富有创意的 CISO 和 CIO 如何创新并转型其安全计划

本文的一个版本曾发表于 DevOps.com；现已重新命名并更新，纳入了新的信息。

尽管 CISO 和 CIO 处于一个令人艳羡的境地，即必须承担软件安全的主要责任，尤其是在发生令人尴尬的公司数据泄露事件时，但他们也获得了一个提升自身重要性的独特机会：他们是新的创新者，只要方法得当，就能发挥巨大的影响力。全球的每个组织，无论是公共机构还是商业企业，都在这个快速数字化的世界中争夺（并获取）市场空间。客户期望从过去和未来的产品中获得无缝的在线体验，“数字化优先”的业务方针正变得势在必行。毕竟，如果无法满足这些期望，几乎肯定会有竞争对手准备抓住机会乘虚而入。

那么，这对现代 CISO 或 CIO 意味着什么？自然，这意味着他们雇佣了开发团队，每个人都在编写构成其数字产品或服务的代码。网络安全虽然多年来一直是首要考虑因素，但随着越来越多的业务运营在网上进行并处于攻击者的视野中，它正成为一个日益严重的风险因素。泄露的后果是巨大的，但放弃数字化并非选项。

富有创造力的 CISO 和 CIO 处于有利地位，可以与他们的应用安全（AppSec）和开发团队一起，继续开辟我们的数字未来之路。他们无疑将塑造商业、政府和公共服务在线创新的长期发展，但他们也肩负着平衡快速上市目标、高质量软件以及降低安全风险的重任。

迄今为止，这种平衡极难实现。这导致开发团队往往处于碎片化状态，普遍将主要精力放在交付功能和特性上，而没有考虑他们在快速产出的代码中可能造成的漏洞。应用安全专家不断地修复同样的错误，而因留下简单的后门而导致泄露的威胁却始终笼罩在头顶。

如果我们的数据要保持安全，CISO 和 CIO 需要在团队协作方式上发挥创造力，并自上而下地建立一种积极的安全文化和共同责任感。看看万豪酒店（Marriott）因其 2018 年泄露事件所面临的灾难性后果：超过 1.23 亿美元的 GDPR 罚款，超过 5 亿条记录被盗，安全声誉扫地。这场灾难在很大程度上是由于不安全的编码实践直接导致的，早在 2014 年，万豪在 2016 年收购的喜达屋（Starwood）服务器上就发现了 SQL 注入漏洞。他们随后对该软件的使用显然在应用安全方面未得到有效监管。这给了恶意攻击者数年的时间来访问和获取数据，而弱密码等其他漏洞则随着时间的推移留下了更多的可利用缺口。

CIO 和 CISO 需要非常仔细地审视自身软件安全环境的状况。普通开发人员的安全意识如何？应用安全团队和开发团队的协作情况如何？没有“魔杖”式的解决方案，但可以在文化、培训和支持方面下功夫并加以改进。开发团队能够从组织中数据泄露风险的第一道防线，转变为在坏代码进入生产环境之前就将其拦截的安全超级英雄。

安全编码健康检查：你的项目是否在靠“生命维持系统”运行？

你的开发团队处于什么水平？我创建了这份安全编码清单，旨在帮助 CIO 和 CISO 识别他们的开发团队是否真正具备成为安全编码冠军的能力，从而帮助他们以更快、更好、更安全的代码进行创新（或者，确实需要对安全计划进行全面改革）：

1. 你的高管团队（C-Suite）支持力度如何？他们是否理解传统的网络安全已不再足够？

在软件的未来发展中，仅使用过时的安全措施来保护网络层是远远不够的（坦白说，这种做法也鲜有成效），即使是面对半专业的黑客也是如此。在众多一致的报告中，Verizon 的《2017 年数据泄露调查报告》指出，如今高达 35% 的数据泄露是由 Web 应用程序漏洞引起的。

Web 应用程序安全与网络安全同等重要；忽视这一点，且未能为应用安全措施这一基础性保护层进行预算和投入，可能会让你真正地暴露在泄露风险之中。

2. 你是否足够“左移”，且行动是否足够早？

目前的应用安全方法非常依赖工具，侧重于在软件开发生命周期（SDLC）中从右向左移动。从定义和设计上讲，这承认了该流程是有缺陷的，并支持一种检测和反应的结果。安全团队在寻找和检测已经编写好的代码中的漏洞，通过对已提交的代码进行修复来做出反应，而不是确保代码在编写时就是无缺陷的。根据美国国家标准与技术研究院（NIST）的数据，在已提交的代码中检测并修复漏洞的成本，是在 IDE 中编写时预防漏洞成本的 30 倍。这甚至还没有考虑到生产延迟、重复处理以及反复修复同样众所周知的安全问题所花费的时间。

一个真正稳健的安全文化坚持从左侧开始，在开发人员群体中激发安全冠军，同时为开发团队提供正确的工具和培训，以培养和践行安全编码思维。重点在于持续的自我提升，锻炼他们解决问题的能力，使他们能够成为组织的第一道防线，从源头上防止常见漏洞的产生。

