将枯燥的 PCI-DSS 合规工作转化为对每个人都有意义的实践：第 1 部分 - 应用安全

这是关于企业如何成功实现 PCI-DSS 合规性系列文章的第一篇。在本章中，我们将详细探讨应用安全（AppSec）专家如何与开发经理紧密合作，为开发人员赋能，加强安全软件开发生命周期（SSDLC），并将通用法规转化为具体的执行成果。

“合规”这个词听起来并不怎么令人兴奋。它显得刻板、枯燥、指令性强……甚至带有一种束缚感。如果非要给它配个颜色，那一定是米色。而且，它似乎与任何创造性环境或创新格格不入。

作为一名开发人员，我以往对“合规”的体验通常是：走马观花地阅读一些准则，或者参加一场演示会，然后就回去继续编写功能代码，专注于开发客户喜爱使用的软件。大家当时能记住多少是多少（并且尽量在工作中做到合规），但合规准则——尤其是那些围绕安全最佳实践的准则——通常并不是为开发人员量身定制的，其中的具体要求往往模糊不清。在这种情况下，大家很容易就只顾着完成手头的开发目标，而忽略了其他。

问题在于，安全软件开发在任何公司都不再是“锦上添花”的事项，而是每一家企业都必须（或应该）时刻关注的重点……如果一家公司持有大量敏感的客户信息，那么它就极易成为网络攻击的目标。开发人员是代码的一线接触者，因此，他们应该像团队其他成员一样，深度参与到任何安全合规措施中。

但是，请听我说。这并不意味着每个人都必须沦为僵化、枯燥的开发流程和软件产出的奴隶。这意味着企业有机会也有能力共同建立更高标准的代码规范。世界正在缓慢地意识到，迄今为止，开发人员并没有获得合适的工具来将安全置于优先地位（而孤立的安全专家也无法独自承担这一重任）。然而，随着行业向 DevSecOps 转型，将安全视为共同责任，只要配置得当，他们就能在开发人员成功的基础上，有效遏制漏洞的反复出现。

PCI-DSS 指南涵盖了银行卡支付网关的在线安全合规性，这是我们大多数人经常使用的服务。这些指南具有全球适用性，它们实际上 详细列出了开发人员为维持合规标准必须采取的行动，并辅以 多份合规文档，涵盖了电子商务业务的各个方面。

数据泄露是令人恐惧且足以摧毁声誉的风险，企业难以承受。据 Cyber Security Ventures 预测，零日漏洞攻击在 2021 年将达到 每天一次，这是软件交付流程中的每个人都应共同应对的问题。

让我们来拆解一下 PCI-DSS 的建议，以及它们如何在团队中落地：

致应用安全与合规团队：并非所有的开发人员培训都是平等的

在大型（甚至小型）组织中，开发人员很少能对在职培训的内容有太多发言权。为了留住核心人才，一些公司确实提供了全面的培训计划，但这仍然不够普遍。安全培训的需求提供了一个绝佳的机会，不仅可以启动企业的合规工作，而不至于让大家感到枯燥乏味，还能借此改善与开发团队之间可能存在的隔阂。

就 PCI 合规性而言，其指南明确规定了任何运行支付网关的软件所应达到的预期成果；除其他目标外，他们要求应用程序必须经过加固（这对于防止恶意 代码注入 或篡改至关重要）、实施最小权限控制，并全面了解常见漏洞……这只是最低要求。所有处理持卡人数据的相关人员都必须接受充分的培训，对于开发人员来说，这种培训决定了他们能否从开发流程之初就编写出安全的代码。

官方的 《维持 PCI-DSS 合规性的最佳实践》 文档详细阐述了一些关于安全意识、开发人员需求和适当培训的直接概念，例如：

版权所有 © 2006 - 2020 PCI 安全标准委员会，有限责任公司。保留所有权利。

这让我们深入了解了为开发人员配备必要技能所需的具体、深入的培训，但它并没有指出哪种类型的教育解决方案比其他方案更有效。PCI-DSS 开发人员指南则更为直接，将 OWASP Top 10 确定为学习发现和修复最常见漏洞的基准，并推荐了一些认证项目。

但是……问题就在这里。正如你从各种职场培训和合规计划中无疑会了解到的那样，它们的质量和最终效果可能天差地别。当涉及到开发人员时，许多安全编码培训项目似乎并没有以任何有意义的方式满足我们的需求、工作方式，甚至是我们日常工作的需要。 在这种情况下，并非所有的培训都是平等的，也并非所有的培训都能带来更安全的软件。这当然与你的预期目标背道而驰，也不会减轻你自身工作的压力。如果你想减轻负担并阻止常见漏洞引发潜在灾难，你需要架起一座沟通的桥梁。

在工程经理的支持下弥合安全技能差距

直接与工程经理合作，寻找既切合实际又能被一线执行人员所接受的解决方案，是实现理想安全成果的捷径。他们对自身团队有更直观的了解，能够指出以往阻碍合规培训的因素（除了培训体验不佳这一常见问题外）。

课堂培训、视频点播以及任何一次性的“打卡式”练习都难以让人保持与时俱进；这些静态方案无法跟上网络安全行业瞬息万变的步伐。归根结底，工程经理希望看到时间投入的价值，因此与他们合作并提供切实可行的方案，以实现大家共同的目标——编写更安全、更合规的代码，这一点至关重要。

那么，什么样的培训才算好？通过大规模、一次性的信息灌输来学习安全编码几乎毫无意义。碎片化、循序渐进的学习过程能让人更容易记忆并在实际工作中应用，而且培训内容必须涵盖日常使用的编程语言和框架。就我个人而言，我希望接受挑战，并看到自己努力的意义——毕竟大家都很忙，不是吗？

为了遵循上述 PCI-DSS 最佳实践，根据所选方案的不同，经理们可能不得不拼凑各种课程来覆盖企业使用的所有语言和框架。这会让情况变得非常混乱，更不用说让应用安全（AppSec）和合规团队难以评估其对软件安全和漏洞减少的影响。请共同努力寻找最合适的方案，而不是为了追求快速见效而仓促选择。否则，你最终可能会得到一个“科学怪人”式的培训方案……那看起来非常可怕。

感谢阅读本 PCI-DSS 系列短文的第一部分。在最后一章中，我们将探讨 CISO 和 CTO 如何助力这种文化转型、赋能团队，以及安全一线人员（即开发人员群体）如何利用 PCI-DSS 的意识和合规性来发挥自身优势。