Новини

12/Жовтень
2024

Загальний економічний вплив™ платформи керування ризиками додатків від Veracode.

Економія коштів та бізнес-вигода завдяки Veracode. Дослідження Forrester Total Economic Impact™ на замовлення Veracode, серпень 2024 р.

Додатки є основою сучасного підприємства. Вони складаються з заплутаного коду з однієї сторони та компонентів із відкритим вихідним кодом і сторонніх компонентів з іншої. Вони покладаються на різноманітний і складний ланцюжок постачання інструментів і послуг для розробки та розгортання. Переглядаючи найбільші у світі витоки даних і порушення конфіденційності у 2023 році, Forrester виявив, що недоліки в ланцюжку постачання програмного забезпечення допомагають зловмисникам масштабуватися.¹ Для успішного захисту додатків і їхніх даних, дуже важливою є співпраця між безпекою та DevOps.²

Платформа керування ризиками додатків Veracode (Veracode Application Risk Management Platform) — це уніфіковане рішення для наскрізної безпеки додатків (AppSec), яке надає розробникам і фахівцям із безпеки додатків єдине джерело всіх потенційних вразливостей у власному коді та у open-source коді. Це допомагає організаціям:

Виявляти недоліки. Для цього платформа Veracode використовує статичне тестування безпеки додатків (SAST), аналіз складу програмного забезпечення (SCA), безпеку контейнера, динамічне тестування безпеки додатків (DAST) і тестування на проникнення як послугу (PTaaS).
Реагувати на недоліки та вразливості програмного забезпечення. Платформа Veracode використовує Veracode Fix, функцію машинного навчання, яка генерує виправлення в інтегрованому середовищі розробки розробника або екземплярі командного рядка; розробникам просто потрібно переглянути та прийняти виправлення без написання коду. Також пропонуються послуги підтримки клієнтів і надання стратегічних і тактичних вказівок для подальшого прискорення DevSecOps і безпеки додатків (AppSec).
Запобігати поширенню недоліків безпеки програмного забезпечення та вразливостей. Платформа Veracode пропонує лабораторії електронного навчання та безпеки для розробників і спеціалістів AppSec, щоб передати знання з безпеки розробникам і надати їм можливість писати безпечний код і виправляти недоліки безпеки.

Veracode доручив Forrester Consulting провести дослідження Total Economic Impact™ (TEI) і вивчити потенційну віддачу від інвестицій (ROI), яку підприємства можуть отримати, розгорнувши платформу Veracode Application Risk Management Platform.³ Мета цього дослідження — надати читачам структуру для оцінки потенційного фінансового впливу платформи Veracode на їхні організації.

Щоб краще зрозуміти переваги, витрати та ризики, пов’язані з цією інвестицією, Forrester опитала чотирьох представників, які мають досвід використання платформи Veracode. Для цілей цього дослідження Forrester узагальнив досвід опитаних і об’єднав результати в єдину комплексну організацію з 2 мільярдами доларів річного доходу, 1000 керованих додатків і бізнес-ціллю збільшення швидкості розробки для підтримки стратегічного зростання доходу.

Опитані сказали, що до використання платформи Veracode їхні організації були вразливі до низки програмних атак, але їхнім компаніям не вистачало людей, процесів і технологій, необхідних для захисту конвеєрів і процесів розробки програмного забезпечення при масштабуванні. Інструменти та програми, які вони мали, були переповнені хибними спрацьовуваннями та виявлялися надто пізно в життєвому циклі розробки. Це спричинило незаплановані переробки та затримки з боку розробників, а нестача видимості ускладнила керівникам AppSec ефективне тестування; також це було посилено загальною неефективністю цінних ресурсів розробки. Опитувані продемонстрували, як їхні попередні неефективні середовища AppSec перешкоджали організаційній гнучкості та інноваціям і, що ще гірше, призводили до дорогих суттєвих порушень даних.

Після інвестицій у платформу Veracode, а також у людей і процеси, необхідні для підтримки бізнес-цілей і цілей зростання, опитані повідомили, що їхні організації зменшили ризик програмних атак шляхом відчутного підвищення рівня безпеки на ранніх етапах процесу розробки та зменшення операційного навантаження, необхідного при використанні кількох окремих інструментів. Опитані обговорювали, як ця ефективність давала розробникам більше часу для інновацій, водночас прискорюючи процес безпечної програмної розробки в цілому.

Ключові результати опитуваних після переходу на платформу Veracode, включали зниження витрат, пов’язаних з програмними атаками, а також кращі відносини та спільне почуття відповідальності між безпекарями та розробниками. Крім того, вони об’єднали свої операції AppSec у єдиній платформі, що допомогло уникнути зайвих кроків, дозволивши розробникам краще впроваджувати інновації відповідно до потреб клієнтів. Отримані в результаті покращення загальної безпеки додатків, часу випуску на ринок, відповідності продукту ринку та звітності про безпеку, дозволили організаціям значно прискорити зростання доходів і отримати більше угод.

Додатки та їх екосистеми є ідеальними мішенями для зовнішніх атак

В опитуванні Forrester Security Survey, 2023, особи, які приймають рішення щодо безпеки, найчастіше повідомляли, що використання вразливостей програмного забезпечення та порушення ланцюга поставок програмного забезпечення, були причиною порушень через зовнішні атаки. У 2022 році 52% осіб, які приймають рішення про безпеку, повідомляли, що експлойти, пов’язані з додатками, були зовнішнім вектором атак для зламів; цей показник зріс до 58% у 2023 році. Додатки, API та їх інфраструктура замінили внутрішню мережу, ставши новим периметром організацій. Додатки мають доступ до конфіденційних даних клієнтів, партнерів і співробітників і стають ціллю в якості дверей, щоб отримати доступ в середину організацій.⁴

Ключові висновки

Кількісні вигоди. Трирічна поточна вартість для компанії включає:

Зниження ризику атак на додатки на 75%. Оскільки компанія залучає розробників до платформи Veracode, керовані політикою автоматизовані робочі процеси платформи значно збільшують рівень безпеки, одночасно збільшуючи кількість додатків, які проходять аналіз відповідності політикам безпеки. Такий початковий аналіз стимулює розширення використання AppSec у платформі Veracode і подальше впровадження безпеки на етапах проектування, створення та впровадження життєвого циклу розробки програмного забезпечення. Протягом трирічного періоду компанія скорочує витрати на злами, пов’язані з атаками на основі програмного забезпечення, на 1,5 мільйона доларів.
Підвищення продуктивності розробника на 80%, що призвело до перерозподілу 70 000 його годин на розробку інноваційних продуктів. Платформа Veracode надає розробникам краще бачення проблем безпеки на більш ранніх етапах процесу розробки. Краща інформація та розширена підтримка платформи дають розробникам змогу швидко визначати та впроваджувати стратегії виправлення. Це допомагає швидко зменшити ризики безпеки та знизити загальну вартість тестування на проникнення. Оскільки все більше розробників використовують платформу Veracode, компанія ще більше підвищує продуктивність розробників, перерозподіляючи 80% попередніх зусиль по AppSec на інноваційні продукти, орієнтовані на клієнта. Це призвело до підвищення продуктивності розробників на 3,4 мільйона доларів США за період інвестування.
Скорочення на 85% ручних робочих процесів AppSec завдяки автоматизації. Платформа Veracode є основою для здатності компанії трансформувати свою програму AppSec. Вона забезпечує більш ефективний інструментарій, який автоматизує ручні робочі процеси, яку були необхідні компанії для підготовки сканування в попередньому середовищі, а також значно знижує рівень false-positive. Ці вдосконалення процесу та ефективності дозволяють перерозподілити майже 25 000 годин ручної праці у AppSec, пов’язаної з попередньою немасштабованою програмою AppSec. Результати підвищення продуктивності AppSec допомагають компанії уникнути зайвих витрат на оплату праці на суму 1,3 мільйона доларів США при одночасному збільшенні можливостей сканування.
Зростання доходу на 20% завдяки більш безпечній розробці продуктів, орієнтованих на клієнтів. Компанія використовує платформу Veracode для підвищення рівня безпеки на ранніх етапах процесу розробки. Розширена можливість сканування також дозволяє компанії прискорити життєвий цикл розробки програмного забезпечення, швидше виводити функції та продукти на ринок і дає розробникам більше часу для відповіді на відгуки клієнтів. Крім того, високі стандарти безпеки, яких здатна досягти компанія, відкривають нові ринки та джерела доходів як у комерційному, так і в державному секторах. Завдяки збільшеній швидкості розвитку та більш безпечній, орієнтованій на клієнта продукції, компанія отримує додаткові прибутки на загальну суму 940 000 доларів США.

