认证安全意识：通过行政令提升开发人员水平

如果说世间真有恰逢其时的机遇，那么拜登政府发布的行政令（EO）无疑是神来之笔。该行政令阐述了美国政府加强联邦网络、提升全国网络安全标准及最佳实践的计划。此项战略出台的背景是近期两起破坏力巨大的网络攻击事件：持续发酵的SolarWinds供应链漏洞事件，以及Colonial Pipeline天然气基础设施遭袭事件。

尽管这些事件无疑在各级政府中引发了震荡，但该指令为网络安全的未来开启了一个激动人心的时代。我们似乎终于开始从最高层面认真对待数字安全保护，现在正是推动更高标准和更高质量软件开发的最佳时机。

该行政令涉及功能性网络安全的诸多方面，但首次明确指出了开发人员的影响力，以及他们必须具备经过验证的安全技能和意识。多年来，我们一直大声疾呼，这是应对那些屡屡让我们陷入困境的常见漏洞的必由之路。政府指令与这一方针保持一致，正是实现网络防御广泛成功的关键路径。

组织和联邦部门应如何响应这一指令？让我们来剖析其中的几个主要类别。

“走过场”的时代已经结束了。

我们早已指出，大多数针对开发人员的网络安全培训都收效甚微。这些培训往往过于笼统，交付方式无法激发预期的效果（即：编写更安全的代码），且频率过低。更糟糕的是，许多公司满足于“走过场”式的培训：这种方法仅提供最低限度的“一劳永逸”式基础知识，以满足运营要求并在开发人员的名字旁打个勾。这些教育策略让每一位首席信息安全官（CISO）都如履薄冰，只能祈祷公司不会成为下一次零日漏洞攻击的受害者。它们根本无法有效减少漏洞或提升代码质量。

在拜登指令的第4节中，明确要求组织必须证明其开发人员具备经记录、经验证的安全合规能力：

‍

“准则应包括：可用于评估软件安全的标准；评估开发人员和供应商自身安全实践的标准；以及识别用于证明符合安全实践的创新工具或方法。”

这里存在一个细微的问题：目前尚无针对开发人员的行业标准认证。要对开发人员的安全编码技能水平进行基准测试，并利用课程和评估来提升这些技能至关重要，这将使公司能够设定目标并实现合规。当开发人员能够在实用的动手环境中展示核心能力时，这些能力便能以一种有意义且可信的方式进行评估和认证。这是 Secure Code Warrior 产品的核心，我们致力于构建一套系统，用于提供可定制且符合其技术栈和组织要求的可靠认证。

这些技能价值连城，且无法通过自动化手段替代。认证可以将开发人员转变为一支具备安全意识的力量，保护代码库免受隐蔽威胁的侵害。

‍

关注开发人员工具（及通用工具）。

除了关于验证安全编码实践的准则外，该行政令还深入探讨了安全领域的自动化和工具化问题。

从安全角度来看，人类单凭自身力量已无法处理如此庞大的代码量，因此，作为广泛技术栈一部分的自动化手段，理应成为每个安全计划的重要组成部分。然而，并非所有工具生而平等，不存在一种“万能工具”能识别所有编程语言中的每一个漏洞。优秀的安全性计划需要采取细致入微的方法，尤其是在针对开发人员的工具和服务方面。

行政令第3节概述了对联邦政府软件供应商的期望，并就开发过程中的工具使用提出了指导性准则：

‍

“(iii) 采用自动化工具或类似流程来维护可信的源代码供应链，从而确保代码的完整性；
(iv) 采用自动化工具或类似流程来检查已知及潜在漏洞并进行修复，这些工具应定期运行，或至少在产品、版本或更新发布前运行。”

开发技术栈中的安全工具是快速提升安全最佳实践的途径之一，确保发布版本能最大限度地按时交付，而不受安全漏洞或其他阻碍因素的影响。然而，开发人员仍需通过情境化学习来充分利用这些强大的工具。让他们理解被标记的内容、了解其危险性以及如何修复，这一点至关重要，这将从源头上减少工具需要识别的错误。

最好的工具应能与开发人员的环境集成，协助他们编写更高质量（且更安全）的代码，并确保安全始终是重中之重。

‍

保障供应链安全。

该行政令中最令我赞赏的部分之一，是关于保障软件供应链的全面计划。鉴于 SolarWinds 事件的影响，这一点并不令人意外，但它确实是一个重要的亮点：

“联邦政府所用软件的安全性，对于联邦政府履行其关键职能至关重要。商业软件的开发往往缺乏透明度，对软件抵御攻击能力的关注不足，且缺乏足够的控制措施来防止恶意行为者的篡改。目前迫切需要实施更严格、更可预测的机制，以确保产品能够安全且按预期运行……联邦政府必须采取行动，迅速提高软件供应链的安全性和完整性，并优先解决关键软件的安全问题。”

这项规定将影响所有寻求与美国政府开展业务的软件公司，但它应被视为各行业的通用标准。第三方供应商（更不用说使用第三方组件的开发人员）在安全措施方面缺乏透明度，使得评估、验证和声明是否符合网络安全最佳实践变得极其困难。我们必须分析所使用的供应商及其编写的软件。这些举措或许会被视为“额外的工作”，但它们本应是网络安全最佳实践金标准中固有的要求。

长期以来，自信地交付安全代码一直是行业痛点，但现在正是评估现有流程并引领软件与云基础设施加固的绝佳契机，让您的成果成为行业标杆。立即联系我们，了解如何利用 课程、评估和开发工具，助力您的团队培养具备安全意识的开发人员。

‍