Aufbau einer Security-Champions-Community

Ein Security Champion kann ein Sicherheitsprogramm starten. Aber eine Person kann nicht das gesamte Unternehmen abdecken. Um Sicherheit wirklich in jedes Team einzubetten, brauchen Sie ein Netzwerk von Champions – Personen, die für Sicherheit in ihren eigenen Teams eintreten, während Sie den Gesamteinsatz koordinieren.

Dieses Kapitel beschreibt, wie Sie von „Ich bin der Security Champion" zu „Wir haben Security Champions" wachsen.

Warum eine Community wichtig ist

Das Skalierungsproblem

Als einzelner Security Champion stoßen Sie an Grenzen:

Herausforderung	Realität
Kapazität	Sie können einigen Code überprüfen, nicht den gesamten Code
Abdeckung	Sie können nicht in jedem Team-Planning-Meeting sein
Kontext	Sie kennen nicht jeden Tech-Stack eines Teams tiefgründig
Verfügbarkeit	Sie machen Urlaub; Sicherheitsfragen hören nicht auf
Vertrauen	Die „Sicherheitsperson" zu sein, schafft Distanz

Ein Netzwerk von Champions löst diese Probleme:

• Sicherheitspräsenz in jedem Team
• Domänenexpertise in jedem Bereich
• Verteilte Kapazität für Überprüfungen
• Kontinuierliche Abdeckung
• Lokales Vertrauen und Beziehungen

Der Kraftmultiplikator

Mit 5 Security Champions in einem 100-Mitarbeiter-Unternehmen:

• Jeder Entwickler hat einen Champion, den er in seinem Team erreichen kann
• Sicherheitsüberprüfungen finden innerhalb der Teams statt, nicht als externe Tore
• Sicherheit wird zu „wie wir arbeiten", nicht „was dieses Team tut"
• Sie verlagern sich von „Sicherheit tun" zu „Sicherheit ermöglichen"

Was ist ein Security Champion (in einem Netzwerk)?

In einem Netzwerkmodell sind Champions Freiwillige, die:

Verantwortung	Zeitaufwand	Benötigte Unterstützung
Sicherheitsansprechpartner für ihr Team sein	1–2 Std./Woche	Schulung, Eskalationspfad
An Sicherheits-Code-Reviews teilnehmen	Bei Bedarf	Überprüfungsrichtlinien, Tools
Sicherheit in Planung und Design einbringen	Während normaler Arbeit	Bedrohungsmodellierungs-Templates
An Champion-Community-Meetings teilnehmen	1 Std./Monat	Moderation, Inhalte
Sicherheitsupdates mit ihrem Team teilen	15 Min./Woche	Kuratierte Updates zum Teilen
Sicherheitsbedenken und Vorfälle melden	Bei Bedarf	Klarer Meldekanal
Befürworter sein, kein Durchsetzer	Fortlaufend	Kulturelle Unterstützung

Gesamter Aufwand: 10–20 % ihrer Zeit, keine Vollzeitrolle.

Champions vs. Sicherheitsteam

Security Champion	Sicherheitsteam (falls vorhanden)
Teilzeit, in ihrem Team eingebettet	Vollzeit-Sicherheitsfokus
Domänenexpertise im Bereich des Teams	Breite Sicherheitsexpertise
Erster Ansprechpartner für das Team	Eskalationspunkt für Champions
Kennt die Prioritäten und Einschränkungen des Teams	Setzt unternehmensweite Standards
Befürworter und Ermöglicher	Richtlinieneigentümer und Durchsetzer (bei Bedarf)

In kleinen Unternehmen ohne Sicherheitsteam übernimmt der ursprüngliche Security Champion (Sie) die Koordinatorrolle, während andere Champions die Teamarbeit übernehmen.

Champions rekrutieren

Wer ist ein guter Champion?

Suchen Sie nach:

• Interesse an Sicherheit — Sie stellen bereits Sicherheitsfragen
• Respekt von Kollegen — Ihr Team hört auf sie
• Technische Kompetenz — Starke Ingenieure/Operatoren
• Kommunikationsfähigkeiten — Können erklären, nicht nur anordnen
• Bereitschaft — Das ist freiwillige Arbeit; Begeisterung ist wichtig

Rekrutieren Sie nicht:

• Personen, die nur einen Titel wollen
• Diejenigen, die von ihrem Manager verpflichtet wurden
• Junior-Entwickler (noch nicht genug Kontext)
• Personen, die zu beschäftigt mit anderen Verantwortlichkeiten sind

Rekrutierungsansätze

Ansatz 1: Offener Aufruf

Senden Sie eine Ankündigung, die das Programm beschreibt und Freiwillige einlädt:

Subject: Security Champions Program — Join Us

Hi team,

We're building a network of Security Champions across the company. 
Champions are engineers who help their teams build secure software 
and are the first point of contact for security questions.

