早午餐会精华：AppSec 领袖分享智慧之道

在我的应用安全职业生涯中，我有幸结识了业内许多杰出的人才，他们都在为保护和加强全球日益复杂的代码网络贡献力量。在职业生涯的现阶段（虽然知识增长了，但头发也少了不少！），我经常受邀与软件安全领域的未来之星交流，我非常热爱这份工作。同时，我也深知，作为领导者和导师，为那些渴望成长并承担重任的人树立榜样是多么重要。

最近，我和 Secure Code Warrior 团队的一些成员在伦敦举办了一场早午餐会，旨在汇聚多位应用安全领域的顶尖人才，通过交流分享见解，并享用美味茶点。在六十多位受邀嘉宾面前，专家组成员倾囊相授，激发了大家对应用安全未来的无限憧憬。

小组讨论会探讨了如何充分利用组织的应用安全预算等热门议题，并解答了现场观众提出的诸多棘手问题，为安全经理、专家及其开发团队在组织内构建切实可行的项目提供了宝贵的启发。

我们非常荣幸邀请到以下领袖参加题为 工具与人员：您的应用安全预算是否兼顾了两者？

• Vincent Gilbert，法国兴业银行（Societe Generale
• ）首席信息安全官；C̩dric Levy-B̩ncheton，Cetome 公司首席执行官；Cetome
• Reena Shah，M&G Prudential 公司安全与隐私文化及意识主管；M&G Prudential
• Lee Thurlow，培生集团（Pearson
• ）全球应用安全总监；Lewis Bramfitt，Bramfitt Lab 公司董事总经理Bramfitt Lab。

每位演讲者都分享了他们对应用安全工具现状的看法（剧透：由于许多组织都在大量开发软件，选择能满足所有功能的工具简直如同在雷区行走。毕竟，没有任何单一工具能解决所有问题）。

Reena Shah 还提出了一个有趣的观点。在短短几年内，我们看到大型组织对应用安全的认知发生了积极转变，这使得一个关键要素开始成形——即投资于人员，以维护安全最佳实践和文化：

“我认为情况正在改变。四年前我刚开始做这件事时，想要争取安全文化和意识方面的预算与团队支持非常困难。而现在我发现，这不再是我的难题了。我可以很轻松地说：‘这是我需要的预算，这是我需要的人员，以降低风险。’我看到了巨大的转变，我认为这是因为董事会和高管层已经意识到，提供资金来协助我们减少安全事件是多么重要。”她说。

您可以立即观看完整的小组讨论视频：

对我而言，看到应用安全的未来开始强调为一线开发人员提供正确的培训和知识，使他们能够针对那些依然频频出现的陈旧漏洞建立坚固的防御，这令人感到无比振奋。

工具提供了一层支持，但说实话，我们必须面对现实。我们不能再重复犯同样的错误了。

终结应用安全错误循环

作为“AppSec 领袖”早午餐会的一部分，我还发表了一场演讲，探讨如何解决安全漏洞反复出现的昂贵且持续的问题。工具或许能发现漏洞，但它们在预防方面作用有限。必须为开发人员提供正确的培训，从源头上阻止漏洞的产生。

而且，我们开发人员是一群很有趣的人。在参与度和留存率方面，某些培训方式远比其他方式有效。您可以在此处观看我的完整演讲：

强调 安全培训，以及提升整体意识并建立开发人员与应用安全团队之间的积极文化，这对攻击者来说就像氪石一样。那些微小的后门会被关闭，那些获取我们数据的捷径会被切断，安全超级英雄们将携手合作，让“安全”成为软件质量的代名词。

我们正在稳步前进。