冠军与教练：为何每个开发团队都需要两者兼备

“倡导者”和“教练”这两个词在体育界之外的应用越来越广泛，在大多数语境下都具有强大的影响力。现在有生活教练、健康教练、共情教练，许多组织也开始设立“倡导者”，像“安全倡导者”或“氛围倡导者”这样的头衔正变得越来越主流，并融入到企业的精神与文化之中。当困难来临时，谁不希望身边有一位教练或倡导者呢？

网络安全行业的机构长期以来一直利用倡导者来推广开发层面的安全理念，并维护更高的软件安全标准。BSIMM 将他们称为卫星小组，而 OpenSAMM 和 Axway 则是支持将安全倡导者作为一种理念和正式计划的先驱组织。这些举措与 DevSecOps 运动的主要目标相契合并提供支持，即致力于从软件开发过程的最开始，就在各个团队和职能部门之间分担安全责任。

许多在网络安全领域表现出色的公司都实施了正式的安全倡导者计划，将关键的安全职责——从团队间的联络、日常的激励鼓舞，到监督最佳实践的落实——赋予那些对此类角色展现出天赋与热情的员工。

然而，显而易见的是，“安全倡导者”的角色正在发生变化。一家具有前瞻性的公司可以通过扩充团队，让关键的爱好者支持不同但同样重要的职能，从而在可扩展的安全最佳实践方面达到新的高度。

我们正在重新定义并复制安全倡导者的模式，以打造一个面向未来的安全计划。你准备好组建你的下一个梦之队了吗？

每一支伟大的团队背后都有一位鼓舞人心的教练。

当你想到莱昂内尔·梅西、迈克尔·乔丹和塞雷娜·威廉姆斯时，通常只有最铁杆的粉丝才能说出他们教练的名字。然而，正是这种亲密的支撑力量，磨练了他们的天赋、才华和追求目标的动力，才造就了我们在聚光灯下所看到的巨大成功。

没人指望开发人员去赢得大满贯或为阿根廷队进球，说实话，也没人应该指望开发人员成为安全专家（毕竟，他们入职是为了开发出色的功能，而不是深入研究安全问题），但一位出色的安全“教练”是他们团队中真正的捍卫者。

开发侧的安全倡导者更符合我们所认知的教练的基本定义。他们对安全充满热情，拥有专业知识，并且是开发人员解决安全问题时的关键联系人。他们具备实践经验，能够帮助开发人员纠正问题并从错误中学习，同时确保团队与核心安全最佳实践和价值观保持一致。

AppSec 倡导者，请站出来好吗？

AppSec 侧的倡导者往往是安全计划拼图中缺失的一块。他们对于开发团队的成功至关重要，作为高层管理人员与开发人员之间的桥梁，他们可以积极为开发人员代言，并提供必要的工具，从而在减少漏洞、提升软件安全以及增强客户信任与满意度方面产生积极影响。

一位出色的 AppSec 倡导者被公认为企业内的安全领导者，他们应该在直接培训安全教练方面发挥重要作用，最终目标是促进团队之间更好的成果与关系，共同实现一个目标：打造出色的、无懈可击的安全代码。

召唤你的超级教练。

倡导者与伟大的教练相辅相成，共同创造奇迹。现有的安全倡导者计划往往侧重于开发人员，但正如我们所指出的，真正的倡导工作应该在 AppSec 侧，让最有热情、最具安全意识的开发人员在幕后推动实现安全编码的卓越，并带动整个团队的提升。

寻找理想教练的过程与寻找传统倡导者类似：最好的教练并非仅仅是安全技术“最强”的人。那个擅长安全编码并能产出高质量、加固代码的人，可能对承担额外角色毫无兴趣，或者尽管有天赋，却对安全领域并不感兴趣。

相反，如果你寻找具备以下特质的人，或许就能发现你的教练：

• 对网络安全有浓厚兴趣，从动手编码到紧跟最新安全事件、工具和前沿发展
• 具备良好的人际交往能力；他们乐于助人，喜欢成为团队的“首选专家”，并且是平易近人的团队合作者
• 在开发侧倡导方面积极主动；他们了解团队的需求，并能与 AppSec 联络人（他们的倡导者）合作以满足这些需求，从而实现共同的安全目标。

为教练职位提供激励；无论你选择谁，他们都需要承担更多责任，因此必须相应地评估他们的工作量。虽然个人兴趣和职业发展是潜在教练的动力来源，但最好也能看看如何奖励他们的出色表现。可以送他们去参加很棒的会议吗？可以给他们额外的假期吗？可以为他们资助课程和认证吗？现在投入时间和金钱从源头保障软件开发生命周期（SDLC）的安全，比在周期后期——或者更糟糕的是，在漏洞上线后才发现——要节省得多，而一位优秀的教练能保持团队的高度安全意识。找到一种提供有意义奖励的方法。

打造您的进阶版安全冠军计划。

归根结底，整个行业必须采取更多行动来支持开发人员，引导他们加入“安全阵营”，让他们意识到高质量的代码必然是安全的代码。如果缺乏必要的时间和精力去进行教育与赋能，开发人员很难对此产生共鸣，而这恰恰是目前安全编码教育的痛点。通过切合实际的实操技能提升，辅以同行教练和应用安全专家的指导，这三管齐下的策略正是增强开发团队防御能力的制胜关键。