What you'll do:
- Be your team's security point of contact
- Participate in security code reviews
- Raise security in design discussions
- Join monthly champion meetings

What you'll get:
- Security training and certifications
- Direct line to security resources
- Recognition as a security leader
- Skills valuable for career growth

Time commitment: ~10% of your time (4 hours/week)

Interested? Reply to this email or talk to [Security Champion name].

Ansatz 2: Gezielte Rekrutierung

Identifizieren Sie Personen, die Sie bereits beobachtet haben, wie sie gute Sicherheitsfragen stellen oder Sicherheitsbewusstsein zeigen. Sprechen Sie sie direkt an:

„Ich habe bemerkt, dass Sie oft Sicherheit in Code-Reviews ansprechen. Wir bauen ein Security-Champions-Netzwerk auf, und ich glaube, Sie wären großartig dafür. Möchten Sie mehr erfahren?"

Ansatz 3: Manager-Nominierung

Bitten Sie Teamleiter, Kandidaten zu nominieren. Dies stellt sicheres Manager-Buy-in sicher, kann aber zögerliche Freiwillige produzieren. Vergewissern Sie sich immer, dass der Nominierte wirklich interessiert ist.

Manager-Buy-in gewinnen

Champions brauchen Zeit von ihren regulären Aufgaben. Holen Sie Manager-Unterstützung im Voraus:

Subject: Security Champions Program — Time Commitment

Hi [Manager],

[Employee name] has expressed interest in becoming a Security Champion. 
This involves:

- ~4 hours/week for security activities
- Monthly 1-hour champion meetings
- Quarterly half-day training

In return, [team] gets:
- Embedded security expertise
- Faster security reviews (internal, not external gate)
- Reduced risk of security issues reaching production
- A team member with growing security skills

Can we count on your support for [Employee]'s participation?

Neue Champions schulen

Neue Champions müssen effektiv sein, nicht nur begeistert.

Champion-Onboarding-Programm

Woche 1–2: Grundlagen

• Unternehmenssicherheitsrichtlinien und -verfahren
• Überblick über das aktuelle Sicherheitsprogramm
• Wichtige Tools und wie man auf sie zugreift
• Eskalationspfade und Kontakte

Woche 3–4: Technische Fähigkeiten

• Grundlagen der sicheren Code-Überprüfung
• Häufige Schwachstellenmuster (OWASP Top 10)
• Wie man Sicherheits-Scanning-Tools nutzt
• Einführung in die Bedrohungsmodellierung

Woche 5–6: Soft Skills

• Wie man konstruktives Sicherheits-Feedback gibt
• Umgang mit Widerstand von Entwicklern
• Sicherheit und Lieferung in Balance bringen
• Wann eskalieren vs. lokal lösen

Woche 7–8: Praktische Anwendung

• Bestehenden Champion bei Überprüfungen begleiten
• Erste Überprüfungen unter Aufsicht durchführen
• Bei erstem Community-Meeting präsentieren
• An einer Sicherheitsverbesserung mitarbeiten

Onboarding-Checkliste

## Security Champion Onboarding

Champion name: [Name]
Team: [Team]
Start date: [Date]
Mentor: [Existing champion]

### Week 1-2: Foundations
- [ ] Read security policies and handbook
- [ ] Get access to security tools (list tools)
- [ ] Meet with Security Champion coordinator
- [ ] Understand incident reporting process
- [ ] Review recent security incidents/findings

### Week 3-4: Technical skills
- [ ] Complete OWASP Top 10 training
- [ ] Learn to run SAST/DAST tools
- [ ] Practice vulnerability identification
- [ ] Introduction to threat modeling

### Week 5-6: Soft skills
- [ ] Read "Giving constructive feedback" guide
- [ ] Discuss common champion challenges with mentor
- [ ] Role-play difficult conversations

### Week 7-8: Practical application
- [ ] Shadow 3 security reviews
- [ ] Conduct 2 reviews with mentor support
- [ ] Participate in first community meeting
- [ ] Complete one security improvement for team

