您的开发人员是风险的源头还是防线的第一道屏障？请对照我们的安全编码清单评估您的公司。

审视任何组织，无论是公共机构还是商业企业，有两点是可以肯定的。首先，它们的产品和服务正日益数字化，这意味着软件开发人员需要编写代码。其次，这些数字业务正面临来自传统和非传统竞争对手的压力，并在一个更加动态和全球化的环境中运营。

在这种环境下，CIO 已成为新的创新者，处于权力和影响力的核心位置。然而，在追求上市速度、提升质量和增加灵活性的巨大压力下，开发团队变得日益复杂且分散，他们专注于快速开发功能，却往往忽视了可能由此产生的安全漏洞。

现在比以往任何时候都更需要一种新的工作方式。看看 Equifax 在近期遭受攻击后所遭受的毁灭性打击，那正是由不安全的代码导致的。CIO 和 CISO 应该认真思考：他们的开发团队究竟是风险的第一道防线，还是公司真正的“安全捍卫者”？

我制定了这份安全编码检查清单，旨在帮助 CIO 和 CISO 评估是否已将开发团队培养成安全编码的捍卫者，从而助力企业以更快、更好、更安全的方式进行创新。

1. 您的 C 级高管是否意识到传统的网络安全已不足够？

仅依靠传统安全措施来保护网络层已不再足够，即便在面对半专业黑客时，这种做法也鲜有成效。在众多一致的报告中，Verizon 的《2017 年数据泄露调查报告》指出，如今 35% 的数据泄露是由 Web 应用程序漏洞引起的。Web 应用程序安全与网络安全同样重要。

2. 您是否从一开始就考虑了安全性？

当前的应用程序安全工具侧重于软件开发生命周期（SDLC）的后期阶段。这种方法支持检测和响应，即安全团队在代码编写完成后发现漏洞并进行修复。根据美国国家标准与技术研究院（NIST）的数据，在已提交的代码中发现并修复漏洞的成本，是在 IDE 编写代码时预防漏洞成本的 30 倍。更不用说修复问题所带来的时间延误。安全编码的捍卫者从 SDLC 的最前端入手，专注于持续对开发人员进行安全编码培训，使他们成为组织的第一道防线，从源头上预防漏洞。

3. 您是在真正培养安全技能，还是仅仅在灌输知识？

大多数培训解决方案（在线和课堂）侧重于知识积累而非技能培养。开发人员要编写安全代码，需要定期进行实践学习，积极参与并构建其安全编码技能。他们需要学习真实代码中最近发现的漏洞，并针对他们所使用的语言/框架进行练习。这种学习体验应帮助他们学会如何定位、识别并修复代码中的已知漏洞。

4. 您是否通过实时指标来衡量安全编码技能？

建立证据以向开发人员及其组织证明其安全编码技能正在提升至关重要。无法衡量，就无法改进。您的评估应有助于实时识别开发团队的进展，并对其安全编码的优势和劣势进行基准测试。

5. 您确定您的外包供应商应用了安全编码技术吗？

许多组织决定将开发工作外包给大型境内或境外开发公司。在最好的情况下，组织对安全性的唯一保证就是合同中要求交付成果必须“安全”的条款。很少有组织会预先核实这些开发公司的技能，最终导致软件未能遵循良好的安全编码实践。最坏的情况是，他们对此一无所知并直接上线了应用程序。最常见的情况是，安全漏洞被专业人员发现（您为此支付了费用），随后您将面临上线延误，以及关于谁该为修复这些安全弱点买单的合同纠纷。请在前期保持明智，评估即将为您构建下一个应用程序的开发人员的应用程序安全技能。

6. 您的开发人员了解最常见的安全弱点吗？

85.5% 被利用的 Web 应用程序漏洞归因于 10 个已知漏洞，即 OWASP Top 10。您的应用程序安全培训至少需要涵盖这些内容，以及更多类型的漏洞。开发人员完成的挑战需要不断修订和更新，以包含新的编码框架或新的漏洞类型。

7. 您是否有内部的安全捍卫者？

每个以开发人员为主导的组织都应指派专人，在开发团队中推动安全工作。他们的职责不仅是为团队成员提供安全咨询支持，还要在团队内部倡导安全编码和安全架构实践。

8. 您是否为开发人员投入了相关工具，以简化安全编码流程？

在应用频繁变更或采用敏捷开发的环境中，实现部分安全自动化对于跟上开发节奏和处理海量代码至关重要。开发生命周期的每个阶段都有相应的工具，它们可充当顾问、质量关卡或检测工具。您应部署 IDE 插件，在开发人员编写代码时实时检测特定类型的安全漏洞，就像拼写检查器一样。此外，还有一些工具可集成到构建流程中，在代码提交至仓库时检测潜在缺陷；另一些工具则能在软件上线后通过模拟黑客攻击来运行自动化测试。这些工具各有利弊，且无法百分之百保证消除所有安全隐患。黄金法则是：越早发现漏洞，修复的成本就越低、速度就越快，对业务的影响也越小。

随着首席信息官们积极构建企业敏捷能力，安全编码技能将成为创新的利器，而缺乏这些技能则可能导致毁灭性的后果。在忽略这一关键能力之前，请三思而后行。

您的组织对照这份清单表现如何？

随着首席信息官们积极构建企业敏捷能力，安全编码技能将成为创新的利器，而缺乏这些技能则可能导致毁灭性的后果。在忽略这一关键能力之前，请三思而后行。