携手 NIST 共进：我们对未来网络防御的人本立场

拜登政府近期发布的 网络安全行政令 在安全行业引发了热议，尤其是对于那些致力于引导开发人员在日常工作中应用安全编码最佳实践的从业者而言，更是如此。这是首次要求联邦政府所用软件的开发人员必须具备经过验证的安全技能，并遵守全新且不断演进的指导方针。

这标志着网络防御现状的积极转变，并最终将开发人员的充分技能提升纳入了讨论范畴。虽然这些政策以美国政府为中心，但它们为全球组织提供了一个契机，以解决并升级当前的安全标准，涵盖从开发人员到软件供应链安全分析的各个环节。

NIST 最近就 HIPAA 法案及其他法规的后续更新征求公众意见，这对我们来说是一个绝佳机会。我们将公司的专业知识汇编成立场文件，旨在推动一种更安全、更有效且以人为本的网络安全方法，帮助各组织充分发挥团队潜力，实现更卓越的成果。

作为一家以专家为驱动的组织，我们很荣幸拥有一些最敬业、最有成就的网络安全专业人士，包括博士候选人 Pieter de Cremer 以及我们技术咨询委员会成员 Brian Chess 博士。我们三人共同努力，正式向 NIST 提交了立场文件，指出了我们在软件开发阶段提升开发人员技能和预防性安全的方法，将如何对未来的网络安全标准产生积极影响。

为开发人员铺就的安全开发之路

漏洞扫描工具、监控及其他形式的安全自动化正日益普及，它们不仅出现在新的行政令中，也包含在 NIST 指南内。这些工具已成为现代安全计划中不可或缺的一部分，但历史和现实表明，扫描工具虽然能以越来越高的效率发现软件漏洞，但仅靠这些工具本身，并不能减少漏洞，也无法从源头上提升安全性。

繁琐的技术栈会分散开发人员的注意力并拖慢工作流程，这是导致开发人员抵触安全工作并对其持负面看法的主要原因之一。然而，如果能为开发人员铺就一条安全开发之路——一条不仅适配技术，还针对语言、框架和项目特定开发目标进行定制的路径——那么从一开始就将安全嵌入开发流程，并尽可能减少对生产力的干扰，将成为一种理想状态，从而在长期内显著减少常见漏洞。

如需阅读我们的 NIST 立场文件全文，请立即下载：

安全开发实践的认证框架：缺失的环节（现状）

迄今为止，尚无正式的认证来验证安全编码技能和最佳实践。这在行业内长期被忽视，我们认为，这对未来改善网络防御和实现安全开发至关重要。

我们知道，针对开发人员的安全培训形式多样，但如果大规模数据泄露、网络攻击和劣质代码的泛滥能说明什么的话，那就是目前的培训并未培养出具备安全意识的开发人员，他们也未掌握能够解决这一日益严峻问题的知识。

开发人员的技能提升需要与日常工作相关、具有情境化、碎片化（但高频）的工具和教育，并允许他们利用所使用的语言和框架在现有知识基础上进行构建。通用的培训已不足够，这一点必须在立法和 NIST 等行业机构中明确体现。

The NICE Framework is more than suitable to build out comprehensive certification guidelines that actively use methodologies that work, and are of most interest and relevance to developers, and their work. Aligning with this recognized institutional framework helps to standardize practices that truly make a difference, and provides more concrete pathways for organizations to follow. 

如需阅读我们的第二份 NIST 立场文件全文，请立即下载：

网络安全中的“人”这一因素常被遗忘，现在是时候通过人为的解决方案来解决诸如反复出现的常见漏洞等人为问题了。陈旧的漏洞不应再困扰我们，但这需要全球政府的支持来改变现状，并提供可衡量的积极影响。
‍
准备好认证您的开发人员了吗？您来对地方了。立即查看我们的 学习平台。