### Graduation
- [ ] Champion confirmed comfortable with role
- [ ] Mentor sign-off
- [ ] Added to champions communication channels
- [ ] Announced to company

Schulungsressourcen für Champions

Thema	Ressource	Format
OWASP Top 10	OWASP Top 10 Project	Kostenlos, Web
Sicheres Programmieren	OWASP Secure Coding Dojo	Kostenlos, Hands-on
Code-Review	OWASP Code Review Guide	Kostenlos, PDF
Bedrohungsmodellierung	Threat Modeling Manifesto	Kostenlos, Web
Security-Champion-Rolle	OWASP Security Champions Guide	Kostenlos, Web
Praktisches Training	PortSwigger Web Security Academy	Kostenlos, Hands-on
Zertifizierungen	CompTIA Security+, GIAC	Kostenpflichtig

Interne Schulungsentwicklung

Unternehmensspezifisches Training erstellen:

## [Company Name] Security Champion Training Curriculum

### 1: Our Security Program (2 hours)
- Company security policies
- How we handle incidents
- Our tech stack security considerations
- Key contacts and escalation

### 2: Code Review for Security (4 hours)
- Using our SAST tools
- Common issues in our codebase
- Review workflow and SLAs
- Giving feedback effectively

### 3: Threat Modeling (3 hours)
- When to threat model
- Our threat modeling template
- Workshop: Model a feature

### 4: Champion Scenarios (2 hours)
- Role-play: Developer pushback
- Role-play: Balancing speed and security
- Role-play: Escalating to security team

Die Champion-Community betreiben

Eine Community braucht Pflege und Fütterung, um aktiv zu bleiben.

Community-Struktur

Programmkoordinator (Sie / ursprünglicher Security Champion / CISO) — koordiniert, schult und unterstützt Champions teamübergreifend.

Jedes Team hat einen dedizierten Champion, der direkt mit den Entwicklern seines Teams arbeitet. Der Koordinator muss nicht in jedem Team-Gespräch sein – Champions übernehmen Sicherheit lokal und eskalieren bei Bedarf.

Monatliche Champion-Meetings

Regelmäßige Meetings halten die Community verbunden. 1 Stunde monatlich funktioniert gut.

Meeting-Agendavorlage:

## Security Champions Monthly — [Date]

### 1. Updates from coordinator (10 min)
- Company security news
- New policies or tools
- Upcoming initiatives

### 2. Metrics review (5 min)
- Vulnerabilities by team
- Review completion rates
- Incident summary

### 3. Knowledge sharing (20 min)
- Rotating: one champion presents a topic
- Recent interesting finding
- New technique or tool

### 4. Challenges and asks (15 min)
- What's blocking you?
- What support do you need?
- Cross-team issues to discuss

### 5. Open discussion (10 min)
- Questions
- Suggestions for program improvement

Kommunikationskanäle

Kanal	Zweck	Häufigkeit
#security-champions (Slack)	Champion-zu-Champion-Chat	Fortlaufend
#security-general (Slack)	Jeder mit Sicherheitsfragen	Fortlaufend
Monatliches Meeting	Formaler Sync und Training	Monatlich
Champion-Newsletter	Updates, kuratierte Lektüre	Zweiwöchentlich
Champions-Wiki/Docs	Verfahren, Vorlagen, Ressourcen	Bei Aktualisierung

Champions engagiert halten

Champion-Burnout ist real. Bekämpfen Sie es mit:

Anerkennung:

• Champions in Unternehmensankündigungen hervorheben
• Sicherheitsverbesserungen feiern, die sie vorantreiben
• In Leistungsbeurteilungen einbeziehen (mit Manager)
• Champion des Quartals/Jahres-Awards

Wachstum:

• Zertifizierungen und Training finanzieren
• Zu Sicherheitskonferenzen schicken
• Zu Architekturreviews einladen
• Weg zu Senior-Rollen oder Sicherheitsteam

Wertschätzung:

• Ihre Arbeit für die Führungsebene sichtbar machen
• Sicherstellen, dass ihr Feedback Richtlinien beeinflusst
• Frühzeitigen Zugang zu neuen Initiativen geben
• Nach ihrem Input bei Sicherheitsentscheidungen fragen

Community:

• Soziale Veranstaltungen (virtuell oder persönlich)
• Geteilte Lernmöglichkeiten
• Champion-übergreifende Paarung bei Projekten
• Jährliches persönliches Treffen (bei Remote-Teams)

Umgang mit inaktiven Champions

Manchmal werden Champions still. Gehen Sie damit würdevoll um:

Zuerst: Privat einchecken. Ist alles in Ordnung? Sind sie überlastet? Hat das Interesse nachgelassen?

