情境化实践学习：强化安全思维的超级加速器

很抱歉，我必须带来一个坏消息。

传统的培训方式已经过时了。

好吧，其实还没完全过时……但它确实应该被淘汰了。研究一再表明，把一群人关在教室里学习新知识、完成合规任务或进行再培训，是效率最低的教育方式之一。在企业培训中，这一结论同样适用。《哈佛商业评论》发表的一项研究针对大型企业新员工的课堂培训效果进行了调查，发现这种学习方式平均需要八到十二个月才能让新员工上手并产生生产力。这对于充分发挥一个人的技能来说，时间实在太长了（如果你是新员工，这也会让你感到漫长的煎熬）。如今，大多数机构根本没有这么多时间；最终的结果往往是敷衍了事，员工无法获得所需的培训，而公司也因此错失了本可以更早实现的巨大价值。

令人难以置信的是，许多机构至今仍依赖课堂教学、枯燥的教科书和令人昏昏欲睡的视频培训来让最优秀的人才掌握公司最佳实践或新计划，而明明有一种更好、更具吸引力且更有价值的学习方式：情境化培训。事实证明，当人类能够亲身实践新理念和新流程时，记忆效果会好得多。

说到开发人员……我们是一群特殊的人。以我作为开发人员的经验来看，传统的培训方式并不能激发我的热情。开发人员通常是富有创造力、善于解决问题的能手，他们更愿意动手使用工具，而不是在课堂上听讲，或者在学习新知识时面对着喋喋不休的视频。特别是在安全培训方面，目前的现状存在明显的脱节：开发人员无法解决代码中的常见漏洞，导致应用安全（AppSec）专业人员在面对反复出现的简单问题时感到抓狂。团队之间的关系因此变得紧张，开发人员也没有获得正确的工具和培训来保持对安全开发最佳实践的参与度。他们的主要目标是构建功能，但随着每家公司面临的网络风险迅速增加，我们实在无法再忽视或降低安全知识的优先级了。

最棒的部分是什么？如果开发人员具备了安全意识，那些常见的漏洞就会开始消失。风险降低了，修复后期漏洞的成本也随之减少（应用安全团队也不用再为此抓狂了）。

那么，让开发人员参与情境化培训究竟是什么样的呢？

现实世界的案例具有极其强大的力量。

试想一下，如果我们都必须通过观看 YouTube 视频来学习开车。虽然你可以大致了解汽车的工作原理，以及启动车辆上路的一系列流程，但在你真正坐进车里亲自尝试之前，几乎不可能学会如何开车。

情境化培训之所以如此有价值，是因为它让学习者能够亲身实践所学内容。当你拥有现实世界的背景时，学习会变得更有吸引力和意义。

以安全编码为例，任何人都可以看完视频并理解 SQL 注入的基础知识，但当截止日期临近且功能交付成为首要任务时，解决问题的具体细节很容易被遗忘。然而，如果能够查看真实的代码示例，识别注入点并将其作为培训练习的一部分进行修复，这对开发人员的日常工作来说远比试图死记硬背单向信息要实用得多。对于开发人员来说，这也更具相关性；如果他们看到与自己平时编写的代码相似的内容，他们会立刻打起精神并予以关注。

在Secure Code Warrior平台上，我们将安全代码培训游戏化，提供了多种语言和框架的各种挑战。该系统鼓励重复练习，最重要的是，它可以即时定制，为真正的学习提供合适的情境环境。

在最需要的时候提供知识

根据情境学习理论，只有当学习者以符合自身认知框架的方式处理新信息或知识时，有效的学习才会发生。

想象一下，如果开发人员收到一份来自漏洞赏金计划、静态分析（SAST）工具或缺陷跟踪软件的安全漏洞列表。如果他们从未接触过这些漏洞，可能会感到困惑，甚至不知所措。更糟糕的是，大多数报告是为应用安全专家设计的，而非开发人员。报告中的信息难以解析，且往往包含对开发人员而言并不直接适用的通用建议。

最近，我们增加了直接深度链接到漏洞实操培训的功能，这些漏洞源自漏洞赏金计划、静态分析工具、缺陷跟踪软件和渗透测试报告。开发人员可以立即理解基础知识，并学习适用于其特定框架的优秀编码方案。

通过这种方式学习，可以确保开发人员在概念最相关时获得知识和培训，从而使他们更有可能长期记住这些信息。

见效更快，干扰更少，团队更满意。

任何培训若能与您的日常工作紧密结合，其效果都远胜于生搬硬套通用知识。这样您不仅能减少“学习模式”下的时间投入，更重要的是，当您需要解决实际问题时，无需再回头翻找那些早已“学过”的内容。

情境化培训的原则之一是知识的累积性，即培训的每一部分都建立在前一部分的基础上，通过循序渐进的过程引导参与者掌握技能。我们的平台支持这种模式，并采用了类似于空手道道场的段位系统。每个人都从白带开始，通过投入必要的培训时间和参与竞赛，最终晋升为令人向往的黑带，即“安全冠军”。这种方式既有趣，又具备实际价值和应用意义。

想要留住顶尖人才并提升他们的安全意识？那就为他们提供成功的工具。

一个残酷的现实是，目前具备安全意识的开发人员和应用安全专家仍是稀缺（但至关重要）的资源，而且他们往往很难留住。

Cybrary 在 2018 年对 3100 名 IT 和安全专业人员进行了一项调查，结果显示，留住优秀员工的关键在于投资他们的培训。调查发现，那些提供工具和培训以培养内部安全技能的公司，其安全专业人员的留任率比不提供此类支持的公司高出 60%，且高达 65% 的受访者更倾向于实践性培训。很棒，对吧？

然而，调查结果也揭示了一个令人担忧的事实：80% 的受访者认为自己没有做好充分准备来抵御网络威胁。威胁不会消失，为了应对日益严重的代价高昂的数据泄露和攻击风险，我们比以往任何时候都更需要合适的培训。虽然我可能有偏见，但 Secure Code Warrior 的平台或许正是您所需的工具，它能激发积极的安全文化，提升开发人员技能，为他们提供喜闻乐见的情境化培训，并保护您的组织免受恶意攻击。申请演示，我们将为您展示更多内容。