen Fällen kann es vorkommen, dass ein Unternehmen zu viele Sicherheitstools eingesetzt hat, ohne über ausreichend qualifiziertes Fachpersonal für deren Betrieb zu verfügen.
[Lesen Sie auch: Cybersicherheit auf Bundesebene: Zu viele Werkzeuge verderben die Suppe]
„Viele Dinge, die erhebliche Auswirkungen auf die Sicherheit haben, scheinen auf den ersten Blick nicht direkt mit der Sicherheit in Zusammenhang zu stehen“, sagt Selby. „Oft sind es gerade die grundlegenden Arbeiten, die technische Schulden verursachen, wie beispielsweise die Erneuerung der Ausrüstung oder die Beschaffung der richtigen Werkzeuge für die jeweilige Aufgabe.“ „Viele dieser Aspekte haben in der Regel einen größeren Einfluss auf die Sicherheit insgesamt.“
Leisten Sie regelmäßige Tilgungszahlungen
Es spielt keine Rolle, wie groß oder etabliert eine Organisation ist. In allen Organisationen baut sich im Laufe der Zeit technische Verschuldung auf. Entscheidend ist, dass Sie einen festen Zeitraum für die Tilgung der bestehenden Schulden festlegen. „Wenn Sie ein Unternehmen mit jeglicher Art von technologischer Basis sind, dann ist das nun einmal so“, sagt Selby.
Die Umgebung modernisieren
Bei der Modernisierung geht es nicht nur darum, die neueste und beste Technologie zu nutzen, nur um ihrer selbst willen. Es geht darum, über einen Technologie-Stack für Unternehmen zu verfügen, der agil genug ist, um mit den sich ändernden Anforderungen Ihres Unternehmens mitzuwachsen und sich anzupassen.
“Wer aus dem Sicherheitsbereich ist der Ansicht, dass clientseitige VPNs heutzutage der richtige Weg zur Gewährleistung der Sicherheit sind? Absolut niemand.”Jonathan Feldman, CIO der Stadt Asheville, North Carolina
Wenn Unternehmen keine Modernisierungsmaßnahmen durchführen, muss der CIO einem Geschäftsbereich möglicherweise mitteilen, dass das Unternehmen keine größeren Investitionen tätigen kann, um eine neue Funktion zu aktivieren, so Feldman aus Asheville. „Bei einer modernen Plattform hingegen wäre es wahrscheinlich möglich, einfach nur einen Schalter umzulegen.“
Strukturieren Sie Technologieinvestitionen über einen längeren Zeitraum hinweg
In vielen Budgetanträgen werden lediglich die anfänglichen System- und Einrichtungskosten berücksichtigt, ohne zu berücksichtigen, wie im Laufe der Zeit technische Schulden entstehen. „Es ist nicht so, dass wir 5 Millionen Dollar von ‚ ‘ benötigen und damit diese Beantragung im Hinblick auf die Kapitalinvestition abgeschlossen wäre“, sagt Feldman. „Erforderlich ist eine Verpflichtung seitens des Unternehmens, während des gesamten Lebenszyklus der Anwendung jedes Quartal einen bestimmten Betrag aufzuwenden.“
Montenegro von 451 Research fügt hinzu: „Sie tragen auf Dauer die Verantwortung für das, was Sie bereitgestellt haben.“ „Unternehmen müssen über die erforderlichen Ressourcen verfügen, um sicherzustellen, dass sie nicht nur Maßnahmen zur Bewältigung bestehender Schulden planen, sondern auch vermeiden, durch eine unzureichende Verwaltung der Systeme über deren gesamten Lebenszyklus hinweg eine zu hohe Verschuldung zu verursachen.“
[Lesen Sie auch: Wie DevOps und Sicherheit zusammenwirken können]
Letztendlich mögen sich Unternehmen zwar dazu entschließen, technische Schulden abzubauen, doch diese Entscheidung liegt möglicherweise nicht in der Hand der Sicherheitsteams und Führungskräfte. Montenegro rät führenden Sicherheitsverantwortlichen, die oberste IT-Führung des Unternehmens darauf hinzuweisen, dass bestimmte Arten von technischer Verschuldung erhebliche Auswirkungen auf das Risikoprofil eines Unternehmens haben können.
„Von einem Team, das aufgrund von Sicherheitslücken gezwungen ist, Produktveröffentlichungen zu verschieben, werden Sie keine Weihnachtskarten erhalten“, sagt er. „Doch die Organisation muss eine wichtige Entscheidung treffen.“
