如何开展有效的开发者安全培训：5 个重要经验

为什么有的开发者应用安全培训项目效果显著，而有的却差强人意？

在担任 SANS 培训师的 10 多年里，以及过去三年创立并打造 Secure Code Warrior (SCW) 的过程中，我深刻体会到，投入时间和资源来优化培训项目以实现最佳效果至关重要。

在公司运营的第一年，我们让超过 10,000 名开发者参与了安全代码培训。我观察到，那些培训推广效果最好的团队都有一些共同点。他们的成果令人欣慰：极高的参与度、安全意识的显著提升，以及通过在安全漏洞造成高昂代价前将其拦截，为项目带来了强大的投资回报率。

虽然不想承认，但确实有一些人采取了“低投入”策略，仅仅通过发送一封包含培训链接的邮件来推广项目。不出所料，这种方式效果不佳，我们不得不介入并纠正这些推广方案。

以下是我总结的 5 个重要经验，它们将显著提升任何开发者安全培训项目的参与度、影响力和成功率，我们的项目也不例外。

1. 如果想让项目产生影响力，就让启动仪式变得有趣些

举办一场特别的启动活动，或者为你的项目设定一个电影、极客或游戏主题，能从一开始就极大地激发参与热情。我们的一位大客户围绕一部热门电视剧打造了一个完整的奇幻主题项目，配套了 T 恤、徽章和贴纸，让整个培训过程成为开发者们不愿错过的体验。另一家客户则在 5 月 4 日举办了以《星球大战》为主题的活动。一点点趣味性就能让员工更乐于接受，使短小精悍的安全代码技能培训感觉像是一种工作间隙的放松，而不是又一项必须完成的任务。达成第一个里程碑，我们成功吸引了他们的注意力，并让他们了解了这个项目。

2. 找到合适的开发者安全培训倡导者（提示：沟通能力比安全技能更重要！）

在每个 Scrum 团队中找到合适的安全倡导者，对于项目的持续成功至关重要，尤其是在大型组织中。根据我的经验，并非所有技术精湛的安全专家或开发者都具备出色的沟通能力。最优秀的倡导者——那些能为你的项目带来持续积极影响的人——是那些对安全充满热情，且具备强大的人际交往、影响力和沟通能力的人。请慎重选择，并将性格和沟通技巧纳入考量范围。

3. 提供能够认可技能的酷炫奖励

总的来说，每一位电脑极客（包括开发者）都喜欢自己的智慧和技能得到认可。当你用专属的技能贴纸、极客小玩意、特别徽章或定制 T 恤来奖励他们时，他们会引以为傲地展示出来。如果有人在培训项目中取得了显著成就，一定要想办法给予他们认可和曝光。我见过一个很棒的案例：一位客户定期为他们的 Secure Code Warrior 倡导者拍照，并将照片连同公司首席信息安全官 (CISO) 的寄语一起发布在员工通讯中。

4. 不要试图把开发者培养成安全专家

虽然你希望通过帮助开发者编写安全代码，让他们成为你安全项目中的“第一道防线”，但这并不意味着他们需要成为企业中最深度的安全专家，也不意味着你应该不断向他们灌输新的安全漏洞和数据泄露案例。虽然安全很重要，但他们的首要目标通常是构建出色的产品或服务，并跟上业务发展的步伐。如果你给某人施加过多的安全压力，就有可能导致他们产生抵触情绪。关键经验在于：他们需要掌握基本的安全卫生知识，并获得编写安全代码的工具支持，但他们无需成为公司的安全专家。

5. 不要衡量培训本身，要衡量其影响力

不要去统计开发者参加了多少小时的培训或观看了多少视频，而应衡量在项目启动前，通过代码分析、漏洞赏金计划或传统漏洞测试在开发生命周期中发现的缺陷数量。如果你的培训项目有效，被识别出的漏洞数量就会下降。第二个衡量指标是修复漏洞所需的时间。如果开发者需要一个月才能修复，这显然说明他们不理解如何处理；但如果他们能在一小时内修复，你就知道他们已经掌握了相关技能。这就是聪明企业用来衡量开发者安全编码培训影响力的两个指标。

打造高效开发者安全培训的 5 个重要经验：

1. 如果想让项目产生影响力，就让启动仪式变得有趣些
2. 找到合适的开发者安全培训倡导者（提示：沟通能力比安全技能更重要！）
3. 提供能够认可技能的酷炫奖励
4. 不要试图把开发者培养成安全专家
5. 不要衡量培训本身，要衡量其影响力