激励开发者是提升安全实践的关键。

网络威胁形势日益复杂。攻击者不断扫描网络，寻找易受攻击的应用程序、程序和云实例，而目前最受关注的目标是 API，由于其安全控制往往较为宽松，它们被广泛认为是攻击者的“软柿子”。攻击者极其执着，新应用有时在部署后的几小时内就会被入侵和利用。Verizon 2021 年《数据泄露调查报告》明确指出，企业和组织所面临的威胁比历史上任何时期都更加危险。

显而易见，要真正加固所开发的软件，唯一的方法就是确保其构建于安全的代码之上。换句话说，阻止威胁行为者入侵的最佳方式，就是从一开始就切断他们进入应用程序的立足点。一旦陷入这种对抗，大部分优势都会向攻击者倾斜。

这种情况首先催生了敏捷开发和 DevOps，随后又演变为整个DevSecOps 运动，即安全成为从开发到部署的整个软件创建过程中每个人的共同责任。但这一金字塔的基石，也是可以说最重要的部分，就是开发人员。虽然大多数开发人员都愿意尽自己的一份力量编写安全的代码，但他们所服务的许多组织却并不支持这种优先级的重大转变。

设计上的失败

多年来，开发人员被告知，他们在组织中的主要职责是在快节奏的环境中快速构建和部署应用程序，因为业务永不停歇，客户从不睡觉。开发人员编码的速度越快、部署的功能越多，他们在绩效评估中就越有价值。

安全往往是事后才考虑的问题，甚至根本不被考虑。相反，所有这些问题都被留给了应用安全（AppSec）团队去解决。AppSec 团队不受大多数开发人员的欢迎，因为他们经常会将已完成的应用程序退回开发阶段，要求应用安全补丁或重写代码以修复漏洞。开发人员在已经“完成”的应用程序上每多花一小时，就意味着少花一小时去创建新的应用和功能，从而降低了他们的绩效（在某些惩罚性公司眼中，也降低了他们的价值）。

随后，威胁环境改变了大多数公司对安全性的重视程度和优先级。根据 IBM 和 Ponemon Institute 最近发布的《数据泄露成本报告》，平均每次网络安全泄露事件的成本约为 380 万美元，但这还远非上限。仅一家公司在网络泄露后就蒙受了 13 亿美元的损失。如今的公司希望获得 DevSecOps 提供的安全性，但遗憾的是，对于响应这一号召的开发人员，奖励却迟迟不到位。

仅仅告诉开发团队要考虑安全性是行不通的，特别是如果他们仍然仅以速度作为激励标准的话。事实上，在这样的体系下，那些花时间学习安全知识并确保代码安全的开发人员，反而可能在绩效评估和丰厚奖金上输给那些安全意识较差的同事。这就像公司在无意中为自己的安全失败搭建了一个错误的体系，而这归根结底在于他们对开发团队的认知。如果他们不把开发人员视为安全防线，那么利用现有劳动力制定切实可行的计划就很难实现。

这还不包括缺乏培训的问题。一些技术精湛的开发人员拥有数十年的编码经验，但在安全方面却知之甚少……毕竟，这从未被要求过。除非公司为程序员提供良好的培训计划，否则很难指望他们突然获得新技能，并以有效减少漏洞的方式将其付诸实践。

奖励良好的安全实践

好消息是，绝大多数开发人员从事这份工作是因为他们觉得工作既充满挑战又富有成就感，并且他们享受这一职位所带来的尊重。资深程序员 Michael Shpilt最近写道，他列举了激励他和同事进行开发工作的所有因素。是的，他将金钱报酬列为激励因素之一，但令人惊讶的是，它在列表中的位置非常靠后。相反，他更看重创造新事物的快感、学习新技能的乐趣，以及知道自己的工作将直接帮助他人的满足感。他还谈到希望在公司和社区中感受到被重视。简而言之，开发人员就像许多以工作为荣的优秀人才一样。

像 Shpilt 这样的开发人员并不希望威胁行为者破坏他们的代码，并利用代码伤害公司或他们试图帮助的用户。但是，如果没有支持，他们无法突然将优先级转向安全。否则，整个系统就像是在与他们作对。

为了帮助开发团队提高网络安全能力，必须首先传授他们必要的技能。利用支架式学习（scaffolded learning）和即时（JiT）培训等工具，可以使这一过程变得轻松许多，并有助于在正确的背景下建立现有知识。

JiT 的原则是在恰当的时间为开发人员提供恰当的知识。例如，如果 JiT 开发人员培训工具检测到程序员正在编写不安全的代码，或者无意中在应用程序中引入了漏洞，它就会启动并向开发人员展示如何修复该问题，以及如何在未来编写更安全的代码来实现相同的功能。

在落实技能提升承诺的同时，必须摒弃仅以速度评估开发人员的旧方法。相反，应根据开发人员创建安全代码的能力给予奖励，最优秀的开发人员应成为安全倡导者，帮助团队其他成员提高技能。这些倡导者需要获得公司声望和金钱报酬的双重奖励。同样重要的是要记住，开发人员通常对安全没有积极的体验，通过积极、有趣的培训和符合他们兴趣的激励措施来提升他们，将极大地确保知识的留存和持续提升技能的愿望。

公司仍然可以将编码速度作为开发人员评估的一部分，但要预见到开发安全应用程序可能需要更长的时间，特别是在程序员学习这些新技能的过程中。

DevSecOps 可以成为抵御日益危险的威胁环境的终极防线。但请不要忘记，这个新世界的倡导者——那些不断创造新代码的开发人员——需要因其工作而受到尊重并获得相应的报酬。

想与全球开发者一较高下，检验您的安全技能吗？快来参加 Secure Code Warrior 举办的 2021 年开发者奥林匹克大赛（Devlympics 2021），参与全球锦标赛，赢取丰厚大奖！