如何说服老板投资安全编码培训

无论你是开发人员、QA、工程主管还是应用安全专业人员，只要你从事软件相关工作，安全就是你职责的一部分。指出软件漏洞是安全团队的工作，而编写出从源头上杜绝缺陷的代码则是开发人员的职责。为了尽可能高效地完成这些工作，各方必须通力合作应对安全威胁，而这一切应从应用程序所运行的代码开始。

然而，学习安全编码并内化这些知识看似困难。但只要拥有合适的工具，其实并不难。要说服利益相关者和上级投入资源进行正确的培训并非易事。培训往往只是为了应付合规性检查，且大多与开发人员的日常工作无关。如果开发人员能在日常使用的语言和框架中实时学习安全知识，并乐在其中，那会怎样？最重要的是，你的组织还能同时满足行业合规标准。

我们为你提供支持。以下是一些策略，可以帮助你获得同事、主管和组织内最终决策者的支持，从而推行以开发人员为核心的安全编码培训计划。

从源头避免软件漏洞可节省大量的时间和成本

你是否发现自己花费了太多时间在查找、报告或修复重复出现的安全问题上？你并不孤单。

设想一下：一旦应用安全团队发现漏洞并反馈给开发团队，开发人员立即进入相关的培训课程，不仅学习如何修复该缺陷，还学习如何避免在未来犯同样的错误。你认为结果会如何？由于课程与工作高度相关，开发人员很可能会记住这些知识，从而减少再次犯错的可能性。这意味着，如果你在安全团队工作，那么该开发人员再次无意中制造出相同漏洞的概率就会降低，且他们也不必反复返工修复同一个问题。

观看我们的客户 Contrast Security 提供的视频，了解实时培训对他们的开发团队有多大的帮助。

如果所有开发人员都能定期参加安全编码培训，并能随时随地通过工具实时学习安全问题，那么由此节省下来的时间将不可估量，足以让他们去开发更出色的软件并投入到安全项目中。这听起来是说服组织投资此类工具的绝佳理由，对吧？

如果你发现了一个非常适合提升安全技能的工具，比如（咳咳）Secure Code Warrior，这正是向组织内的 CISO 或 CTO 进行推介的绝佳切入点。

赋能开发人员不仅能带来更好的成果，还能提升他们的幸福感

时间和金钱对管理层固然重要，但员工的工作满意度同样关键。满意的员工能交付更好的成果，留任时间更长，并能营造积极的工作环境。这就是为什么职业发展和培训是一项投资，而非成本。如果培训既有趣又实用，那简直就是成功的金钥匙。

好消息是，开发人员通常有很强的动力去学习安全知识，因为他们深知这对工作的重要性。我们与 Evans Data Corporation 联合开展了一项全球开发人员调查，结果显示开发人员希望学习安全知识的原因包括：

1. 提高生产力和效率
2. 出于好奇和个人兴趣
3. 希望避免不安全代码带来的问题
4. 了解这有助于职业晋升
5. 更有效地利用人力资源
   

(Download the full whitepaper here.)

唯一的问题是，目前大多数安全编码培训都令人失望。它们与日常工作脱节，而且说实话，非常枯燥。这些特点通常无法带来良好的知识留存和学习效果。然而，当学习平台以开发人员为中心，既有趣、引人入胜，又与工作紧密相关时，它就能产生实际成果，培养出主动想要编写安全代码的人才。既然如此，你的老板（无论是开发主管、CISO 还是 CTO）又有什么理由不支持开发人员提升安全编码的兴趣和技能呢？

安全意识能造就更优秀的工程师

当工程师了解软件如何容易受到攻击时，他们在工作中就会时刻保持警惕。一个人越了解可能出现的问题，就越会采取预防性的工作方式。

不仅如此，质量低劣的代码更容易包含软件漏洞，开发人员也更容易在无意中引入漏洞。为什么？因为他们的工作很大一部分是阅读和修改代码。当代码组织混乱且逻辑不佳时，执行这些任务所需的时间更长，且更容易在修改时意外引入严重的安全性错误。

当您了解了安全性以及如何规避问题时，您也会更深入地思考代码的整体质量，以及如何编写代码以避免意外引入漏洞。安全培训是双赢之举：开发人员不仅能学到安全编码知识，还能在此过程中成长为更优秀的工程师。

众人拾柴火焰高

要让领导层支持采用安全编码学习平台，另一个好策略是争取同事们的认同。对提升安全知识感兴趣的开发人员越多，就越容易说服管理层或高管团队进行投资。

那么该怎么做呢？鉴于大多数开发人员都明白提升安全技能的必要性并乐于学习，这应该不难。您可以让他们看看这个 Secure Code Warrior 开发人员展示页面，先睹为快了解我们的产品，并开始测试他们的安全编码技能。一旦他们亲眼见证了不安全代码的影响，并发现学习安全知识其实很有趣，他们就会更有动力去深入学习。

选定合适的工具后，激发开发人员参与度的一个好方法是开展良性竞争。不妨尝试通过举办锦标赛来启动您的培训计划。

看看 Nelnet 如何通过极具创意的锦标赛在公司内部建立安全文化。

持续的安全培训有助于营造理想的公司文化

培训不必枯燥乏味，实际上也不应该如此。我们知道讲座形式成本高昂且难以组织（尤其是对于分布式团队），而且大家往往收获甚微。然而，许多组织依然为开发人员提供那种仅为满足年度合规要求的形式化安全编码培训。仅仅维持现状已远远不够。开发经理和应用安全团队是时候提升标准，共同实施一种能够促进持续且互动式学习的培训工具了。而这一切，始于说服决策者。

持续的实操培训至关重要，原因有几点。网络安全威胁在不断演变，因此应对这些威胁的培训也理应持续进行。不仅如此，如前所述，实时学习能让我们更牢固地掌握知识。将安全意识融入编码实践很难，因为指望开发人员回忆起一年前幻灯片里的内容是不现实的。但如果他们能在漏洞报告出现的第一时间学习如何规避，并且感觉像是在玩游戏，那效果将截然不同。

一旦实施了实操性强的相关培训，安全性就会融入公司文化，不再被视为事后补救措施。它将从软件开发生命周期的最初阶段就植入到开发流程中。

还在等什么？开启您的组织安全提升之旅，保护公司和客户的重要数据。让您的开发人员和老板加入进来，将组织的安全编码水平提升到新高度。从源头考虑安全性，彻底终结重复出现的漏洞问题。

需要更多资源？‍

下载完整的“说服 CISO/CTO 工具包”