Bei Kapazitätsproblem: Erwartungen reduzieren oder vorübergehenden Ersatz finden. Champion zu sein ist keine Lebensaufgabe.

Bei Interessenproblem: Ihnen für ihren Dienst danken und sie herausnehmen. Einen neuen Champion für ihr Team finden.

Niemals: Inaktive Champions beschämen. Das Leben passiert. Machen Sie es einfach, würdevoll einen Schritt zurückzutreten.

Das Programm skalieren

Von 1 auf 5 Champions

Phase 1: Glaubwürdigkeit aufbauen (alleine)

• Das Konzept funktionierend beweisen
• Erste Prozesse und Dokumentation aufbauen
• Das „Champion-Toolkit" erstellen

Phase 2: 2–3 weitere rekrutieren

• Mit sicherheitsbewusstesten Teams beginnen
• Persönlich einarbeiten und schulen
• Schulung basierend auf Feedback iterieren

Phase 3: Die Community aufbauen

• Monatliche Meetings starten
• Kommunikationskanäle erstellen
• Wissensaustausch-Rhythmus entwickeln

Von 5 auf 15+ Champions

Skalierungsherausforderungen:

• Sie können nicht jeden persönlich einarbeiten
• Inkonsistente Champion-Qualität
• Community wird unpersönlich
• Koordinationsaufwand wächst

Lösungen:

1. Stufenstruktur:

   • Senior Champions mentoren neue
   • Regionale/Abteilungs-Champion-Leads
   • Ihre direkte Berichtslinie reduzieren

2. Selbstbedienungs-Training:

   • Aufgezeichnete Onboarding-Module
   • Selbst geführte Übungen
   • Mentor-Zuweisung, kein persönliches Onboarding

3. Spezialisierte Rollen:

   • Manche Champions fokussieren auf Code-Review
   • Andere auf Cloud-Sicherheit
   • Andere auf Incident Response

4. Metriken und Verantwortlichkeit:

   • Champion-Aktivität verfolgen (Überprüfungen, Eskalationen)
   • Lücken identifizieren und adressieren
   • Leistungsstarke feiern

Erfolg der Community messen

Metrik	Wie messen	Ziel
Abdeckung	% der Teams mit einem Champion	100 %
Aktivität	Überprüfungen pro Champion pro Monat	> 2
Engagement	Meeting-Teilnahme	> 80 %
Qualität	Von Champions gefundene Probleme	Trend aufwärts
Bindung	Champions bleiben > 1 Jahr	> 70 %
Zufriedenheit	Champion-Umfragewerte	> 4/5

Häufige Herausforderungen

„Niemand möchte Champion sein"

Mögliche Ursachen:

• Sicherheit wird als undankbar angesehen
• Manager geben keine Zeit
• Kein klares Wertversprechen

Lösungen:

• Vorteile klar machen (Karrierewachstum, Anerkennung)
• Führungsebene dazu bringen, geschützte Zeit zu mandatieren
• Mit einem oder zwei begeisterten Freiwilligen beginnen
• Frühe Champions sichtbar erfolgreich machen

„Champions tun nichts"

Mögliche Ursachen:

• Unklare Erwartungen
• Keine Verantwortlichkeit
• Keine Unterstützung oder Schulung
• Champions fühlen sich machtlos

Lösungen:

• Mindesterwartungen klar definieren
• Regelmäßige Check-ins mit Koordinator
• Tools und Vorlagen für häufige Aufgaben bereitstellen
• Feiern, wenn Champions Impact haben

„Champions und Teams sind in Konflikt"

Mögliche Ursachen:

• Champions werden als Torwächter gesehen
• Schlechte Kommunikationsfähigkeiten
• Unrealistische Sicherheitserwartungen
• Kein Führungsrückhalt für Sicherheit

Lösungen:

• Champions im konstruktiven Feedback schulen
• Als Ermöglicher positionieren, nicht als Blocker
• Priorisieren helfen (nicht alles ist kritisch)
• Führungsebene dazu bringen, Sicherheit öffentlich zu unterstützen