Невизначені переваги. Переваги, які становлять цінність для компанії, але не визначені кількісно, включають:

Розширені можливості звітності. Вбудований доступ до розширеної звітності у платформі Veracode, призводить до суттєвих покращень у кількісній оцінці та передачі інформації про ризики розробникам, допомагаючи компанії вигравати та утримувати бізнес, а також залишатися сумісними з правилами.
Вищі рівень ІТ дозволяє збільшити витрати, спрямовані на безпеку. Звіти, створені платформою Veracode, забезпечують високий рівень видимості та прозорості, який необхідний компанії для виявлення та зосередження на правильних ризиках, що означає отримання більших бюджетів і більших інвестицій у безпеку додатків.
Оптимізовані витрати на технології. Розгортання платформи Veracode консолідує зусилля компанії у напрямку AppSec на одній платформі, допомагаючи обмежити розповсюдження продуктів і пов’язані витрати на управління технологіями.
Покращена культура безпеки. Удосконалений інструментарій, програми чемпіонатів з безпеки для розробників і чіткі результати сканування, дають змогу розробникам компанії інтегрувати засоби безпеки в процес розробки програмного забезпечення на кожному етапі, що значно підвищує рівень їх безпеки.
Покращений досвід розробників. Завдяки платформі Veracode, розробники отримують в одному місці чіткі звіти та інструменти для всіх своїх потреб у тестуванні. Завдяки меншій витраті ресурсів за рахунок зменшення ручних процесів і помилок, розробники компанії мають більше часу, щоб досягти успіху як у сфері безпеки, так і в інноваційних продуктах і покращити загальний досвід.

Витрати. Трирічні витрати компанії з поправкою на ризики включають:

Комісії Veracode для SCA, SAST, DAST, PTaaS, eLearning і Security Labs. Компанія використовує SCA, SAST, eLearning і Security Labs протягом усього інвестиційного періоду. Компанія розширює свою програму AppSec, використовуючи DAST і PTaaS у другому і третьому роках. Плата за платформу Veracode зростає з кожним роком, оскільки її приймає все більше розробників, і становить трохи більше 2,0 мільйонів доларів США.
Витрати на розгортання. Компанія опановує платформу Veracode за два дні та досягає стійкого стану тестування протягом трьох місяців початкового періоду впровадження. У першому і другому роках компанія виділяє додаткові ресурси на підтримку розгортання DAST, а також на остаточне впровадження. Протягом інвестиційного періоду ці трирічні витрати становлять 250 000 доларів США.
Витрати на адміністрування та розширення. Постійні витрати на адміністрування щодо підтримки платформи Veracode, обмежені, приблизно 2 годинами на тиждень і включають доналаштування платформи і щомісячні зустрічі з Veracode по плануванню. Витрати на масштабування продукту та адміністрування протягом інвестиційного періоду становлять понад 240 000 доларів США.

Репрезентативні інтерв’ю та фінансовий аналіз показали, що компанія отримує вигоду в розмірі 7,1 мільйона доларів США протягом трьох років проти витрат у 2,5 мільйона доларів США, у результаті чого чиста поточна вартість (NPV) становить 4,6 мільйона доларів США, а рентабельність інвестицій складає 184%.

70 000 годин розробників перерозподілені на інноваційні продукти, орієнтовані на клієнта

«Ми побачили, що всі попередні додаткі мали кілька «дуже високих» і багато «високих» уразливостей, коли вони були розміщені [на платформі Veracode]. Усі додатки мали такі висновки, і [розробники] зрозуміли, що це надзвичайно важливо, щоб уникнути проблеми. З новими правилами розставляти пріоритети було дуже легко».

Head of global engineering tools, professional services

Основи та методологія TEI

На основі інформації, наданої під час інтерв’ю, компанія Forrester розробила структуру Total Economic Impact™ для тих організацій, які розглядають інвестиції в платформу управління ризиками додатків від Veracode.

Метою структури є визначення факторів вартості, вигоди, гнучкості та ризику, які впливають на інвестиційні рішення. Компанія Forrester застосувала багатоетапний підхід, щоб оцінити вплив, який платформа Veracode може мати на організацію.

Due Diligence

Опитані були зацікавлені у платформі Veracode та аналітиці від Forrester, щоб консолідувати дані щодо Veracode.

Інтерв’ю

Були опитані чотири представника організацій, які використовують Veracode Application Risk Management Platform, щоб отримати дані про витрати, переваги та ризики.

Компанія

Було розроблено зведену (узагальнену) компанію (далі – Компанія) на основі характеристик опитаних організацій.

Структура фінансової моделі

Було створено фінансову модель, що репрезентує опитуваних, використовуючи методологію TEI, і скориговано фінансову модель з урахуванням проблем, які висловлювали опитувані.

Кейс-стаді

Було використано чотири фундаментальні елементи TEI для моделювання інвестиційного впливу: переваги, витрати, гнучкість і ризики. Враховуючи зростаючу складність аналізу ROI, пов’язаного з інвестиціями в ІТ, методологія Forrester TEI надає повну картину загального економічного впливу рішень про купівлю. Додаткову інформацію щодо методології TEI див. у Додатку А.

Читачі повинні знати про наступне:

Це дослідження виконано на замовлення Veracode і проведено Forrester Consulting. Воно не призначено для використання в якості конкурентного аналізу.

Forrester не робить жодних припущень щодо потенційної рентабельності інвестицій, яку отримають інші організації. Forrester наполегливо рекомендує читачам використовувати власні оцінки в межах, наданих у дослідженні, щоб визначити доцільність інвестицій у платформу керування ризиками додатків Veracode.

Veracode переглянула та надала Forrester відгуки, але Forrester зберігає редакційний контроль над дослідженням та його результатами та не приймає змін до дослідження, які суперечать висновкам Forrester або приховують сенс дослідження.

Veracode надав імена клієнтів для інтерв’ю, але не брав участі в інтерв’ю. Обсяг практики кібербезпеки в Forrester базується на галузевих знаннях і даних опитувань глобальних організацій, які оновлюються щорічно. Додаткову інформацію можна отримати в Forrester Decisions for Security & Risk.

Досвід клієнта платформи Veracode

Драйвери, що сприяють інвестиціям у платформу керування ризиками додатків Veracode

Основні виклики

До того, як інвестувати в платформу Veracode, респонденти розділяли високий і зростаючий рівень ризику, пов’язаного з ланцюгами постачання програмного забезпечення їхніх організацій. Застарілі додатки часто були обтяжені ризиками безпеки, а неефективні процеси AppSec, підкріплені невідповідними, погано налаштованими інструментами, не дозволяли організаціям респондентів прискорювати цикли розробки та обмежували їхні можливості обслуговувати нових і існуючих клієнтів. Зіштовхнувшись із великою кількістю хибнопозитивних результатів, організації респондентів витратили таку величезну кількість часу на сортування цих хибнопозитивних результатів, що вони не змогли збільшити швидкість розвитку для підтримки потреб бізнесу та зусиль щодо зростання.

Крім того, респонденти скаржилися на нездатність своїх організацій кількісно оцінити й повідомити про свій ризик розробникам, керівництву, клієнтам або регуляторам. Відсутність належної звітності про базову ризики безпеки та шляхи її покращення означало, що керівники безпеки не могли відповідати вимогам регулятора чи клієнтів, що знижувало прибутковість і обмежувало їхню здатність відстоювати подальші інвестиції в AppSec.

Опитані відзначили, як їхні організації боролися з іншими загальними проблемами, зокрема:

Атаки на додатки, що призводять до суттєвих порушень з великими витратами. Декілька опитаних зазначили, що їхні організації зазнали принаймні одного суттєвого порушення даних у своєму попередньому середовищі. Вони також повідомили про значні потенційні н витрати, пов’язані із порушеннями.

Керівник відділу глобальних інженерних інструментів у компанії професійних послуг повідомив, що їхня організація зазнала загального порушення, якому можна було б запобігти за допомогою платформи Veracode. Опитуваний розповів, що йому було важко відстоювати розширення бюджету безпеки AppSec, поки його організація не зіткнулася зі справжньою ціною порушення безпеки на основі ланцюга поставок програмного забезпечення. Порушення коштувало їхній організації майже 3 мільйони доларів на внутрішню роботу та підтримку 27 команд розробників, а також інші невизначені наслідки: «Є багато витрат, які також не задокументовані в [цій цифрі], тому що це потрясло всю організацію і зупинило багато розробок».

Підвищений ризик подальших атак на основі програмного забезпечення з високим ризиком. Опитані розповіли, що попередні середовища їхніх організацій дозволяли небезпечно високій кількості вразливостей ховатися в їхніх стеках програм. Додатковий потік недоліків із високим рівнем ризику, які постійно впроваджувалися в бази коду без належного виправлення, ще більше посилювали ризик, з яким стикалися організації опитаних до того, як інвестували в платформу Veracode. У поєднанні з великою кількістю недоліків, які залишаються невиявленими по всьому спектру критичності, респонденти перерахували експоненціальні витрати, пов’язані із загальним низьким рівнем безпеки їхніх організацій.

Керівник CISO компанії, що спеціалізується на охороні здоров’я, сказав Forrester, що їхній організації бракувало доступу до відкритого коду в попередніх середовищах AppSec. Без цієї інформації організація мала високий рівень ризику щодо атак на ланцюг постачання програмного забезпечення з відкритим кодом, який не піддається кількісному вимірюванню. Вони сказали: «[Залежності] з відкритим вихідним кодом є частиною нашого [безпекового] технологічного недоліку. З точки зору нашої спеціальної кодової бази, це досить велика частина. Коли я вперше потрапив сюди три роки тому, це ще не було розглянуто. Я сказав [своєму керівництву]: «Ми ніде не можемо побачити відкритий код. Ми не маємо жодного уявлення, і я не можу повідомити про вразливі місця, яких я не бачу. Це погана ситуація».

