开发者竞赛：提升安全文化与参与度的应用安全秘籍

想象一下，你从零开始打造一件作品，运用自己的技能和经验，在世界上留下一个虽小却独特的印记。无论是一个人还是团队协作，你都倾注了心血，从无到有地构建出某样东西。你投入了数百甚至数千小时，只为确保你的“心血结晶”达到最佳状态。当作品完成时，那种成就感本身就是最好的奖赏。

现在，想象一下，一个扫兴的人走过来告诉你，这东西不怎么样。甚至更过分的是，他们告诉你，尽管你牺牲了精力、时间和爱，但它根本无法使用：它坏了。本质上，他们是在告诉你，你的“心血结晶”一文不值。

上述场景必然会引发紧张关系；毕竟，谁愿意自己的辛勤工作被挑剔并被贬低为不合格呢？遗憾的是，对于许多开发人员来说，这可能就是他们与应用安全（AppSec）团队关系的真实写照。开发人员的首要职责是构建功能完善、特性丰富且能在严格期限内交付的软件。安全往往不是优先事项，甚至可能被视为阻碍快速交付和创新的绊脚石。应用安全团队则承担着一项吃力不讨好的任务：仔细检查代码、进行渗透测试，然后报告坏消息——在往往已经提交的代码中发现安全漏洞。在资源和时间本就紧张的环境中，这是一个昂贵的过程，这种设置注定会在两个目标相同但语言迥异、甚至针锋相对的团队之间造成隔阂。

是时候给安全工作来一次“大变身”了。其实很简单，只要改变沟通方式，让双方——尤其是开发团队——都能以更积极（更不用说更有趣！）的心态参与其中即可。

走出课堂，进入竞技场

许多开发人员在完成职业培训时并没有学到多少安全编码知识，因此他们往往在进入职场后才首次接触安全教育。课堂培训是一种常用的解决方案，但它占用了宝贵的特性交付时间（而且说实话：如果老师和内容缺乏吸引力，这对所有人来说都是一种容易被遗忘的时间浪费）。此外还有视频课程、纸质考试和通用的公司安全政策教育……所有这些内容往往过于笼统，对普通开发人员的日常工作毫无用处。

这种培训往往被视为一种“打勾即走”的合规练习，而且往往适得其反：它只会加剧应用安全团队与开发团队之间的隔阂。毕竟，传统的培训似乎并没有在我们行业迫切需要的安全文化和合规性方面产生积极影响。我们一直在犯同样的错误。

根据通用缺陷枚举（CWE）社区的统计，目前有超过 700 种常见的软件安全缺陷需要应对。其中一些，比如 SQL 注入，就像打不死的蟑螂，尽管存在了二十多年依然猖獗。我们知道如何修复它；培训旨在赋能开发人员去阻止它以及其他许多漏洞，然而渗透测试和人工代码审查过程却不断发现这些违规行为。

也许我们一直以来都看错了方向，作为行业，我们需要从不同的角度来处理有效的教育……即利用开发人员所珍视的惊人技能。他们是富有创造力、好奇心强且热爱挑战的问题解决者。将安全培训游戏化，就是使用他们的语言，让他们在实践中学习——谁知道呢，他们甚至可能在过程中爱上安全工作。

一点良性竞争

过度依赖（往往不准确的）工具、昂贵的渗透测试和稀缺的应用安全专家，只会让我们陷入更深的安全黑洞。我们的生活和隐私在网上存在得太多，企业不能再对保护我们数据的虚拟堡垒掉以轻心。随着数字化转型加深了我们对软件的依赖，我们需要求助于一直坐在办公室里的超级英雄：开发团队。

使用相关语言和框架的游戏化培训，是应用安全经理开始改变企业内部安全文化的有力工具。通过培训，开发人员可以在有趣的锦标赛环境中锻炼他们新建立的安全肌肉，这种环境可以像你想象的那样令人兴奋：看看 IAG 的“代码游戏”是如何让所有人都在组织内谈论安全的。

Secure Code Warrior 的锦标赛模块不仅仅是对既定培训承诺的一个完美收尾：它还是一个平台，每位开发人员都可以在此验证自己的技能，查看自培训开始以来的进步程度，并找出需要改进的地方。竞争机制确实能激励人们积极参与安全工作，利用奖励和认可来支持团队乃至整个企业内部稳健安全文化的成长。

在看似繁重甚至令人望而生畏的任务中注入一点乐趣，对于改变消极心态和激发持续参与大有裨益。毕竟，谁不喜欢在（良性）竞争环境中获得比同僚更高分数的荣耀呢？

冠军就在你身边

游戏化培训及随后的锦标赛在推动积极的安全文化方面大有裨益，应用安全团队和开发团队能借此更深入地了解彼此的日常工作。一名安全的开发人员是一项宝贵资产，他们能修复常见漏洞，并将复杂问题留给现场稀缺的应用安全专家。更好的关系得以建立和发展，宝贵的安全预算也不会再被浪费在反复修复相同错误的“土拨鼠日”式循环中。

然而，还有一个强大的副产品：发掘那些你从未意识到自己拥有的安全冠军。锦标赛可以发现那些不仅具备安全天赋，而且表现出对安全工作热情的员工。这些冠军对于保持势头、充当团队间的联络点、监督同僚并维护最佳实践政策至关重要。实施一个稳健的冠军计划，包括认可和高层支持，不仅是企业的荣誉，也是个人简历和未来职业生涯的有力加分项。

归根结底，我们必须要求安全测试取得更好的成果。减少常见错误，为一线人员提供更多支持。何不了解一下开发者竞赛如何助您更快达成目标？