„Champion-Wissen ist ungleich"

Mögliche Ursachen:

• Inkonsistentes Training
• Selbststudium mit Lücken
• Unterschiedliche Erfahrungsniveaus

Lösungen:

• Standardisierter Onboarding-Lehrplan
• Laufendes Schulungsprogramm
• Erfahrene mit neuen Champions paaren
• Regelmäßige Wissensaustausch-Sitzungen

Champion-Toolkit

Neue Champions mit gebrauchsfertigen Ressourcen ausstatten:

## Security Champion Starter Kit

### Quick reference
- [ ] Security policies (link)
- [ ] Incident reporting form (link)
- [ ] Escalation contacts (names + channels)
- [ ] SLA table for vulnerabilities

### Code review
- [ ] Secure code review checklist
- [ ] OWASP Top 10 quick reference
- [ ] Common vulnerabilities in our stack
- [ ] SAST/DAST tool guides

### Communication
- [ ] Security announcement templates
- [ ] How to explain vulnerabilities to devs
- [ ] FAQ for common questions

### Threat modeling
- [ ] Threat modeling template
- [ ] STRIDE quick reference
- [ ] When to threat model (guidance)

### Training resources
- [ ] Recommended courses (links)
- [ ] Company security training
- [ ] CTF platforms for practice

Champion-Aktivitätstracker

Champions helfen, ihre Arbeit zu verfolgen:

## [Champion Name] Monthly Activity Log

Month: [Month Year]
Team: [Team Name]

### Reviews conducted
| Date | What reviewed | Findings | Outcome |
|------|---------------|----------|---------|
| | | | |

### Questions answered
| Date | Question topic | From | Time spent |
|------|---------------|------|------------|
| | | | |

### Issues raised
| Date | Issue | Severity | Status |
|------|-------|----------|--------|
| | | | |

### Training/learning
| Date | Topic | Time spent |
|------|-------|------------|
| | | |

### Highlights
- [Notable accomplishment this month]

### Needs
- [Support or resources needed]

Gamification und Motivation

Champions mit freundlichem Wettbewerb und Belohnungen engagiert halten.

Champion-Rangliste

Verfolgen und anzeigen (mit Einwilligung):

Champion	Überprüfungen	Gefundene Probleme	Schulungsstunden	Serie
Alice	12	3	8	6 Mo
Bob	8	5	4	4 Mo
Carol	15	2	12	8 Mo

Was zu verfolgen ist:

• Abgeschlossene Überprüfungen
• Identifizierte Sicherheitsprobleme
• Absolvierte Schulungsstunden
• Aufeinanderfolgende aktive Monate
• Team-Engagement (beantwortete Fragen)

Anerkennungsprogramm

Leistung	Kriterien	Belohnung
Erste Überprüfung	Erste Sicherheitsüberprüfung abschließen	Zertifikat, Merchandise
Bug-Jäger	5 Sicherheitsprobleme finden	100 $-Bonus, Anerkennung
Mentor	Neuen Champion einarbeiten	Mentor-Abzeichen
Serien-Meister	12 aufeinanderfolgende aktive Monate	Konferenzticket
Champion des Quartals	Wirkungsvollster Beitrag	500 $-Bonus, Spotlight

Monatlicher Spotlight

In unternehmensweiter Kommunikation:

## Security Champion Spotlight: [Name]

This month we're recognizing [Name] from [Team] for their work 
catching a critical authentication bypass before it reached 
production. Their thorough review during the feature development 
saved us from what could have been a significant vulnerability.

[Name] has been a Security Champion for [X] months and has 
reviewed [Y] features and identified [Z] security issues.

Thank you, [Name], for helping us build secure software!

Expertentipps

Mit Freiwilligen beginnen, nicht mit Verpflichteten

Die besten ersten Champions sind Personen, die bereits informell Champion-ähnliche Arbeit leisten. Was sie bereits tun zu formalisieren ist einfacher als neues Verhalten zu schaffen.

Qualität über Quantität

3 aktive, effektive Champions schlagen 10 inaktive. Rekrutieren Sie nicht für Abdeckung, bevor Sie sie unterstützen können.

Champions gut aussehen lassen

Wenn ein Champion ein Problem findet, kreditieren Sie ihn öffentlich. Wenn das Programm erfolgreich ist, heben Sie individuelle Beiträge hervor. Champions, die sich wertgeschätzt fühlen, bleiben engagiert.

