推动企业“设计即安全”计划取得实质性成功

令人欣慰的是，我们看到 CISA 的 “设计即安全” (SBD) 运动在全球范围内势头强劲。美国、澳大利亚、新西兰、加拿大、新加坡、日本、德国和英国均承诺将类似的指导方针纳入其更广泛的网络安全战略，其中许多国家还为最初的建议做出了贡献。

自 2024 年 4 月以来，包括 Secure Code Warrior 在内的 200 多家公司签署了 “设计即安全”承诺书，表明整个行业对提高软件质量和安全标准的承诺。我们认为，这些指导方针对于网络安全领导者来说是一个关键时刻，他们首次获得了全球政府的支持，得以在软件开发领域推动重大的文化变革。虽然这些建议在向美国政府直接销售软件的供应商之外尚非强制性要求，但我认为这不仅是未来趋势，更是反击威胁行为者的绝佳机会。这些指导方针的核心在于努力消除各类漏洞，而全行业对这一目标的关注，可能会使我们在未来几十年内对数字安全产生最显著、最积极的影响。

我们坚信这一运动至关重要，我们的最新研究报告《基准化安全技能：精简企业级“设计即安全”》深入分析了企业中真实的“设计即安全”实践，并基于数据驱动的发现总结出了最佳实践方法。

衡量组织“设计即安全”工作的投资回报率

彻底改革长期形成的软件开发实践绝非易事。首席信息安全官（CISO）在试图证明安全项目活动在人员和公司层面的投资回报率（ROI）及商业价值时，往往面临挑战，许多人对预算削减和高层管理人员对新网络计划缺乏支持表示日益不满。然而，一份基于数据的提案将在此发挥关键作用。

近年来，缺乏衡量组织是否符合行业标准的技能基准一直是一个主要挑战。这使得制定和实施能够影响关键领域并促进开发团队持续改进的安全计划变得极其困难，而这正是成功软件安全实践的核心要素。

实现“设计即安全”计划的关键，不仅在于赋予开发人员确保代码安全所需的技能，还在于向监管机构证明这些技能已落实到位。因此，我们决定分析开发团队的准备情况，结果可能会让你感到惊讶。

试图加速 SBD 计划的公司如何利用信任评分 (Trust Score)

如果没有明确的起点和目标，就不可能实现高效改进。然而，数百家企业客户正在有效利用 SCW 信任评分——这一量化开发团队安全能力的全球基准——来提供这些有用的细粒度数据点。这些见解有助于塑造高效的、以开发人员为导向的安全计划，从而推动“设计即安全”计划的成功。

我们的白皮书分析显示，各关键基础设施行业的组织在为开发人员推进 SBD 计划方面正在取得进展。我们还发现，这些行业的开发团队具备平均水平的安全态势。

Secure Code Warrior 对关键基础设施行业开发人员技能提升的分析，基于来自全球 600 家企业客户和超过 25 万名活跃开发人员的 2000 多万个数据点。分析发现：

• 目前参与以开发人员为中心的 SBD 技能提升计划的开发人员总数不到全球开发人员总数的 4%；
• 金融服务业的信任评分最高，为 336 分；
• 大多数大规模的“设计即安全”技能提升计划都取得了成功，而小规模计划往往较为分散。然而，一旦获得授权，它们已被证明能更快地带来可衡量的投资回报率 (ROI)；
• 当技能提升计划稳步实施时，开发人员在应用程序中引入的风险会显著减少。分析发现，大型技能提升计划（单家公司 7000 名以上开发人员）中的开发人员可以将漏洞减少 47-53%。

解决方案 | 结论

SCW 信任评分是安全领导者手中的利器，能够对组织内的特定领域进行全面深入的分析。报告可按语言、团队或类别进行筛选，生成定制化报告，帮助公司解决开发人员或团队的具体需求，并确定需要额外培训或指导的领域。毕竟，安全是一项永无止境的工作；有效地基准化绩效将有助于发现持续改进的机会。

软件开发和部署的加速，加上日益严峻的网络威胁环境和监管机构的严密监控，已将网络安全推向了首要位置。如果尚未行动，组织必须优先培养全企业范围内的“安全第一”文化。