Перешкоди для продуктивності та інновацій розробників. Опитані зазначили, що їхні організації не надали своїм розробникам адекватних інструментів і процесів AppSec у попередніх середовищах. Аналіз AppSec, як правило, відбувався на пізній стадії процесу розробки, коли переробка набагато більше заважала термінам випуску. Застарілі результати сканування часто були переповнені хибними спрацьовуваннями та не мали чітких даних, необхідних для розуміння першопричини результатів. Як наслідок, повільний час вирішення, низька частота виправлення недоліків безпеки та відсутність довіри до інструментів безпеки, заважали зусиллям AppSec. Недостатня підтримка з боку їхніх застарілих постачальників AppSec ще більше заважала розробникам швидко та ефективно захищати програмне забезпечення перед його випуском у виробництво.
Директор відділу ризиків і безпеки компанії, що займається програмним забезпеченням, зазначив, що високий рівень хибнопозитивних результатів у їхній організації в попередньому середовищі призвело до того, що розробники втратили віру в інструменти та втратили пріоритетність урегулювання боргів безпеки. «[Попереднє рішення] страждало від дійсно високого рівня хибнопозитивних результатів від 65% до 70%, і інженери просто не довіряли йому. Вони отримають звіт і [запитають, скільки] вразливостей справді є».
CISO компанії, що займається технологіями охорони здоров’я, поділився, що їхня організація-розробник успадкувала велику суму боргу із забезпечення безпеки через придбані організації. Успадкування боргу ускладнило прищеплення розробникам спільного почуття відповідальності за безпеку. Вони сказали: «Багато тих технічних боргів були старими, і розробники не відповідали за те, що це зробили. … Важко було змусити людей взяти на себе відповідальність. Знайти власників, щоб побачити, що все було виправлено відповідно до політики тощо — це було складніше».

Проблеми програм безпеки додатків. Програми AppSec опитаних були погано забезпечені ресурсами та погано зрозумілі, а їхні інструменти безпеки були погано налаштовані. Відсутність структури та ефективності ускладнювало організаціям узгодження пріоритетів і можливостей AppSec із бізнес-цілями. Розповсюдження постачальників засобів безпеки також ускладнювало розуміння командою розробників, які інструменти AppSec використовувати та коли. Ця мінливість означала, що командам безпеки було складно отримати чітке уявлення про ризик додатків.
Інженер із безпеки додатків у гірничодобувній компанії сказав Forrester: «Раніше не було жодної програми, про яку можна було б говорити. Команда мала доступ до динамічного сканування, але вони сканували лише три додатки, і вони сканували їх у виробництві, що дійсно ризиковано».
Керівник відділу глобальних інженерних засобів компанії професійних послуг сказав, що їхній організації бракує чіткої програми: «Раніше у нас було близько трьох різних постачальників. У нас були [інструменти тестування безпеки, не адаптації] дуже фрагментованими. Не було чітких вказівок щодо того, які продукти використовувати».

Обмежена організаційна гнучкість. Враховуючи високий рівень праці, пов’язаний з попередніми програмами AppSec, респонденти зазначили, що їхні організації не змогли скоротити цикли розробки та прискорити швидкість розробки, щоб виростити нові та різноманітні джерела доходу. Відсутність уявлення про оцінку та усунення безпекових гепів, призвело до того, що спеціалісти AppSec були погано підготовлені для реагування на запити регуляторів і клієнтів щодо безпеки додатків. Їм також бракувало прозорості, необхідної для досягнення вищих рівнів акредитації, необхідних для ведення бізнесу з державними установами.
CISO компанії, що займається технологіями охорони здоров’я, зазначив, що гепи їхньої організації у напряму безпеки, призвели до вищих витрат на бізнес: «Це величезний вплив на те, наскільки ви можете бути гнучкими [якщо у вас є] усі ці вразливості, які можуть не дозволити вам випускати додатки, особливо в середовищі FedRAMP і коли ви намагаєтеся швидко розробити новий код і перемістити його в хмару. [З нашим попереднім підходом до сканування] ми почали з контрольної точки пайплайну, а це погане місце для цього. З точки зору розробника, якщо ви чекаєте так довго, щоб побачити свою вразливість, ви не [встигнете виправити] і не розгорнете [вчасно]. Усі нещасні».
Директор відділу ризиків і безпеки компанії, що займається програмним забезпеченням, зазначив, що в попередньому середовищі їхній організації бракувало безпеки та видимості, необхідних для відповіді на складні запитання клієнтів щодо безпеки додатків. Співбесідник сказав Forrester: «Вони запитували про нашу програму безпеки, і ми блукали. … Ми не довіряли попередньому [тестовому] рішенню і не довіряли звітам».

Надлишкові витрати, пов’язані із застарілими технологіями. Опитані відзначили, що попередні зусилля їхньої організації щодо AppSec були погано виконані та неефективні і призвели до марної витрати грошей. Крім неефективного використання попередніх ліцензованих рішень, респонденти виявили неефективні витрати AppSec, пов’язані зі застарілими локальними інструментами тестування AppSec на основі апаратного забезпечення.
Директор відділу ризиків і безпеки розробника програмного забезпечення сказав Forrester, що їхній застарілий локальний інструмент динамічного сканування вимагав, щоб їхня організація підтримувала фізичне середовище для підтримки тестування. У той час такий підхід погано узгоджувався з річним графіком релізів їхньої організації, що пізніше призводило до більших проблем: «Це були версії, керування ліцензіями було неправильним, знання були дуже обмеженими. Ми могли б виправити ці речі, але це означає видалення, перевстановлення, перенавчання, нові середовища просто для правильного виконання, оновлення до поточних версій. Там багато ускладнень».
CISO компанії, що займається технологіями охорони здоров’я, поділився, що їхня організація зіткнулася з надзвичайними витратами на звітування зі своїм старим постачальником AppSec: «Будь-яке звітування, яке ми хотіли зробити, зводилося до додаткової плати за години професійних послуг для розробки звітів тощо. Це не спосіб керувати додатком, щоб мати можливість сказати: «У мене є всі ці речі, але я не можу сказати вам, який мій ризик». Це не добре».

«[До платформи Veracode] не було навіть списку додатків, не кажучи вже про менеджера портфоліо чи щось складне в цьому роді. Залишилася електронна таблиця багаторічної давнини… але вона була справді непридатною для використання».

Інженер безпеки додатків, майнінг

Інвестиційні цілі для платформи Veracode

Організації опитаних шукали рішення, яке могло б:

Зменште ризик атаки на основі програмного забезпечення та зменшіть вартість суттєвого порушення. Оскільки їхні організації стикалися з дедалі серйознішими наслідками програмних атак, респонденти обговорювали важливість пошуку рішення, яке б звело до мінімуму потенціал для зловмисників використовувати вразливості програмного забезпечення.

CISO компанії, що займається технологіями охорони здоров’я, зазначив, що зловмисники можуть проникнути в організацію через додатки, якщо ті не захищені: «Стек додатків, яким займається Veracode, може становити будь-який ризик залежно від цієї вади. Незважаючи на це, суть у тому, що не давайте їм закріпитися… і ми мали хороші основи безпеки. Проблемою і страшною частиною був технічний геп. Ми насправді не мали уявлення про це, і це значною мірою стало причиною того, чому я вибрав Veracode».

Підвищте продуктивність розробників та інновації, одночасно перемістивши безпеку вліво. Опитані зазначили, що перш за все їхні організації шукали ефективне рішення AppSec, яке б добре інтегрувалося з конвеєрами розробників.

Директор із ризиків і безпеки компанії, що займається програмним забезпеченням, поділився тим, що основною інвестиційною метою та причиною вибору платформи Veracode було підвищення точності: «Ми шукали [платформу Veracode] для точності та усунення невідповідностей».

Масштабуйте безпеку додатків у межах організації. Опитані вказали на те, що їхні організаційні повноваження щодо глибокого захисту є основним рушієм їхніх інвестицій у AppSec.

Інженер із безпеки додатків майнінгової компанії повідомив, що їхня організація інвестувала в платформу Veracode, як основну частину своєї мети побудувати ефективну програму безпеки. Вони зазначили, що попередня часткова програма AppSec організації насправді не могла нічого вирішити, тому вони використали платформу, щоб почати з нуля та зробити це правильно.

Застосовуйте інновації та доставку безпечного програмного забезпечення, що збільшить можливості отримання прибутку. Організації респондентів шукали рішення, яке б зменшило недоліки безпеки, одночасно збільшивши їхню здатність звітувати про ризики свого додатку. Завдяки цим можливостям вони також хотіли забезпечити ефективніші відповіді на запити поточних клієнтів і потенційних клієнтів щодо методів безпеки та засобів контролю. Кілька респондентів також вказали на аналітичні можливості платформи Veracode, як на ключову рушійну здатність їхніх організацій отримати вищу акредитацію FedRAMP, таким чином розширюючи свою потенційну частку ринку за допомогою федеральних контрактів.

Директор відділу ризиків і безпеки компанії, що займається програмним забезпеченням, зазначив, що бізнес-цілі їхньої організації вимагали рішення, яке б дозволило розробляти масштабовані та адаптивні продукти на основі SaaS: «Нам потрібно було щось дуже масштабоване. Ми хотіли мати можливість робити виправлення на вимогу. Ми хотіли змінювати код так часто, як хотіли».

«Брандмауер веб-додатків все одно блокуватиме більшість речей, але ми не хочемо покладатися на іншу технологію, щоб бути впевненими, що наші додатки написані у спосіб, який, як ми знаємо, є безпечним».

