Secure Code Warrior 首席执行官兼联合创始人 Pieter Danhieux：“每个人都应理解并承担起自己在网络安全中应尽的职责”

本文最初发表于 CyberNews。

‍

尽管安全工具和服务层出不穷，但企业在应对不断演变的威胁态势时依然感到力不从心。

这归因于开发人员缺乏安全意识和培训，从而导致有风险的代码被发布并被恶意攻击者利用。虽然 杀毒软件 或强大的漏洞扫描解决方案等安全措施可以增加一层保障，但我们今天的嘉宾指出，一切的根本在于拥有一支以安全为核心的开发团队。

为了探讨如何培训开发人员识别并缓解安全威胁，CyberNews 团队采访了 Secure Code Warrior 的首席执行官兼联合创始人 Pieter Danhieux。该公司提供一个学习平台和一套以开发人员为中心的工具，旨在帮助开发团队应对安全漏洞。

您的职业历程是怎样的？Secure Code Warrior 的构想是如何产生的？

作为一个年轻的极客，我热衷于拆解技术，探究其内部构造和运作原理。为了让家人和家里的电器免遭“毒手”，我后来将这种方法应用到了硬件和软件上，寻找破解和破坏它们的方法。我对安全的热情由此而生。多年来，我专注于与学生、同事和安全社区分享我的“破坏”技能，展示如何发现、利用和滥用软件中的错误。后来，我将重心转向了提升防御者的技能，在课堂环境中教授开发人员编写安全、优质的代码，并帮助他们理解常见漏洞及其规避方法。我还从事过咨询工作，为大型企业提供如何改进安全计划的建议，特别是在开发人员参与度方面。正是在这段时间里，我结识了现在 Secure Code Warrior 的创始团队。我们共同意识到，安全团队和开发团队在面对代码级漏洞时所面临的痛点，以及当时大多数旨在提升开发人员安全技能的培训方案所存在的问题。我们着手实现我们的愿景：打造一个既能实现企业级扩展，又能保持趣味性和吸引力的学习平台。最终，我们希望创建一套量身定制的工具，使其能够融入开发人员的工作环境，减少干扰，并帮助他们建立“安全第一”的思维模式。我们还致力于使其尽可能支持多种编程语言，并提供丰富的内容。

您能介绍一下您的工作吗？您主要帮助解决哪些挑战？

归根结底，我们通过消除因代码中不良安全模式而产生的安全摩擦和延迟，来帮助企业加速软件开发。我们创建了一个学习平台和一套以开发人员为中心的工具，协助开发团队应对常见的安全漏洞。其中许多漏洞已经存在了几十年，至今仍在使企业面临网络风险。它们之所以持续存在，是因为开发人员缺乏修复这些代码级问题的培训和技能，而且往往由于持续使用不良的编码模式和技术，从一开始就引入了这些问题。他们在高等教育阶段没有接受过安全编码培训，而大多数职场培训项目不仅内容与日常工作脱节，而且频率太低，无法对长期的代码质量和安全性产生真正的影响。我们的解决方案旨在提供引人入胜且切合实际的技能开发，从而改变编码行为，帮助他们在现实世界中将安全放在首位。我们正越来越多地与开发人员最熟悉的开发环境进行集成，我们对情境化学习的关注，使学习者能够最大程度地巩固关键的教育成果。我们还努力以一种积极、有趣的方式来完成这项工作，让开发人员能够以正面的态度看待安全，奖励成功并建立社区。

由于学习安全编码对某些人来说可能显得枯燥乏味，您是如何做到让培训既有效又有趣的？

我们的旗舰学习平台在设计时充分考虑了开发人员的参与度。最受欢迎的功能之一是“锦标赛模式”，参与者可以在此将培训中学到的知识与同行进行比拼。每答对一题即可得分，实时排行榜会在锦标赛期间不断更新。我们曾在社区活动和会议上举办过此类比赛，一些客户甚至策划了非常精致的主题，让每个人都盛装出席。这是一种很棒的团队建设体验，也是通过披萨、奖品和短暂的休息来庆祝大家提升技能承诺的最佳时机。此外，我们的内容涵盖了六十多种编程框架，使用的是他们在日常工作中真正会遇到的真实代码片段。当内容高度相关并有助于解决实际问题时，保持参与度要容易得多，这远比观看视频或参加年度合规考试有效得多。

