深入的安全培训引发了教育界的思考

自2015年成立以来，我们始终致力于为开发人员提供有趣、实用且引人入胜的安全编码培训。我们很早就意识到，让开发人员掌握相关知识和工具至关重要，这不仅能让他们理解安全最佳实践的重要性，还能让他们学会在编写代码的同时，从源头筑牢软件防线，抵御恶意攻击。

然而，安全培训并非什么新鲜概念。我们当然不是最早提出这一倡议的，在软件开发中考虑充分的安全措施也已由来已久。诚然，培训效果因方式而异，但获取安全教育资源的渠道相对容易，尤其是在当今时代。

……那么，为什么我们还会遭遇如此多的数据泄露事件？仅2019年，截至9月，就有超过40亿条记录在多起网络攻击中被曝光。

许多组织目前正陷入一场艰难的拉锯战，试图保护日益重要的数据安全。全球各地的CISO和CIO们已清楚地认识到，“左移”策略依然为时已晚；我们必须在软件开发生命周期（SDLC）中从最左端开始介入安全工作。这意味着开发人员必须具备足够的安全知识，在代码提交甚至发布之前，就将漏洞消灭在萌芽状态。

应用安全（AppSec）专家不应成为安全知识的唯一把关人。

过去，软件安全是少数聪明极客的专属领域，他们与编写代码的工程师几乎没有任何互动。他们的工作就是测试、破坏并阻止不安全的代码上线。如果双方产生交集，通常也是因为安全专家指出了代码中的缺陷……而这往往会招致那些呕心沥血编写代码的开发人员的冷遇。

快进到今天，情况大体依旧，只是现在面临的风险要大得多。我们生活的方方面面几乎都已数字化……从社交媒体上的相册、医疗记录、银行账户，到我们最宝贵的身份证明文件，无一例外。保护离线、独立的软件和操作系统是一回事，而要防御针对数十亿行代码、威胁到数亿用户的攻击则是另一回事。风险实在太大，不能仅由一组专家来承担全部责任，这就是为什么我们必须弥合应用安全团队与开发团队之间的鸿沟。他们需要通力合作，共享知识，并作为一个团结一致、具备安全意识的整体共同运作。

但这里有一个问题：开发人员很少有机会以有效的方式学习安全编码技能。大多数高等教育课程几乎不涉及安全最佳实践，而在职培训的质量也参差不齐。

我们每隔几天就看到大规模的数据泄露事件，这难道还奇怪吗？下载我们的应用安全检查清单。

‍

“编码许可证”。

尽管当前形势严峻，但我对安全行业的未来依然保持乐观。风向正在转变，看到如此多的组织开始认真对待安全编码，我深受鼓舞。

越来越明显的是，开发人员需要获得正确的工具和知识来降低安全风险，而营造一种蓬勃发展的安全意识文化对于打击数据泄露至关重要。当开发人员在编写代码时主动承担起安全责任，攻击者想要利用简单的漏洞并获取系统控制权，就会变得困难得多。

一直以来，开发人员的安全意识水平各不相同，这对组织来说是一个真正的挑战。虽然内部开发团队通常会有一定程度的培训和技能监控，但一旦引入合同工、自由职业者和应届毕业生，情况就会变得非常复杂。他们是否具备安全思维？他们能否成功避免像跨站脚本攻击这样存在了几十年的老旧漏洞？这很难判断，但他们却经常被委以重任，参与软件构建的关键部分。真让人捏把汗。

值得庆幸的是，我们看到针对开发人员的强制性标准正在增加。例如，一些组织正在使用Secure Code Warrior作为评估开发技能并颁发“编码许可证”的工具。如果无法通过基础的安全编码评估，他们就无法参与任何项目。这对于帮助毕业生和实习生快速提升安全技能非常有价值，同时也向他们灌输了安全编码的重要性。毕竟，在软件领域，安全必须与质量划等号。