Інженер безпеки додатків, майнінг

Компанія

На основі інтерв’ю, Forrester створив структуру TEI, Компанію та аналіз рентабельності інвестицій, який ілюструє сфери фінансового впливу. Компанія репрезентує чотирьох опитаних і використовується для представлення сукупного фінансового аналізу в наступному розділі. Компанія має такі характеристики:

Опис Компанії. Компанія має глобально розподілених клієнтів і операції. З 10 000 штатних працівників (FTE), 800 є розробниками, а вісім — професіоналами AppSec. Вона покладається на застарілі та нещодавно розроблені додатки для диверсифікованих потоків доходу від підходів B2B та B2C до виходу на ринок, а її широка клієнтська база охоплює державний і приватний сектори.

Композит генерує 2 мільярди доларів США з усіх потоків доходу, але компанія хоче прискорити розробку кількох продуктів, що швидко розвиваються, щоб збільшити свою частку ринку. Хоча дохід від цих сегментів зростання становить 50 мільйонів доларів на початку інвестиційного періоду, комбінована організація вирішила, що її застарілий пакет технологій може підтримувати лише обмежене органічне зростання.

Характеристики розгортання. У рамках ширших зусиль комбінованої організації з цифрової трансформації, вона переносить свою програму AppSec на платформу Veracode Application Risk Management Platform. У перший рік пріоритетом є усунення недоліків безпеки в критичних додатках; компанія розміщує додатки у Veracode для сканування SAST і SCA, переходячи від щоквартального до щоденного сканування. Вона також розгортає eLearning and Security Labs, щоб допомогти розробникам покращити рівень безпеки.

У 2-й рік Компанія розширює свою функціональність, додаючи щомісячне сканування DAST для критичних додатків, одночасно поступово включаючи PTaaS у свою конфігурацію Veracode у 3-му році. Це дозволяє організації ще більше зменшити кількість недоліків програмного забезпечення, оптимізуючи свій стек технологій AppSec.

Ключові припущення

$2 млрд річного доходу

20% операційна маржа

10 000 співробітників

1000 керованих програм

800 розробників

Аналіз переваг

Кількісні дані про користь у застосуванні до композиту

Зменшена вартість істотного порушення

Докази та дані. Опитані повідомили про значне підвищення показників безпеки додатків після інвестицій їхніх організацій у платформу Veracode. Вони повідомили, що їхні організації ефективно усунули тривалу заборгованість щодо безпеки, прийнявши платформу Veracode, одночасно зменшивши ризики, пов’язані з недоліками безпеки програмного забезпечення. Опитані також поділилися, що їхнім організаціям вдалося прискорити швидкість виправлення та скоротити загальний час, потрібний для усунення недоліків. У результаті вони:

Уникнення порушень і пов’язаних з цим витрат на усунення через програмні атаки протягом інвестиційного періоду. Незважаючи на високу поширеність як прямих, так і сторонніх програмних атак, з якими респонденти стикалися в попередніх середовищах, вони відзначили, що їхні організації не стикалися з такими порушеннями під час використання Veracode для захисту розробки своїх додатків.
Після розгортання платформи Veracode, CISO компанії, що займається технологіями охорони здоров’я, повідомив про відсутність випадків простою через атаки на постачання програмного забезпечення, особливо після інциденту log4j. CISO вказав, що їхню організацію було захищено від уразливості з відкритим вихідним кодом і що платформа полегшила звітування критично важливим зацікавленим сторонам після загрози. Крім того, вони заявили, що після розгортання платформи Veracode, їхня організація не зареєструвала жодних інцидентів, пов’язаних із додатками.
Керівник глобальних інженерних інструментів у компанії професійних послуг поділився, що перед тим, як прийняти Veracode, їхня організація зіткнулася з проблемою, пов’язаною з недоліком програмного забезпечення, яка коштувала майже 3 мільйони доларів США на внутрішнє відновлення та витрати на підтримку 27 команд розробників. Хоча ця оцінка стосувалася лише одного експлойту, співбесідник зазначив, що платформа Veracode дозволила їхній організації усунути 6000 недоліків безпеки, кожна з яких могла спричинити такий самий рівень хаосу, як попередній злом. Крім того, вони натякали на каскадний, невизначений вплив: «Є багато витрат, які не задокументовані в цих 3 мільйонах доларів, тому що це потрясло всю організацію. Це зупинило багато розвитку».
Директор відділу ризиків і безпеки компанії, що займається програмним забезпеченням, зазначив, що аналітична функція Peer Benchmarking платформи Veracode, запропонувала важливу інформацію про їх шлях до більш розвиненої системи безпеки: «Наші постачальники, наша репутація, наша довіра та репутація наших клієнтів на кону , тому ми намагаємося випереджати галузь. Коли ми проводимо контрольні тести, ми завжди знаходимо, де [ми] точно випереджаємо наших аналогів».

Зменшено кількість дефектів із високим ризиком та обсяг гепів. Опитані пояснили, що їхнім організаціям вдалося суттєво та вимірно скоротити гепи із високим ризиком безпеки та запропонувати більше додатків, які відповідають політиці безпеки їхньої організації, тим самим зменшивши можливість рівень загрози експлуатації вразливостей для суб’єктів.
CISO компанії, що займається технологіями охорони здоров’я, підрахував, що їхня організація змогла зменшити ризик атаки на ланцюжок постачання з відкритим кодом, усунувши 60% заборгованості за безпеку з відкритим кодом за допомогою платформи Veracode: «Ми почали сканувати близько року тому і працювали над [приблизно] 60% видатних [недоліків програмного забезпечення] з відкритим кодом. Це 20 років технічної заборгованості, яку ми подолали за цей час, головним чином тому, що ми змогли контролювати випуски програмного забезпечення за допомогою Veracode».
Той самий респондент також зазначив, що платформа Veracode допомогла збільшити відсоток додатків, які відповідають політикам. CISO підрахував, що до Veracode, приблизно 5% додатків їхньої організації відповідали політиці, порівняно з понад 60% (і продовжує зростати) сьогодні із платформою Veracode.
Керівник відділу глобальних інженерних інструментів у компанії професійних послуг поділився, що їхня організація усунула критичні недоліки та вразливості, зазначивши: «Сьогодні я дуже радий сказати, що у нас немає дуже високих або високих уразливостей для всіх 113 додатків».
Інженер із безпеки додатків у майнінговій компанії обговорив, як їхня організація зменшила ризик, пов’язаний з програмною атакою, усунувши вразливості високого та дуже високого ризику та не допускаючи їх. Після досягнення цієї мети компанія перейшла до зменшення кількості вразливостей із середнім рівнем ризику на 75%. «За два місяці нам вдалося усунути всі високі та дуже високі вразливості у всіх додатках. Ми щодня створюємо звіти та скани, і протягом двох місяців ми не помітили жодної вразливості високого чи дуже високого ступеня тяжкості. Тож вони не просто виправляють їх; вони запобігають їх повторним використанням, як відомих безпечних функцій і модулів у кодовій базі».

Моделювання та припущення. На основі інтерв’ю Forrester припускає наступне щодо Компанії:

Вона має ймовірність у 89% зазнати одного або кількох порушень на рік, причому 49% порушень походять від зовнішніх атак. Вартість програмної атаки для такої організації становить 3 мільйони доларів.⁵
Компанія зменшує ймовірність витоку даних, спричиненого атакою на основі програмного забезпечення, на 70% за перший рік. Це збільшується до 75% у 2 та 3 роки інвестиції з додаванням сканування DAST за допомогою Veracode.
У перший рік сукупна економія організації від зменшення ризику суттєвих порушень склала 925 000 доларів США, збільшившись на 5% до 992 000 доларів США у роки 2 і 3 через додавання DAST до портфоліо тестування.
У перший рік компанія підключила 40% розробників до платформи Veracode і це зросте до 80% у 2 році, а 100% розробників будуть на платформі Veracode до кінця 3 року.

Ризики. Результати можуть відрізнятися від представлених у фінансовій моделі через:

Ймовірності одного або кількох зломів від зовнішніх атак на рік.
Вартості програмної атаки.
Зменшення ймовірності витоку даних завдяки Veracode.
Відсотка розробників, які перейшли на платформу Veracode.
Можливості впровадження платформи безпеки в усій організації.
Кількості додатків, орієнтованих на клієнтів.

Результати. Щоб врахувати ці ризики, компанія Forrester скоригувала ці вигоди в бік зменшення на 15%, що дало загальну PV

Результати. Щоб врахувати ці ризики, компанія Forrester скоригувала ці вигоди в бік зменшення на 15%, що дало загальну PV за три роки з поправкою на ризик (з дисконтом 10%) у розмірі 1,5 мільйона доларів.

80%

Підвищення продуктивності розробника

«Ми будуємо на хорошому чистому коді, і коли [розробники] додають новий код, вони знають, що вони зараз роблять, у ньому немає недоліків, і [сканування] насправді є лише підтвердженням».

