OWASP AppSec Day 2019：培养安全意识的开发者

本月初，我有幸参加了在美丽的墨尔本举办的 OWASP AppSec Day 2019。这些以开发者为中心的活动是我日程表里最喜欢的项目之一；它们时刻提醒着我，有这样一个群体正不懈努力，通过教育和赋能，帮助软件工程师和专家们在工作中捍卫安全，这让我深感敬佩。

嘉宾阵容非常强大，而且多元化程度令人耳目一新。即便在行业深耕多年，我依然能从中获得启发，这种感觉真好。像 Tanya Janca、Toni James 和 Teri Radichel 等嘉宾带来了精彩的演讲，而 Wireghoul（Eldar Marcussen）的现场安全编码挑战赛更是考验了全场观众，很高兴看到与会者们具备如此深厚的安全意识。

今年，Secure Code Warrior 是本次活动的白金赞助商。回想四年前，正是 OWASP AppSec Day 的团队为我们当时初创的团队提供了免费展位和推广支持，我不禁会心一笑。看到公司如今的发展，我感到无比自豪，同时也为能拥有这样一个慷慨且卓越的社区而心怀感激。

Toni James：从开发者视角看安全

如果说这个世界有什么需要我们去培养的，那就是同理心。在全面提升软件安全性方面，理解开发者的处境至关重要。

我非常欣赏 Toni 的演讲，相信每一位开发者都能感同身受。故事远不止“编写安全代码”那么简单。虽然我坚信，经过有效安全培训的开发者是我们对抗漏洞的最佳防线，但我们也必须考虑到他们日常面临的挑战。

软件开发者的工作成果直接面向数百万用户，支撑着关键基础设施，并驱动着我们习以为常的各项服务。构建功能、执行业务创新以及紧迫的交付期限，这些都带来了巨大的压力，更不用说还要面对应用安全（AppSec）团队的严格审查。Toni 讲述了在这种环境下的工作状态，以及各方如何通过同理心实现更好的流程和安全成果。很高兴看到在弥合开发者与 AppSec 团队之间的鸿沟方面，我们正迈出坚实的步伐；归根结底，这是构建积极、繁荣的安全文化的核心要素，而 Toni 正是这一理念成功实践的典范。

Tanya Janca 与 Teri Radichel：安全超级英雄

虽然这不是比赛，但 Tanya Janca 和 Teri Radichel 对大会的贡献是我最欣赏的。她们关于 DIY 云安全评估的教程仅进行了十分钟，就展现了她们广博的经验、资质和专业知识，以及她们分享知识、支持开发者社区的真诚热情。她们共同提出了切实可行的方法，以确保 Azure 实施的安全性，包括在制定安全策略和最小权限原则方面的实用建议。

只需在谷歌上简单搜索，你就能了解到她们在基层支持开发者方面的奉献，她们提供了丰富的免费资源、指导机会和访谈，展现了软件安全有趣且引人入胜的一面。她们是社区中鼓舞人心且至关重要的领军人物；如果她们在下一场安全会议上发言，错过她们的讲座绝对是你的损失。

大舞台上的客户

很高兴看到我们的许多客户不仅出席了会议，还登台亮相，与观众分享了他们深厚的安全知识。

我们有幸听取了 Telstra 的 Andrew Bailey 带来的重要演讲《为 DevOps 增添“安全”》。他作为高级软件工程师拥有丰富的经验，如今专注于应用安全和安全编码，他的视角非常独特且具有启发性。他提供了在软件开发生命周期（SDLC）的每个阶段注入安全性的端到端建议（当然，也包括从一开始就培训更多开发者进行安全编码）。

Ken Johnson 是 GitHub 安全团队的一员，很高兴看到他参加了大会闭幕时的专家小组讨论。他和小组其他成员非常乐意回答观众提出的紧迫问题，包括那些在媒体上未得到应有关注的话题。除了分享行业见解外，他还引导小组讨论了身心健康和工作生活平衡的重要性，这在开发者普遍感到职业倦怠的今天显得尤为重要。

衷心感谢 Julian Berton 和整个 OWASP 墨尔本团队带来又一场精彩的大会。明年见（届时会有更多贴纸）。