Pausen einbauen

Security-Champion-Burnout ist häufig. Einbauen:

• Rotationsoptionen (2 Jahre Champion, dann Pause)
• Stellvertreter-Champions, die übernehmen können
• Reduzierte Erwartungen in intensiven Zeiten

Aus Champion-Abgängen lernen

Wenn jemand das Programm verlässt, führen Sie ein Exit-Interview durch:

• Was hat gut funktioniert?
• Was könnte verbessert werden?
• Warum gehen Sie?
• Welchen Rat haben Sie für Ihren Nachfolger?

Workshop: Champion-Community-Programm

Teil 1: Ihr Programm gestalten (1 Stunde)

1. Champion-Rolle für Ihr Unternehmen definieren

   • Verantwortlichkeiten
   • Zeitaufwand
   • Berichtsstruktur

2. Rekrutierungskriterien erstellen

   • Welche Fähigkeiten/Eigenschaften sind wichtig?
   • Wie beurteilen Sie Kandidaten?

3. Erste Kommunikation entwerfen

   • Ankündigung an das Unternehmen
   • Anfrage für Manager-Buy-in

Ergebnis: Champion-Programmdesign-Dokument

Teil 2: Onboarding aufbauen (2 Stunden)

1. Onboarding-Lehrplan skizzieren

   • Wochen 1–2: Grundlagen
   • Wochen 3–4: Technisch
   • Wochen 5–6: Soft Skills
   • Wochen 7–8: Praktisch

2. Schulungsmaterialien erstellen/kuratieren

   • Links zu vorhandenen Ressourcen
   • Unternehmensspezifische Inhalte entwerfen

3. Onboarding-Checkliste erstellen

Ergebnis: Onboarding-Programm und Checkliste

Teil 3: Community-Betrieb planen (1 Stunde)

1. Kommunikationskanäle einrichten
2. Monatliche Meeting-Vorlage erstellen
3. Erfolgsmetriken definieren
4. Erste 3 Monate Meetings planen

Ergebnis: Community-Betriebsplan

Teil 4: Ersten Champion rekrutieren (fortlaufend)

1. Kandidaten identifizieren
2. Erstgespräch führen
3. Manager-Buy-in einholen
4. Mit Onboarding beginnen

Ergebnis: Erster Champion rekrutiert und im Onboarding

So erklären Sie es der Führungsebene

Der Pitch:

„Ich kann nicht die einzige Person sein, die an Sicherheit denkt. Um Sicherheit wirklich in unsere Arbeitsweise einzubetten, brauchen wir Security Champions in jedem Team – Entwickler, die der erste Ansprechpartner für Sicherheitsfragen sind. Sie sind Freiwillige, Teilzeit, aber sie geben jedem Team lokale Sicherheitsexpertise."

Die Anfrage:

„Ich brauche die Erlaubnis, 3–5 Freiwillige zu rekrutieren und deren Manager dazu zu bringen, 10 % ihrer Zeit (~4 Stunden/Woche) für Sicherheitsaktivitäten freizugeben. Ich brauche auch 2.000–5.000 $ für Training und Zertifizierungen."

Der Wert:

• Sicherheitsüberprüfungen finden schneller statt (innerhalb der Teams, nicht zwischen Teams)
• Sicherheitsprobleme werden früher erkannt (von Personen, die den Code kennen)
• Sicherheitskultur eingebettet (nicht nur von außen durchgesetzt)
• Skalierung ohne Einstellungen (Freiwillige, kein Headcount)

Das Risiko, dies nicht zu tun:

• Security Champion ist ein Single Point of Failure
• Sicherheit bleibt der Entwicklung gegenüber extern
• Überprüfungen werden zu Engpässen
• Abdeckungslücken, wenn das Unternehmen wächst

Zu verfolgende Metrik:

„Ich messe: Champion-Abdeckung (% der Teams), von Champions gefundene Probleme und Entwicklerzufriedenheit mit Sicherheitsunterstützung."

Fazit

Ein Security Champion kann ein Programm starten. Ein Netzwerk von Champions kann eine Kultur verändern. Die Aufgabe des Koordinators verlagert sich von „Sicherheit tun" zu „andere befähigen, es zu tun" – was schwieriger, langsamer und dauerhafter ist.

Was kommt als Nächstes

Weiter: Karriereentwicklung und nächste Schritte — was Sie aufgebaut haben, wohin es Sie führt und was als Nächstes zu tun ist.