2024 年预测：安全、人工智能、开发人员留存及未来之路

又到了每年的这个时候。是时候回顾过去发生的一切、那些我们预想会发生却未发生的事、吸取的教训，以及我们对未来 12 个月内将影响决策、行动和结果的因素的展望了。

充满挑战的经济动态、新兴的网络安全威胁，以及社会对 AI 前所未有的广泛接触，共同塑造了 DevSecOps 充满变数的一年。更值得关注的是，当我们翻开新的一页迈向 2024 年时，这些因素依然存在。它们正处于企业、开发与安全团队以及政府监管机构关注的核心位置。

随着优先事项的快速转变，以下是 Secure Code Warrior 对未来 12 个月发展的十大预测：

企业将高度重视开发人员的留任

开发人员为企业及其客户创造了巨大的价值。现在，企业需要展示其对开发人员的重视，并认可他们对公司利润的贡献。企业将加大对留任策略、项目及其他举措的投入，确保开发人员更有动力将当前雇主作为长期的职业归宿。学习与发展将成为这些企业脱颖而出的关键差异化优势。

对开发人员的更多要求将使内容和集成成为重中之重。

开发人员面临的压力短期内不会减轻，因为企业希望更快地交付软件并实现持续的数字化转型，以满足客户需求。为了保持敏锐、预见软件开发生命周期 (SDLC) 中的潜在障碍并获得更多资源以加速创新，获取更多的学习内容和第三方集成将变得至关重要。

AI 工具是新的 Stack Overflow

正如开发人员过去习惯在 Stack Overflow 或开源论坛寻求帮助一样，他们现在开始转向 AI 工具。然而，这会产生一种虚假的安全感。开发人员会将 AI 作为“求助渠道”，但企业终将意识到，仅靠这种方法是不够的。

AI 修复技术将持续存在

AI 不会在短期内取代开发人员，但该技术正日益融入软件开发生命周期 (SDLC)，从而建立起更可靠的流程，以避免引入漏洞或识别兼容的修复方案。我们注定会在这一年中看到更多的实验，这些实验不可避免地会改变开发人员的行为、企业的投资方向、人员配置以及网络安全风险管理的新方法。

AI 依赖 + API 爆炸式增长 = 监管措施

越来越多的公司通过加速创建和启用 API 来推动业务发展，这显著扩大了 API 的威胁向量。随着 AI 的使用倾向于呈指数级增加 API 的创建和发布速度，加强 API 安全治理将成为重点，新的监管措施也必将随之出台。

未能交付安全代码的软件供应商将面临更多后果

CISA 主任 Jen Easterly 已明确表示，软件供应商不应被允许在产品安全问题上“推卸责任”。虽然 CISA 的权力有限——仅限于帮助向联邦机构销售产品的供应商执行“安全设计”(Secure-by-Design) 实践——但今年早些时候发生的 MOVEit 事件再次重申，大型软件供应商需要达到并超越新的基准。对于那些屡教不改、交付不安全代码的供应商，需要有更多的问责机制和惩罚措施。

2024 年的 OWASP Top 10 将重新聚焦于设计缺陷

谈到“安全设计”（Secure-by-Design），OWASP 在 2021 年引入了“不安全设计”类别，重点关注架构层面的安全问题与缺陷。随着我们期待他们即将发布的 Top 10 列表（很可能在 2024 年），高管层将更深入地探讨不安全设计与不安全实现之间的区别，并强调团队应构建安全软件开发生命周期（SSDLC），包括一套支持关键身份验证和访问控制配置的完整威胁建模流程。

DevSecOps 供应商需要证明具体的投资回报率（ROI），以吸引不同的高管买家

为了在竞争激烈的销售周期中赢得多个群体的青睐，供应商需要针对业务的不同领域量身定制沟通内容。传统上，安全供应商主要面向 CISO 或安全领导层进行销售。2024 年，除了安全部门/CISO 之外，供应商将更需要具备在 L&D 和 DevOps/AppSec 等领域，为高管提供针对特定场景的风险降低证明能力。

“把关”将成为软件开发实现安全成熟度的关键

CISO 仍面临着证明网络安全工作商业价值及其项目长期有效性的压力。开发人员在获得涉及敏感代码库的项目之前，将越来越需要证明其具备安全意识。采用“把关”标准并在软件创建之初就优先考虑安全编码的 CISO，将能更好地引领其团队实现卓越的安全水平。

被动式安全将被视为过时之举

随着提升网络韧性成为各行各业网络战略的核心目标，那些仅依赖反应和事件响应作为计划核心的组织，将面临难以接受的风险敞口。“左移”不应仅仅是一个日益过时的流行语；应优先考虑代码级安全，同时提升并验证开发人员在处理软件和关键数字基础设施时的能力。现在，政府和企业比以往任何时候都更需要致力于建立预防性、高意识的安全计划，使每位员工都能共同承担安全责任。

作为安全编码教育与实施领域的领导者，我们对未来一年充满期待，并期待与 600 多家客户携手应对这些不断变化的动态。您的 2024 年规划如何？Secure Code Warrior 又能为您提供哪些帮助？

想了解更多信息？请关注我们的 X 和 LinkedIn 账号，获取最新公告。