DevSecOps 的光明未来？它比你想象的更近

我很高兴能与多位专家共同参与 Suparna Goswami 在 Data Breach Today 上发表的一篇深刻文章。正如她所指出的，业界普遍认为在软件开发生命周期（SDLC）早期解决安全问题对于防止数据泄露至关重要，但这说起来容易做起来难。来自首席信息安全官（CISO）的一些真知灼见，以及近期的调查结果都表明，持续集成/持续交付（CI/CD）工作流程中最大的应用安全挑战在于：“缺乏自动化、集成化的安全测试工具”。

在我看来，DevSecOps 应该从开发人员编写代码的那一刻起就开始。要使 DevSecOps 有效运作，必须首先让开发人员具备从一开始就编写安全代码的教育、技能和工具。如果开发人员能学会实时编写安全代码，或者更好的是，从源头上避免产生许多漏洞，那么安全经理和测试工具就能专注于及时发现并修复那些真正棘手且复杂的漏洞。

市面上有很多用于发现代码漏洞的解决方案，但安全工作的重点应更多地放在指导开发人员遵循安全准则上，从而从源头上避免这些错误的产生。

应协助开发人员编写安全代码，并在编写过程中修复绝大多数错误，我很自豪地说，目前已经有实现这一目标的技术。正如拼写和语法检查工具帮助作家一样，开发人员现在也可以在相关语言和安全策略的指导下，实时获得编写安全代码的帮助。在我看来，这就是 DevSecOps 更轻松、更光明的未来。

这正是我们的 Secure Code Warrior Sensei 所提供的功能——它充当开发团队的实时安全教练，由应用安全团队（AppSec）管控，确保安全准则始终伴随开发人员左右。它将帮助他们更一致、更安全、更快速地编写代码。在我们的早期采用者计划中，我们看到它将修复每个漏洞的平均时间从三小时缩短到了仅需十分钟。

我们需要使用能够适应 DevSecOps 时间表、兼具效率且最重要的是具备准确性的安全工具。是时候追求更高标准的软件安全了。

市面上有很多用于发现代码漏洞的解决方案，但安全工作的重点应更多地放在指导开发人员遵循安全准则上，从而从源头上避免这些错误的产生。