Директор з ризиків та безпеки, програмне забезпечення

Підвищення продуктивності безпеки програми

Докази та дані. Опитувані поділилися, що їхні організації переробили свої програми AppSec за допомогою платформи Veracode; вони значно скоротили трудомісткість сканування та підвищили ефективність програми. А саме:

Отримано кращі можливості щодо інструментів безпеки програми. Опитувані поділилися тим, що платформа Veracode надала більш ефективний набір інструментів, ніж раніше. Це дозволило їхнім ресурсам і розробникам AppSec усунути ручні процеси, одночасно підвищивши ефективність і вплив результатів сканування на рівень безпеки. У деяких випадках організаціям вдалося уникнути розростання продуктів і збільшення кількості персоналу AppSec для досягнення бізнес-цілей.
Керівник глобальних інженерних інструментів у компанії професійних послуг сказав, що платформа Veracode здатна керувати робочим навантаженням, яке вимагало б більше десятка додаткових ресурсів у попередньому середовищі: «Я [це сказав своєму керівництву], якщо б я не отримати Veracode, то мені знадобитлись би 13 FTE, щоб мати належну команду безпеки лише для обслуговування [мого бізнес-підрозділу]».
Той самий респондент також повідомив, що їхня організація значно покращила здатність менеджерів AppSec сортувати тестування для оптимальних графіків випуску. До інвестування у Veracode, їхня організація мала обмежені можливості сортування сканів через необхідність робити це вручну: «Я б сказав, що ми не могли [сортувати] достатньо ефективно. … Щоб зробити це належним чином, вам знадобиться принаймні 10 годин, щоб оцінити [які сканування сортувати], а тепер ви можете зробити це одним поглядом».

Використовується автоматизація для зменшення ручної праці та помилок. Опитувані обговорювали, як скорочення ручних зусиль дозволило їхнім організаціям масштабувати програму AppSec із тією самою чисельністю персоналу.

Директор відділу ризиків і безпеки компанії, що займається програмним забезпеченням, розповів, як платформа Veracode допомогла їхній організації досягти бажаних рівнів швидкості та узгодженості для безпеки додатків: «Якщо ви подивіться на 20 000 сканувань на рік, підготовка кожного сканування займає близько 2 годин. якщо ви робите це вручну. Це 40 000 [співробітників] годин на рік. … Якби ми все ще робили це вручну, ми б не робили 20 000 сканувань на рік; ми не зможемо встигати за двотижневими падіннями».

AppSec змістився далі вліво в життєвому циклі розробки програмного забезпечення. Двоє з чотирьох опитаних обговорили, як їхні організації використовували платформу Veracode, як інструмент, що дозволяє розробникам повноцінно керувати зусиллями AppSec.
Інженер із безпеки додатків майнінгової компанії поділився, як використання Veracode в їхній організації принесло користь розробникам: «Як я бачу, це чудово для людей із безпеки, але це не інструмент безпеки; це інструмент розробника. … Щойно вони розуміють, як це працює, і що це допоможе їм стати кращими розробниками, вони приймають це, вони хочуть ним користуватися. І вони хочуть дізнатися більше… замість того, щоб наймати нових людей для виконання конкретної діяльності, пов’язаної з безпекою, люди в команді активізувалися, щоб це зробити… що дивовижно».
Директор відділу ризиків і безпеки в програмній компанії розповів, як використання платформи Veracode дозволило їхній організації ефективно перенести AppSec повністю на розробників. Їхній організації вдалося швидко усунути критичні гепи безпеки, що значно зменшило кількість результатів, які розробники повинні були перевірити, при чому це значно збільшило обсяги сканування. Це дозволило їхній організації перерозподілити два з трьох ресурсів AppSec для більш цінних дій. У той же час він культивував програму «чемпіонів безпеки»: у середньому кожен сьомий розробник був чемпіоном безпеки додатків, який взяв на себе частину заходів із зв’язків з розробниками, які раніше проводилися менеджерами AppSec.
Той самий респондент розповів, як використання платформи Veracode привнесло програму чемпіонів безпеки в їхній організації. З точки зору праці розробників, ця програма передбачала проведення додаткових щомісячних зустрічей для розробників для обговорення та просування їхніх зусиль AppSec. Вони сказали: «Зараз моя команда безпеки [додатків] складається з однієї людини. Це я. Але у мене є від 70 до 80 чемпіонів із безпеки в науково-дослідних та інженерних групах, які читають звіти, керують бізнесом, з якими я маю періодичні зустрічі та [які] пришвидшують роботу».

Покращили навички своїх ресурсів AppSec. CISO компанії, що займається технологіями охорони здоров’я, поділився тим, як їхній організації вдалося покращити навички двох ресурсів AppSec, скориставшись функцією підтримки клієнтів і консультацій платформи Veracode.

У попередньому середовищі їхня організація виділяла кваліфікованих сеньйорів для AppSec, але ці високоцінні FTE були неефективні. Платформа Veracode дозволила їхній організації виділити джуніорів на тактичні стратегії виправлення розробників. Це дозволило сеньйорам, чий час коштував на 50% більше, витрачати більше часу на стратегічні дії та вирішення складних проблем безпеки. Вони пояснили: «Оскільки ми зміщуємося ліворуч, і ці розробники зараз звертаються все більше й більше за ресурсами AppSec, ми зможемо направляти їх на консультації, що дозволить нам масштабуватись без залучання додаткових ресурсів AppSec».

Моделювання та припущення. На основі інтерв’ю Forrester припускає наступне щодо Компанії:

Вона присвятив 16 640 годин роботі над захистом додатків у попередньому середовищі.
У перший рік компанія підключила 40% розробників до платформи Veracode. Це зросте до 80% у 2 році, а 100% розробників на платформі Veracode до кінця 3 року.
Автоматизація Veracode зменшує зусилля, пов’язані з робочими процесами AppSec, на 80% у 1-й рік, збільшуючись до 85% у 2-й і 3-й роки завдяки тестуванню DAST і подальшому ефекту масштабування.
Ресурси, призначені для AppSec, вивільнюють 80% цієї економії часу для застосування їх для більш цінних дій.
Повна погодинна ставка інженера AppSec становить 71 долар США.

Ризики. Результати можуть відрізнятися від представлених у фінансовій моделі через:

Загальні зусилля щодо безпеки програми в попередньому середовищі.
Відсоток розробників, які перейшли на платформу Veracode.
Відсоток робочих процесів AppSec, автоматизованих за допомогою Veracode.
Відновлення продуктивності.
Розмір і обсяг портфоліо додатків і команд розробників.

Результати. Щоб врахувати ці ризики, компанія Forrester скоригувала цю вигоду в бік зменшення на 10%, що дало загальну PV за три роки з поправкою на ризик (з дисконтом 10%) у розмірі 1,27 мільйона доларів.

85%

Зменшення ручних робочих процесів AppSec

«[Раніше] у мене була фантастична команда безпеки додатків. Вони чудово справлялися і виконували свою роботу, але все це були перевірки вручну, тому масштабування не було. Платформа Veracode дозволила нам розширити її масштаб і набагато краще використовувати їхній час».

CISO, технології охорони здоров’я

Покращений дохід

Докази та дані. Декілька опитаних описали, як підвищення продуктивності та зменшення гепів, описані вище, дозволили компаніям зосередитися на інноваційних продуктах. Опитані перерахували способи, як платформа Veracode безпосередньо вплинула на зростання доходів їхніх організацій, від наявних пропозицій і до нових продуктів. Опитувані поділилися тим, як платформа дозволила їм:

Розробляйте нові продукти, моделі залучення та підходи і виходьте на ринок. Декілька опитаних вказали на ключову роль, яку відіграла платформа Veracode у допомозі досягти цілей цифрової трансформації їхніх організацій. Зокрема, платформа надала потужні та надійні інструменти для вдосконалення їхніх безпекових програм розробки програмного забезпечення для гнучкості бізнесу, а також для розробки нових підходів для виходу на ринок.

Директор відділу ризиків і безпеки в програмній компанії розповів, як їхні розробники використовували платформу Veracode для трансформації своїх продуктів. Їх організація перевела свій розгалужений ліцензійний набір продуктів, який вимагав значних зусиль у розробці під ретельним контролем, на консолідовану пропозицію на основі підписки. У порівнянні з доходами, витраченими на існуюче ліцензування продуктів, організація збільшила загальний дохід на 20% після зміни моделі виходу на ринок у 2016 році — і на 32% за останні три роки. Вони сказали Forrester: «Майбутнє [компанії] ґрунтувалося на прибутках від підписок порівняно з ліцензіями, що було ризиком, [але] … ці зміни відбуваються надзвичайно добре. … Ринок любить це. Наш потік доходу просто прекрасний».
CISO компанії, що займається технологіями охорони здоров’я, вказав, що завдяки переходу на платформу Veracode, їх організація відповідатиме суворішим вимогам державного сектору, тим самим відкриваючи для їх організації набагато більші можливості на ринку державного сектора: «[Платформа Veracode] життєво важливий для нашого отримання FedRAMP, оскільки FedRAMP не може мати середніх [уразливостей] і вище, а Veracode досить чітко повідомляє нам, що є середнім і вище за стандартною оцінкою. [Наші доходи в цьому сегменті] починаються приблизно з 25 мільйонів доларів річного доходу. Я не знаю, звідки він [звідти] виросте, але] він буде величезним».
Директор із ризиків і безпеки компанії, що займається програмним забезпеченням, поділився тим, як їх організація масово збільшила частоту тестування за допомогою платформи, щоб збільшити кількість нових функцій на ринку: «У минулому, якщо ми п’ять разів сканували випуск протягом 12 місяців, це могло бути адекватним. [Тоді як зараз] ми випускаємо релізи кожні два тижні, тому ми скануємо сотні разів перед релізом кожні два тижні. Отже, на сьогоднішній день, якщо ви включите сканування на основі агентів для SCA, ми маємо приблизно 10 000–15 000 сканувань на тиждень. Ми просто прискорили справу. Коли у вас є автоматизація, ви просто починаєте виконувати цикли набагато швидше».