课外培训正让高校成为焦点。

改变关于安全编码的对话，需要的不仅仅是一两篇文章或演讲。这需要一场全社区范围的运动，很高兴看到许多顶级组织已经注意到这一点，并建立了达到令人羡慕的高标准安全计划。汇丰银行（HSBC）就是这样一家公司，其强大的项目确保了应届毕业生和新员工能够尽早踏上“从左端开始”的安全之旅。作为汇丰印度技术学院的负责人，Sekhar Babu Tatavarti发现深入的安全培训是必不可少的：

“在汇丰技术部门，我们希望确保我们的开发人员社区了解安全编码对于保护银行免受漏洞侵害的重要性。在今年的毕业生培训项目中，我们认为这是一个绝佳的机会，可以让他们在职业生涯早期就养成良好的习惯，并使他们能够在进入工作岗位、开始各自的项目编码之前，实现自我学习并内化最佳的安全编码实践。

我们选择Secure Code Warrior平台，是因为它为毕业生提供了极好的游戏化学习方式，而他们的表现也没有辜负我们的期望。我们很高兴每一位学员都积极参与了竞赛，并完成了不同技术领域的白带认证，”他说。

越来越多的机构（如汇丰银行）开始意识到，开发人员具备安全编码能力至关重要。这实际上也让高等教育体系受到了审视。首席信息安全官（CISO）和首席信息官（CIO）们开始质疑，为什么新毕业的工程师在完成学业时，却未接受过任何扎实的安全培训。

高等教育创新。

虽然安全编码应成为高等教育阶段软件工程专业的必修课，但一些大学已率先垂范，提供顶尖的培训，并从一开始就将安全视为开发流程的一部分，而不是将其仅仅视为现场稀缺的应用安全专家的专属领域。

在澳大利亚的昆士兰大学，Ryan Ko 教授在培养下一代开发人员以抵御不可避免的网络攻击浪潮方面取得了重大进展：

"大多数软件漏洞都是在编码阶段引入的，因此如果我们能从源头（即程序员）解决这个问题，就能消除当今 CVE 列表中大多数反复出现的问题。由于软件影响着现代社会大多数人的生活和生计，大学和培训机构有道德和社会责任教导所有初出茅庐的程序员如何进行安全编码，" 他说道。

这是对标准课程的一次令人振奋的演进，以往的课程在安全意识和技能方面提供的帮助微乎其微。而且，这是一种我乐见其成的“病毒”。令我高兴的是，麦考瑞大学也在 Christophe Doche 等人的努力下，为学生注入了“安全至上”的思维模式：

"Optus 麦考瑞大学网络安全中心于 2016 年成立，是澳大利亚首个此类倡议，它将信息安全、商业、犯罪学、情报学、法律和心理学领域的学者与来自行业和政府的网络安全专家联系在一起。

我们的使命是通过教育、研究和伙伴关系，使澳大利亚成为全球网络安全领域的领导者。其中一个重要方面是解决网络安全领域有据可查的技能缺口问题，据预测，2022 年全球将有 180 万个职位空缺无法填补。

解决这一技能缺口需要采取多管齐下的方法，包括提升现有劳动力的技能、进行再培训，以及培养新一代网络安全专家，" 他说道。

他们的方法非常出色，通过高参与度、精准的学习方式，帮助弥合各部门之间的差距，并营造出一种蓬勃发展的安全意识氛围。他们在策略中利用了微学习，提供游戏化、碎片化的学习模块，具有很高的留存率、参与度和复玩率。我特别自豪的是，我们能够帮助他们以创造性的方式吸引学生：

"这种参与度的一个绝佳例子就是与 Secure Code Warrior 的合作。在 Secure Code Warrior 和网络安全中心于 2019 年 8 月组织了一场竞赛后，我们现在正考虑将 Secure Code Warrior 平台嵌入到我们的课程中，特别是在我们新开设的安全应用开发单元中，" Christophe 说道。

像麦考瑞大学和昆士兰大学这样的举措，确实在教育领域引领了安全编码的先河。作为应用安全专业人员、开发人员以及更广泛的安全社区，我们的目标必须是将安全融入我们所做的一切，并继续致力于“左移”安全策略。