围绕安全编码重塑您的组织——障碍、顾虑与积极的解决方案

在这个高度互联的世界里，几乎每个组织都有一个共同的“阿喀琉斯之踵”。代码中哪怕只有一个漏洞或一处可被利用的缺陷，都可能引发客户数据泄露、声誉受损以及重大的经济损失。组织上下齐心协力实现安全编码从未像现在这样迫切，但知易行难。因此，Secure Code Warrior 在 2020 年委托 Evans Data Corp. 开展了一项基础研究*，旨在了解开发人员和管理人员对安全编码、安全代码实践以及安全运营的态度。

在网络安全至关重要的环境下，传统的项目成功关键绩效指标（KPI）正在被重新定义，但这一进程还不够快。

当我们询问开发人员和管理人员关于软件开发过程中最关键的优先级时：

• 76% 的人选择了应用程序性能
• 62% 的人选择了功能特性
• 仅有略多于 50% 的人选择了安全代码
  

显而易见，目前安全并非首要任务。

但展望未来，情况发生了巨大变化。当被问及衡量项目成功的最重要未来优先级时，79% 的开发人员认为安全编码将变得更加关键。事实上，开发人员认为安全是重要性提升幅度最大的 KPI。

尽管对安全编码的认识正在提高，但人们对其采用仍存顾虑。对于开发人员和管理人员而言，处理漏洞和承担代码责任足以让他们彻夜难眠。我们的研究*表明，这两类群体有着共同的基本担忧，这凸显了对安全编码实践进行更好培训的需求。

围绕安全编码实践的担忧与障碍

开发人员的首要担忧是“包含重复以往漏洞的代码”。由于开发人员的绩效取决于代码质量，这一点不足为奇。没有开发人员愿意成为不安全代码的源头，也不希望编写需要返工并拖慢团队进度的代码。

开发人员的第二大担忧是处理同事引入的错误。按时交付和承担代码责任也名列前茅，此外，学习安全编码本身具有挑战性，这也反映了开发人员对当前培训方式的不满。

另一方面，管理人员则更多从宏观角度看待问题。他们的首要担忧是为糟糕的代码或重复以往漏洞的代码承担责任。毕竟，如果团队产出了劣质代码，最终责任人还是管理者。

学习过程充满挑战排在第三位，但这并非安全编码实践面临的唯一障碍。

45% 的人认为利益相关者与管理层之间缺乏沟通是一个重大障碍。42% 的人感叹新员工缺乏安全编码技能。 同时，40% 的人指出培训时间和资源不足。

当前的各种安全代码培训方式并未达到预期效果，管理人员也意识到需要一种新的方法。

谁该为安全代码实践负责？

从本质上讲，安全编码意味着在软件开发生命周期（SDLC）的更早阶段就考虑安全性。这意味着从一开始编写软件时就主动构建安全性，而不是将其留到后期。换句话说，即“左移”。这种“左移”是安全编码实践的核心。这意味着归根结底，组织中的每个人都应对安全代码负责。但目前，只有 15% 的开发人员认同这一点。

然而，尽管大多数开发人员仍将安全视为他人的问题，但一小部分正在壮大的群体不仅积极拥抱安全编码，还在组织内部大力倡导。29% 的受访开发人员表示，他们的工作场所中存在这样的核心人物。问题在于，这些安全代码倡导者目前还太少了。

培养更多安全倡导者

开发经理们深知，有必要发掘并培养新的安全倡导者，并全面提升开发人员的安全编码技能。

许多经理在招聘新开发人员时，也会将安全编码技能视为重要考量，并高度重视现有团队成员的安全编码经验。

83% 的受访经理表示，他们会要求开发人员学习或采用安全编码实践。约四分之三的受访经理表示，他们会为参与安全编码培训的开发人员提供激励措施。这些激励方式多种多样，从正式表彰、赋予更多职责到提高薪酬不等。

显而易见，开发经理是推动组织层面采用安全编码实践的关键影响者，也是发掘安全倡导者的核心力量。

但谈到如何培养更多此类倡导者时，是什么在激励开发人员学习安全编码呢？我们的研究表明，他们将其视为提高生产力和效率的途径。

那么，为什么开发人员不主动要求更多的安全编码培训？是什么阻碍了他们与日益增长的组织需求保持一致？

着手实现重新调整的解决方案

开发人员不想枯坐着听讲座，他们希望亲自动手实践。他们更关注实际应用，而这正是当前培训项目所严重缺乏的。当被问及公司提供的培训应如何改进时，30% 的受访者表示，他们希望培训能侧重于实际应用，特别是真实的业务场景。

目前的培训方式未能满足这一需求。我们需要一种新方法——作为变革的倡导者，Secure Code Warrior 采用以人为本的方法，帮助组织围绕安全编码进行重新调整。我们的网络安全 课程 提供引导式学习路径，包含模拟开发人员现实工作中遇到的挑战的实操性“游戏化”编码练习。

与往往左耳进右耳出的通用培训不同，这种培训是针对特定语言和框架的。

在重塑文化方面，竞赛可用于评估编码人员的安全技能，为未来的技能发展建立基准，并从您的开发团队中发掘潜在的安全倡导者。

如果您想了解更多关于如何协调经理、开发人员和组织需求，共同迈向安全编码未来的培训方案，请立即预约演示。

*从被动反应转向主动预防：应用安全的新面貌。 Secure Code Warrior 与 Evans Data Corp. 2020