Поліпшення відповідності продукту ринку. Опитувані детально розповіли, як автоматизація та вдосконалення процесів AppSec дали розробникам більше часу, щоб зосередитися на інноваційних продуктах і відгуках клієнтів. Розробники змогли надати нові функції швидше, у коротші терміни та з упевненістю, що безпека була вбудована в процес.

Директор із ризиків і безпеки в програмній компанії сказав, що перехід на платформу тестування Veracode на основі SaaS допоміг їхній організації консолідувати та модернізувати свої продукти. Компанія з програмного забезпечення змогла консолідувати свій застарілий ліцензійний портфель із 35 продуктів і уникнути відповідних операційних витрат, капітальних витрат, автономних інструментів і локального обладнання.

Швидше виводьте продукти на ринок. Завдяки швидкому всебічному тестуванню безпеки додатків через платформу Veracode, респонденти повідомили про пришвидшені графіки доставки програмного забезпечення з кращим часом окупності.

Директор із ризиків і безпеки компанії, що займається програмним забезпеченням, пояснив, як платформа Veracode прискорила швидкість виходу їхніх команд розробників на ринок, дозволивши організації перейти від щорічного до двотижневого графіка випуску. Він сказав: «Ми постійно надаємо нові функції кожні два тижні. Раніше клієнт міг сидіти на версії протягом трьох років без покращення функцій, а потім проходити оновлення, яке займає шість або вісім місяців [щоб його отримати], тоді як зараз ми розгортаємо нові функції щ два тижні».

Продемонструйте узгодженість із дедалі суворішими вимогами безпеки клієнтів. Опитувані пояснили, як сьогоднішній бізнес-ландшафт, повний злому, спонукав до більш суворих умов співпраці. Вони зазначили, що клієнти вимагають більше інформації про безпеку додатків у своїх запитах. Під час переходу на платформу Veracode та зменшення гепів безпеки, респонденти відзначили, що їхні організації за своєю суттю стали більш безпечними та прозорими. Вони використали можливості звітування, вбудовані в платформу, щоб повідомити клієнтам про свою безпеку краще, чіткіше та швидше, ніж у попередньому середовищі. Опитані також зазначили, що простої згадки про те, що їх організація використовує платформу Veracode, було достатньо, щоб запевнити клієнтів у своїй відданості безпеці додатків і захисту даних клієнтів.
CISO компанії, що займається технологіями охорони здоров’я, зазначив, що в результаті їхньої здатності обслуговувати більше клієнтів державного сектору та відрізнятися від конкурентів шляхом досягнення вищого рівня FedRAMP, усі сегменти їхніх клієнтів отримають вигоду від цього зобов’язання щодо вищого рівня безпеки. . Він поділився: «Якщо ви [] комерційна [організація], а не уряд, ви все одно отримуєте вигоду від усієї безпеки, якому [досягнення цього рівня] FedRAMP перешкоджає. Таким чином, це стає ще одним пунктом продажу для цих [комерційних] клієнтів, і ми будемо єдиною компанією, яка може це сказати [на нашому ринку]».
Директор відділу ризиків і безпеки компанії, що займається програмним забезпеченням, описав Veracode як такий, що дозволяє їм відповідати на запити клієнтів щодо безпеки. Виділяючи Veracode як ключову рушійну силу програми AppSec своєї організації, співбесідник сказав, що вони змогли швидко усунути проблеми AppSec клієнтів. Опитуваний також сказав Forrester, що платформа Veracode є життєво важливою частиною того, чому їх організація має безпеку та видимість, необхідні для підвищення авторизації FedRAMP. Вони також відзначили ефект ореолу, який вищий рівень безпеки матиме на їхніх клієнтських сегментах у приватному секторі, з переконливими звітами, які продемонстрували зрілу позицію безпеки їхньої організації. Опитуваний поділився, що, маючи платформу Veracode як частину свого стеку, вони змогли швидко сигналізувати на зустрічах із клієнтами, що програма AppSec організації належним чином піклуватиметься про дані потенційних клієнтів: «Коли ми почали використовувати Veracode, ми змогли надавати статистику по частоті сканування та виправлення помилки. … Ми говорили про Veracode, і ті, хто знав [AppSec], казали: «Добре, з безпекою розібрались. Що далі?»

Моделювання та припущення. На основі інтерв’ю Forrester припускає наступне щодо Компанії:

У попередніх умовах Компанія отримувала 50 мільйонів доларів США щорічного доходу від сегментів, що розвиваються.
Завдяки інвестиціям у платформу Veracode, людей і процеси для її підтримки, Компанія виходить на нові ринки та розробляє нові продукти. Цей новий підхід до виходу на ринок, збільшує річний дохід від сегментів, що розвиваються, на 20% щороку. Компанія приписує одну третину цих 20% зростання своїм інвестиціям у платформу Veracode, що дорівнює 6,6% загальних доходів від сегментів, що розвиваються.
У перший рік компанія підключила 40% розробників до платформи Veracode. Цей показник зросте до 80% у 2 році, а 100% розробників будуть на платформі Veracode до кінця 3 року.
33% цього впливу на дохід приписують Veracode завдяки швидшому виходу компанії на ринок, відкриттю нових ринків і продуктів, а також кращій здатності відповідати вимогам безпеки AppSec клієнтів.
Операційна маржа становить 20%.

Ризики. Результати можуть відрізнятися від представлених у фінансовій моделі через:

Річний дохід від сегментів зростання в попередньому середовищі.
Людей, процесів або технологічних факторів, які можуть впливати на покращення доходів у сегменті зростання.
Розмір і обсяг портфоліо додатків і відповідних команд розробників.
Відсоток розробників, які підключилися до платформи Veracode, і здатність прийняти платформу в усій організації.
Широта програм, орієнтованих на клієнтів.
Операційна маржа.

Результати. Щоб врахувати ці ризики, компанія Forrester скоригувала цю вигоду в бік зменшення на 20%, що дало загальну PV з поправкою на ризик за три роки (з дисконтом 10%) у розмірі 940 000 доларів США.

6,6%

Дохід від сегментів зростання, пов’язаних із Veracode

«Наша чуйність на ринок зараз неймовірна. Ми можемо обертатися, змінюватися і рухатися швидко».

Директор з ризиків та безпеки, програмне забезпечення

Некількісні переваги

Опитувані згадали наступні додаткові переваги, які їхні організації відчули, але не змогли кількісно оцінити:

Розширені можливості звітності. До того, як інвестувати в платформу Veracode, респонденти зазначили, що їхнім організаціям бракувало жодної інформації про їхні ризики чи недоліки безпеки, і вони не могли звітувати про це розробникам, керівництву, клієнтам і регуляторам. Проте респонденти описали цінність платформи Veracode, яка має вбудований доступ на вимогу до чіткої та дієвої інформації. Вони також змогли витрачати менше ресурсів на підготовку до відповідності та подальші дії, і це допомогло запевнити потенційних клієнтів, що їхні організації є безпечними партнерами з обробки даних.
Керівник глобальних інженерних інструментів компанії професійних послуг зазначив: «Найбільша перевага, яку я маю сьогодні, — це звітність. Мені це дуже подобається. Для мене її дуже легко використовувати, і я також надав своєму технічному директору доступ, щоб він міг просто переглядати звіти».
CISO компанії, що займається охороною здоров’я, зазначив, що платформа Veracode допомогла їхній організації уникнути комісій від постачальників, які оцінюються в десятки тисяч доларів на рік. Ця вбудована власна можливість звітування також значно покращила ясність аналітичних даних порівняно зі звітами, за які доводилося платити в попередньому середовищі. Вони сказали: «Я завжди в Veracode створюю інформаційну панель, щоб розповісти ту чи іншу історію, і коли я не можу її створити, я звертаюся до Veracode, щоб віе допоміг мені це зробити, і вони не стягують з мене гроші».

Вищій рівень ІТ дозволяє більше витрачати на безпеку. Деякі респонденти зазначали, що звіти, створені платформою Veracode, забезпечували високий рівень видимості та прозорості, необхідні для отримання більших бюджетів і більших інвестицій у безпеку додатків.

CISO компанії, що займається технологіями охорони здоров’я, зазначив, що ефективність і чіткість результатів сканування платформи дали їхньому керівництву достатньо доказів для підтримки розширення інвестицій у AppSec: «Коли я звітую перед керівництвом або правлінням, це стосується двох речей: : покращення [на сьогоднішній день] і про те, скільки ще нам потрібно зробити, [і зараз] ми можемо показати обидва. Це зрештою означає, що ми отримуємо ресурси для продовження нашої роботи».

Оптимізовані витрати на технології. Більшість опитаних зазначили, що їхні організації збільшили свої загальні інвестиції в безпеку додатків із розгортанням платформи Veracode. Однак під час переходу вони відзначили, що їхні організації уникли кількох успадкованих витрат, запобігли розростанню продуктів і оптимізували витрати в інших сферах.

