建立以开发者为主导的统一安全方案

针对 SolarWinds 事件等重大安全漏洞（该事件利用软件更新流程感染了超过 18,000 名 Orion 管理软件用户，其中包括许多顶级企业和政府机构），各界愈发呼吁采取更有效的开发人员主导的安全举措。各种规模的组织都开始审视其“软件供应链”，并要求负责开发软件的开发人员具备经过验证的安全技能和意识。

甚至美国政府也在呼吁改善开发人员主导的安全实践，并加强软件供应链。这些理念是拜登总统发布的《改善国家网络安全行政命令》的关键组成部分。

总体而言，开发人员社区对通过 DevSecOps 等项目和运动将安全工作前置到软件开发生命周期（SDLC）的理念持接受态度。在最近的调查中，开发人员表示他们非常重视为支持这一工作而接受的安全培训。

软件漏洞持续遭到利用，甚至开发人员也承认，他们有时会在代码中留下漏洞。

原因何在？

调查证实，编写高质量代码是开发社区的首要任务。然而，调查也指出，尽管开发人员认为目前的培训很有价值，但这些培训在帮助保障软件供应链安全方面仍远未达标。33% 的受访者表示，即便接受了培训，他们仍会在代码中留下漏洞，因为他们依然不知道如何识别或修复已知漏洞。高达 92% 的受访者表示他们至少需要一定程度的额外安全培训，而 50% 的受访者则表示需要更多的培训。

显而易见，开发人员社区非常重视所提供的培训。然而，当被问及采用安全编码实践的障碍时，缺乏时间被列为首要原因，五分之一的受访者认为缺乏统一的方法是症结所在。培训更多被视为一次性活动，而非将安全融入开发人员日常工作流程的持续战略举措的一部分。

因此，开发人员无法在组织内部通过统一且持续的项目来建立并保持安全编码技能。我们还可以得出结论，鉴于许多开发人员表示仍无法识别和修复常见漏洞，目前的培训既不高效也不全面。

92% 的开发人员表示他们至少需要一定程度的额外安全培训，而 50% 的受访者表示需要更多的培训。

组织该如何改善这一现状？

有趣的是，开发人员绝大多数表示他们需要更多的安全培训。虽然他们重视所接受的培训，但这可能仅仅是因为他们对能获得的资源感到满足而已。

当被要求就如何改进培训发表意见时，他们对该问题的真实想法开始显现。总体而言，开发人员接受的大多数培训都局限性强、缺乏互动、与工作职责的关联度不高，且并非旨在提升组织安全技能和意识的整体或持续计划的一部分。根据受访开发人员的建议，如果组织希望提高培训效果，应将其作为在整个 SDLC 中提升安全重视程度的综合方法的一部分。此外，开发人员还提出了使培训更具价值的具体要求。最受欢迎的建议之一是增加更多用例和实操示例，以涵盖他们可能遇到的安全场景。另一个提高效果的建议是，教育内容应逐步涵盖日益复杂或困难的场景——这一举措可能还需要更统一的方法和长期的持续学习与技能发展计划。开发人员还强调了增加互动性甚至引入竞争机制的必要性。总的来说，如果用户只是观看视频或听讲座，而没有机会进行实操和情境化学习，那么在教授安全编码这种复杂且（被认为）困难的技能时，这种培训被认为是不高效且价值有限的。

开发人员还强调了增加互动性甚至引入竞争机制的必要性。

在采用统一的安全方法时，还有哪些要素至关重要？

在提升组织开发人员社区的安全意识和技能时，培训固然至关重要。确保学习过程持续、互动、相关且情境化是必然要求。但要实现真正统一的安全意识提升方法，其内涵远不止于此。

真正统一的方法必须考虑如何培养以开发人员为主导的真实安全文化。这可能需要改变管理和组建开发团队的传统方式。例如，开发人员传统上是根据编码速度来评估的。但统一的安全方法可能涉及改变这些长期存在的指标和价值观。评估重点可以从奖励纯粹的速度，转向奖励那些能够编写出既高质量又安全（即无漏洞）代码的开发人员。

这也可以让开发人员社区本身参与其中。与其简单地向开发人员强制推行安全要求，不如考虑从社区中创建或任命安全倡导者。这些人才将是那些在培训中或作为新评估指标的一部分表现出色的、具有安全意识的开发人员。他们也应乐于帮助其他开发人员提升技能，从而从内部改善开发社区。

真正统一的方法必须考虑如何培养以开发人员为主导的真实安全文化。这可能需要改变管理和组建开发团队的传统方式。

延伸阅读

白皮书：提升软件安全性的挑战与机遇

白皮书：以开发者为核心的软件安全预防策略

白皮书：DevSecOps 超级碗：安全专家如何助力团队攻克后期漏洞

报告：2022 年开发者主导的安全现状