3. 你是在努力培养实用的安全技能，还是仅仅在进行单向的知识灌输？

绝大多数安全培训解决方案（在线和基于计算机的培训）都侧重于建立知识，而不是与工作直接相关的实用技能。为了让开发人员能够茁壮成长并积极编写安全代码，他们需要定期获得情境化的、实践性的学习机会，积极鼓励他们在真实环境中持续培训和发展技能。他们需要通过真实的代码示例来了解最近发现的漏洞，并能够在他们偏好的语言和框架中工作。这种学习体验能有效帮助他们理解如何在日常工作中定位、识别和修复正在处理的代码中的已知漏洞。

虽然市面上有很多知识渊博的老师，也有大量关于修复安全漏洞的信息，但翻阅教科书或观看数小时的视频往往无法吸引许多富有创造力、善于解决问题的开发人员。如果源源不断的数据泄露事件能说明什么的话，那就是这种方式在防止漏洞进入代码方面仍然基本无效。

4. 你是否在用实时指标来衡量你的安全编码技能？

在开发团队中建立“安全至上”的思维模式，关键的一步是收集并审查相关证据。这不应基于假设或猜测：开发人员要么具备安全意识，要么不具备。

指标旨在向开发人员及其组织证明，他们的辛勤工作正在取得成效，个人的安全编码技能也在不断提升。无法衡量，就无法改进。组织应进行相关的评估，以实时了解开发团队的进展，并对其安全编码的优势和劣势进行基准测试，从而实现持续改进。

很多时候，安全培训对组织而言仅仅是“走过场”，根本不重视培训是否有效、员工是否参与，甚至不关心他们是否真正掌握了相关知识。

5. 您的外包供应商是否采用了稳健的安全编码技术？

许多组织选择将开发工作外包给第三方机构。无论这些机构是在国内还是海外，客户对其实际的安全编码能力和实践往往知之甚少。在最好的情况下，组织获得的唯一安全保证仅仅是合同中要求交付成果必须“安全”的条款。很少有公司会预先采取措施来验证这些开发团队的技能，从而冒着交付出的软件虽然符合需求，却未遵循稳健安全编码实践的风险。更糟糕的是，如果采购公司没有意识到应用程序中存在的固有安全缺陷，就可能将存在漏洞的软件发布到市场中。

最常见的情况是，漏洞被专业的安全专家（这类人才不仅难招，而且成本高昂）发现，导致您面临上线日期推迟的困境，并可能引发关于谁来承担修复这些安全缺陷费用的合同纠纷。然而，如果您能未雨绸缪，在项目开始前评估开发人员的应用安全技能，就能避免许多潜在的延误、挫折和经济损失。

6. 您的开发人员是否了解最常被利用的安全漏洞？

超过 85% 被利用的 Web 应用程序漏洞都归因于 10 种已知的漏洞，即 OWASP Top 10。您的应用安全培训至少必须涵盖这些内容，以及更多其他类型的漏洞。您为开发人员提供的培训挑战必须定期修订和更新，并针对新的编码框架或漏洞类型引入新的挑战。

应将基于真实安全编码场景的精准培训作为标准；模糊的通用知识根本无效。（想知道这些安全编码场景是什么样的吗？请查看我们的 Coders Conquer Security 博客系列；每篇文章中都有一个可操作的挑战。）

7. 您是否有内部的安全捍卫者？

每个拥有大量开发人员的组织都应投入资源培养“安全倡导者”，即那些负责在开发团队中维护高安全标准的人。他们的职责是为任何有安全疑问的人提供支持，并成为推行安全最佳实践的主要倡导者。

他们是安全文化拼图中至关重要的一环；一位出色的安全倡导者能够保持强化培训带来的动力，确保团队所有成员获得所需资源，并持续争取各方支持。

8. 您是否为开发人员投入了相关工具，以简化安全编码流程？

如果您的组织采用敏捷开发模式，或者需要频繁更新公司自研的应用程序，那么自动化部分安全流程是跟上快节奏和繁重工作量的唯一途径。

在软件开发生命周期（SDLC）的每个阶段，都有相应的工具可以充当顾问、质量把关者或检测工具。此外，一些工具会对代码进行自动化测试，在软件投入生产后模拟黑客攻击。所有这些工具都有各自的优缺点，没有任何一种工具能百分之百保证应用程序不存在安全威胁。您可以采取的最重要的预防措施是：越早发现漏洞，修复它的速度就越快、成本就越低，对业务的影响也越小。

具有前瞻性的 CISO 的下一步行动

那么，您的组织在上述清单中的表现如何？

虽然 CISO 和 CIO 实际上被迫积极构建企业的 DevOps 和 DevSecOps 能力，但这并不意味着没有时间在团队中考虑和实施合适的工具与培训。安全编码技能将成为创新的助力而非阻碍，忽视这些技能可能会导致公司声誉和数据遭受毁灭性打击。这些技能代表了关键能力，也是长期降低漏洞和缓解风险的更经济的解决方案。

一位卓越且富有创新精神的 CISO 有能力自上而下地营造健康的各种安全文化；确保您的员工拥有有效执行安全最佳实践所需的一切。

Pieter Danhieux 是一位安全专家，也是 Secure Code Warrior 的联合创始人。