CISO компанії, що займається технологіями охорони здоров’я, зазначив, що включення платформи Veracode в їхню організацію, допомогло знизити витрати на підтримку кіберстрахового покриття. Вони також розповіли, як це допомогло запобігти розростанню продукції. «Ми позбулися [нашого застарілого рішення], але ми б залучили інструменти інших брендів, тож це запобігло розширенню кількості інструментів, оскільки це обов’язково об’єднало нас».

Покращена культура безпеки. Опитані відзначили, що підвищення продуктивності для розробників і ресурсів безпеки мало кілька каскадних впливів. Окремі учасники повідомили про кращий повсякденний досвід і стосунки.
CISO компанії, що займається технологіями охорони здоров’я, спостерігав загальне покращення відносин між командами безпеки та розробниками в результаті інвестицій їхньої організації в платформу Veracode. Частково це покращення було отримано від стимулювання дій щодо недоліків безпеки, які було б важко, якщо не неможливо, виявити в попередньому середовищі. Вони сказали: «Ми дуже тісно співпрацюємо з [розробниками], щоб допомогти їм зрозуміти, де вони не знають, як усунути вразливості. … Я думаю, що [платформа Veracode] допомогла нам бути в одній команді, емоційно кажучи. Усі команди AppDev повинні розуміти, що ці ризики існують і що я збираюся завадити їм перейти до виробництва разом з [ними]. Ці речі впливають на їхні бонуси, що спонукає їх виправляти ці вразливості».
Директор відділу ризиків і безпеки компанії, що займається програмним забезпеченням, розповів, як їхній організації вдалося створити зрілу, складну культуру безпеки, керовану розробниками, інтегровану в цикл розробки. Вони сказали: «[Ми взяли] автоматизацію разом із нашим конвеєром CI/CD, створили команди чемпіонів безпеки та scrum і створили непомітну розподілену програму безпеки. [Розробники] так багато займаються безпекою, що навіть не підозрюють про це».

Покращений досвід розробників і зрілість безпеки. Опитані зазначили, що платформа Veracode підготувала їхніх розробників, зібравши всі їхні потреби в тестуванні в одному місці. Вони поділилися тим, що ясність ідей і звітів Veracode також допомогла прищепити більше цінування безпеки та сприяти міцним стосункам між розробниками та спільнотами безпеки в їхніх організаціях.
Керівник глобальних інженерних інструментів компанії професійних послуг сказав: «Veracode відіграв ключову роль у створенні цього єдиного інструменту для отримання допомоги щодо тестування безпеки за допомогою DAST, компонування програмного забезпечення та статичного сканування. Якби у нас цього не було, ми б витратили набагато більше часу… занурюючись у всі ці різні інструменти. Тепер, коли у нас є один постачальник, ми можемо попросити команду адаптації прийти та провести сесію на певну тему для всіх, що надзвичайно фантастично».
CISO компанії, що займається медичними технологіями, поділився: «Моя команда дуже задоволена тим, як легко пояснити розробникам, як цим користуватися. Це дуже простий у використанні інструмент… [і розробники] стають щасливішими, коли вони наздоганяють цей технологічний геп, і він більше не [на їхньому розумі]».

«Коли мені довелося повернутися й [виправдати] більше доларів за додаткові ліцензії Veracode, усі вже розуміли цінність цього, [включаючи] те, як це вплинуло на нашу здатність виконувати наші [федеральні] контракти. Тож у мене не було проблем із отриманням додаткового фінансування для розширення Veracode».

CISO, охорона здоров’я

Гнучкість

Цінність гнучкості унікальна для кожного клієнта. Існує кілька сценаріїв, за яких клієнт може запровадити платформу Veracode, а потім реалізувати додаткові можливості використання та бізнес-можливості.

Зокрема, директор відділу ризиків і безпеки в програмній компанії зазначив, що зростаюча зрілість безпеки їхньої організації стала поштовхом для розширення платформи Veracode. Його організація створила комітет для планування подальшої реархітектури своєї програми розвитку та створення наступних функцій платформи відповідно до бізнес-цілей компанії:

Виправлення Veracode. Розробник програмного забезпечення респондента перебував на стадії підтвердження вартості для Veracode Fix; він хоче використовувати його для підвищення ефективності розробників у виправленні недоліків, одночасно покращуючи швидкість для безпечної розробки.
Безпека контейнера Veracode. Опитуваний також розповів Forrester, що їхня організація інвестує у функціональність Container Security на платформі Veracode для додаткового охоплення стека додатків.

Гнучкість також буде кількісно оцінена, якщо її оцінювати як частину конкретного проекту (більш детально описано в Додатку А).

«Я починаю підвищувати стандарт [AppSec], включаючи переведення нас на [вищий] рівень FedRAMP. Ми змінюємо архітектуру конвеєра CI/CD, ми запроваджуємо нову технологію, ми запроваджуємо сканування контейнерів, ми почали розглядати Veracode Fix. Ми починаємо шукати рішення, яких я не шукав у минулому, тому що ми готуємося до справді божевільного року. … Гра скоро суттєво зміниться».

Директор з ризиків та безпеки, програмне забезпечення

Аналіз витрат

Кількісні дані про вартість у застосуванні до Компанії

Вартість Veracode

Докази та дані. Організації респондентів розгорнули різні конфігурації платформи Veracode відповідно до своїх випадків використання, включаючи SAST, SCA, DAST, PTaaS, eLearning, Security Labs, а також служби підтримки та підтримки клієнтів.

Інженер із безпеки додатків майнінгової компанії розповів, що лабораторії електронного навчання та безпеки платформи Veracode, надали розробникам постійні асинхронні можливості збагачення AppSec. Вони також відзначили, що частота сканування їхньою організацією становить 20 000 статичних сканувань на рік і ще 10 000 сканувань DAST щотижня. Розмірковуючи про цінність, отриману їхньою організацією від платформи Veracode, учасник інтерв’ю поділився: «Це доступно, і зважаючи на те, що вона пропонує, воно того варте. … Це хороша ціна».
Ціни можуть відрізнятися. Зв’яжіться з Veracode для отримання детальної інформації.

Моделювання та припущення. На основі інтерв’ю Forrester припускає наступне щодо комбінованої організації:

У перший рік Компанія розгортає щоденне сканування SCA та SAST для 60% критично важливих додатків, орієнтованих на клієнтів, наприклад тих, що приносять дохід, а також 50% внутрішніх критичних додатків, як-от управління персоналом. Також запускаються лабораторії електронного навчання та безпеки на платформі Veracode, до якої на цьому етапі залучається 40% розробників.
У другому році Компанія розширює масштаби своєї програми сканування, щоденно скануючи SCA та SAST для всіх критичних додатків. Також додається щомісячне сканування DAST для всіх критичних додатків і запускається PTaaS. До кінця року 80% усіх розробників переходять на платформу Veracode.
У третьому році Компанія впроваджує решту 250 некритичних додатків за тим самим розкладом, причому всі додатки тепер скануються за щоденним графіком SCA та SAST і щомісячно DAST. До кінця періоду інвестування всі розробники перейдуть на платформу Veracode.

Ризики. Результати можуть відрізнятися від представлених у фінансовій моделі через:

Ступінь розгортання можливостей AppSec на платформі Veracode.
Розмір і обсяг портфоліо додатків відповідних команд розробників.
Відсоток розробників, які підключилися до платформи Veracode, і можливість запровадити цю платформу в усій організації.
Широту програм, орієнтованих на клієнтів.

Результати. Щоб врахувати ці ризики, Forrester підвищив ці витрати на 5%, отримавши трирічний загальний PV з поправкою на ризик (з дисконтом 10%) у розмірі 2,0 мільйона доларів США.

Збільшення потужності сканування за допомогою автоматизації
«Коли ми впроваджували автоматизацію в 2018 році, ми [робили] 4000 сканувань, а сьогодні ми робимо від 24 000 до 25 000 сканувань на рік, і це [все завдяки] автоматизації».

Директор з ризиків та безпеки, програмне забезпечення

Розгортання

Докази та дані. Опитувані обговорили внутрішні та зовнішні витрати на розгортання та підходи їхніх організацій до масштабування платформи Veracode. Серед них:

Внутрішні та зовнішні витрати на розгортання. Опитувані розрізняли негайні етапи розгортання для встановлення платформи Veracode та ширший процес для залучення розробників до стабільного стану. Опитані сказали, що перший швидкий процес розгортання тривав від двох днів до двох тижнів і включав зусилля з налаштування сканерів і користувачів. Більш широкий організаційний процес впровадження тривав від трьох до шести місяців і складався з підтвердження концепції, планування, надання доступу розробникам і адміністраторам, конфігурації та інтеграції інструментів, а також розгортання додатків, включаючи налаштування користувача, інтеграцію конвеєра та калібрування сканування.
Інженер із безпеки додатків майнінгової компанії повідомив, що їхня організація провела дводенну підготовку платформи: «Оскільки Veracode — це хмара, нам не знадобилося апаратне забезпечення. Фактично реалізацію зробили за два дні. Потім це включало налаштування всіх користувачів, налаштування сканера».
Керівник відділу глобальних інженерних інструментів у компанії професійних послуг сказав, що повний процес впровадження в їхній організації тривав три місяці. Однак він відзначив, що протягом цього терміну служба підтримки клієнтів Veracode гарантувала, що розробники зможуть інтегрувати конвеєри та бути готовими до сканування протягом 3 годин після налаштування користувачів.
CISO компанії, що займається технологіями охорони здоров’я, поділився, що вся реалізація в їхній організації тривала від трьох до шести місяців між перевіркою концепції та запуском. Протягом цього часу респондент повністю виділяв один внутрішній ресурс для розгортання, наприклад, налаштування інтеграції єдиного входу. Він виділив 50% інших внутрішніх ресурсів на інтеграцію пайплайнів.