您认为开发人员目前面临的主要挑战是什么？

我认为必须明确一点：开发人员本身是希望把工作做好的，但他们在教育或职业生涯中并没有获得足够的安全赋能。这是他们从安全角度面临的许多问题的关键所在。他们也倾向于认为安全超出了他们的职责范围，而在绝大多数组织中，他们的关键绩效指标（KPI）并不包含任何与安全编码成果相关的内容。如果我们想要改变代码级漏洞的数量，就必须打破这种现状。然而，开发人员需要正确的支持和工具才能成为我们所期待的变革者，挑战在于如何进行有效的赋能，给予他们培训的时间，并现在就投资于技能提升，从而在未来实现安全与速度的兼得。

近期的全球性事件对您的工作领域有何影响？

虽然每家企业无疑都感受到了当前全球环境对其目标、预测和预算的影响，但幸运的是，我们迄今为止经受住了考验。网络安全是大多数企业不可或缺的要素，我们一直在努力与客户和潜在客户保持密切沟通。

在开发软件或应用程序时，组织应遵循哪些最佳实践？

每个组织都有其特殊性，但总体而言，那些拥有最佳安全实践的公司都愿意跳出固有思维，尝试不同的方法。他们不会忘记“人”在实现积极安全成果方面的力量。在大多数情况下，开发人员在安全计划中并未得到足够的重视。然而，面对全球范围内短期内难以填补的安全技能缺口，具备安全能力的开发人员可以帮助降低风险，并从软件创建的角度实现合规。他们能够在流程的最早期、成本最低的阶段产生影响。

除了安全编码工具之外，您认为还有哪些措施或实践不仅能提升业务运营水平，还能确保其安全性？

每家企业都应开展某种形式的基于角色的安全培训。除了代码层面的漏洞外，威胁行为者还会利用各种其他威胁，因此组织中的每个人都需要定期掌握与其工作相关的安全原则。从这个意义上说，从办公室经理到会计团队，每个人都应理解并承担起自己在网络安全行动和意识中应尽的职责。

鉴于当前的经济环境，CISO 面临着以最低成本保障业务安全的巨大压力，您对此有何建议？

在这种环境下，CISO 确实需要发挥创造力，尤其是随着网络安全法规日益严格，在某些情况下，CISO 甚至可能因违规而承担个人责任。再加上裁员的影响，工程师们往往需要在承担更多责任的同时，保持原有的软件开发量。CISO 可以通过解决阻碍业务发展的核心障碍——即安全问题，来助力企业取得成功。

在软件发布前解决代码层面的安全漏洞和配置错误，是成本最低的方式，这也使开发人员成为降低风险的关键角色。然而，他们需要量身定制的支持才能实现这一目标。如果能为工程团队提供以开发人员为先的工具，并充分考虑其当前的工作流程和技术栈，就能实现快速安全。他们需要通过赋能来确保在高速开发的同时实现安全精准，而最好的方法就是指导他们使用安全编码模式并更快地修复问题。

通过投入全面的开发人员培训，您可以从源头上消除漏洞，从而节省软件开发生命周期（SDLC）后期的时间和成本。面对频繁的大规模攻击以及 CISO 前所未有的责任压力，我们必须停止将落后归咎于网络安全技能短缺。应优先考虑防御性安全实践，并提升现有人员的能力。

Secure Code Warrior 的未来发展方向是什么？

我们将继续创新，在推出的解决方案中始终以开发人员为核心。我们致力于帮助他们在不影响功能交付速度的前提下实现安全，同时减轻他们应对多重任务时的压力。

我们的目标是协助各组织彻底变革其防御性安全计划，并希望具备安全能力的开发人员能成为这一进程中的英雄。敬请期待。