Міркування щодо масштабування. Опитувані розмірковували про те, як їхні організації підійшли до таких елементів впровадження, як політика та частота сканування, визначення пріоритетів і розширення платформи.
Інженер із безпеки додатків майнінгової компанії описав шестимісячний процес адаптації для сканування всіх критичних і високоризикованих додатків у Veracode. Потім їхня організація розширилася до статичного сканування, щоб охопити критично важливі додатки та додатки з найвищим ризиком залежно від типу керованих даних, наприклад SOC та HR. Він поділився: «Ми маємо ризиковану групу від 25 до 30 із 108 додатків, які вважаються найризиковішими… регулярно скануються за допомогою динамічної, статичної та програмної композиції».
Керівник відділу глобальних інженерних інструментів у компанії професійних послуг описав, як їхня організація розширилася на інші секції: «Я співпрацював з іншим відділом, коли ми обирали постачальника, і почав пропагувати інші бізнес-сфери, що ми повинні інвестувати в корпоративні угоди, щоб мати SAST, DAST та аналіз складу програмного забезпечення. Оскільки ми довели цінність, усі інші підрозділи також погоджуються».

Моделювання та припущення. На основі інтерв’ю, Forrester припускає наступне щодо Компанії:

Компанія виділяє 780 годин ресурсів для розгортання Veracode протягом початкового тримісячного періоду. У перший рік Компанія присвячує 130 годин підтримці впровадження та масштабування. Компанія ще більше розширює зусилля з розгортання у другий рік, приділяючи 260 годин ресурсів на розгортання DAST і зусилля з остаточного впровадження та масштабування.
Повна погодинна ставка ресурсу впровадження становить 65 доларів США.
Компанія залучає стороннього партнера з розгортання за 100 000 доларів США. Компанія продовжує залучати третю сторону через послідовне масштабування та розгортання DAST, сплачуючи 50 000 доларів США у вигляді комісій стороннім партнерам у першому році, ще знижується до 25 000 доларів США у другому році.

Ризики. Результати можуть відрізнятися від представлених у фінансовій моделі через:

Розмір і обсяг портфоліо додатків і пов’язаних команд розробників.
Відсоток розробників, які підключилися до платформи Veracode, і можливість запровадити цю платформу в усій організації.
Кількість FTE та загальну кількість FTE-годин, присвячених ітераційним розгортанням.
Погодинною ставкою ресурсів впровадження та розробників і переважання офшорних або контрактних розробників.
Залученням третьої сторони для розгортання. Організації, які не залучають третю сторону, можуть розраховувати на більшу кількість робочих годин внутрішнього впровадження та вищі відповідні витрати на персонал і накладні витрати.

Результати. Щоб врахувати ці ризики, Forrester підвищив ці витрати на 5%, отримавши загальну PV з поправкою на ризик за три роки (з дисконтом 10%) у розмірі 250 000 доларів США.

3 години

Час адаптації розробника від налаштування користувача до конвеєра інтегрованого сканування

«[З платформою Veracode] ми запроваджували нові додатки партіями по десяток за раз, і ці сканування запускалися одразу й давали результати. … У якийсь момент у нас було близько 4500 середніх вразливостей. Я щойно переглянув сьогодні ще раз, і там 1600, зниження на 75%».

Інженер безпеки додатків, майнінг

Керування та масштаб

Докази та дані. Оскільки організації учасників опитування проходили поетапне розгортання платформи Veracode, описане вище, вони швидко змогли досягти стабільного робочого стану. Опитані описали, як їхні організації мали справу з:

Адміністративні витрати. Після початкового запуску та масштабного розгортання платформи Veracode, респонденти повідомили про мінімальні поточні адміністративні витрати.
CISO компанії, що займається технологіями охорони здоров’я, поділився, що поточні адміністративні зусилля з підтримки платформи Veracode, були обмежені приблизно 2 годинами на тиждень.
Керівник відділу глобальних інженерних інструментів компанії професійних послуг поділився, що основна частина адміністрування платформи Veracode в їхній організації займала приблизно 2 години на місяць у формі годинної щомісячної зустрічі з двома внутрішніми ресурсами.

Розгляд масштабування та адаптації. Опитувані також обговорили способи, якими їхні організації просували та сприяли прийняттю платформи.
Інженер із безпеки додатків майнінгової компанії зазначив, що чітка звітність платформи Veracode зіграла важливу роль у підтримці впровадження розробниками: «Я не думаю, що без Veracode щось було б зроблено, оскільки не було б видимості та прозорості. Спільнота розробників не стала б навмисно вводити функцію безпеки програмного забезпечення, тому все залишилося б так, як було».
Директор відділу ризиків і безпеки компанії, що займається програмним забезпеченням, розповів, як використання платформи Veracode увімкнуло програму чемпіонів безпеки в їхній організації. З точки зору праці розробників, ця програма передбачала проведення додаткових щомісячних зустрічей для розробників для обговорення та просування їхніх зусиль AppSec.
Керівник відділу глобальних інженерних інструментів у компанії професійних послуг зазначив, що їх організація має намір якомога більше розширити впровадження: «У [моєму бізнес-підрозділі] нас 230 людей, і у нас 140 людей, які працюють на платформі, але я хочу залучити якомога більше. Я хочу, щоб менеджери з продуктів могли зайти й використовувати інструмент для отримання звітів, щоб знати стан безпеки».

Моделювання та припущення. На основі інтерв’ю Forrester припускає наступне щодо Компанії:

Компанія витрачає 2 години на тиждень на адміністрування платформи Veracode, що становить 106 годин у перший рік. З впровадженням та розвитком платформи це збільшується до 127 годин адміністрування у другий та до 152 годин у третій роки.
Крім того, 15% зареєстрованих розробників щомісяця беруть участь у 1-годинному залученні спільноти практиків (COP). Це може включати щомісячну годинну внутрішню зустріч COP, електронне навчання, лабораторії безпеки та інші можливості збагачення AppSec.
Погодинна ставка розробника з повним навантаженням становить 65 доларів.

Ризики. Результати можуть відрізнятися від представлених у фінансовій моделі через:

Розмір і обсяг портфоліо додатків і пов’язаних команд розробників.
Відсоток розробників, які підключилися до платформи Veracode, і їх здатність адаптувати платформу в усій організації.
Рівень участі розробників у спільнотах практики AppSec.
Погодинної ставки адміністратора.

Результати. Щоб врахувати ці ризики, Forrester підвищив ці витрати на 5%, отримавши загальну PV з поправкою на ризик за три роки (з дисконтом 10%) у розмірі 196 000 доларів США.

2 години

Адміністрування платформи на тиждень

«[Адміністрування платформи Veracode] залишається досить стабільним. Це змінюється лише тоді, коли ми розглядаємо наступну частину реалізації».

CISO, технології охорони здоров’я

Фінансове резюме

Консолідовані трирічні показники з поправкою на ризик

Фінансові результати, розраховані в розділах «Вигоди» та «Витрати», можна використовувати для визначення ROI, NPV і періоду окупності інвестицій компанії. Для цього аналізу Forrester передбачає річну ставку дисконтування 10%.

Ці значення ROI, NPV і періоду окупності з поправкою на ризик визначаються шляхом застосування коефіцієнтів коригування ризику до нескоригованих результатів у кожному розділі «Вигоди» та «Вартості».

Додатки

¹ Lessons Learned From The World’s Biggest Data Breaches And Privacy Abuses, 2023, Forrester Research, Inc., February 28, 2024.

² The State Of Application Security, 2024, Forrester Research, Inc., June 7, 2024.

³ Total Economic Impact – розроблена компанією Forrester Research методологія, яка вдосконалює процеси прийняття технологічних рішень у компанії та допомагає постачальникам повідомляти клієнтам цінність своїх продуктів і послуг. Методологія TEI допомагає компаніям продемонструвати, обґрунтувати та усвідомити відчутну цінність ІТ-ініціатив як для вищого керівництва, так і для інших ключових зацікавлених сторін бізнесу.

⁴ The State Of Application Security, 2024, Forrester Research, Inc., June 7, 2024.

⁵ Source: Forrester’s Security Survey, 2023. У цьому дослідженні аналізуються загальні закономірності серед осіб, які приймають рішення щодо безпеки у багатьох сферах, пов’язаних із практикою кібербезпеки організації. Незважаючи на те, що це дослідження в першу чергу дає уявлення про пріоритети, інвестиції та клієнтські шляхи осіб, які приймають рішення, воно також містить запитання про загальні пріоритети. Forrester щорічно оцінює показники кібербезпеки за допомогою інтерв’ю, опитувань і досвіду в цій галузі.

Наведений матеріал є авторським перекладом офіційної публікації видання Forrester:
https://tei.forrester.com/go/Veracode/TheVeracodePlatform/?lang=en-us