具备安全意识的开发人员：应用安全需要你！

对于软件开发行业以外的人来说，这似乎有些违背常理，但多年来，许多从事应用安全工作的专业人员在担任这些关键角色时，几乎没有任何编程经验。这些应用安全专业人员负责确保应用程序——即许多行业和组织的命脉——不会出现漏洞，然而他们中很少有人能直接评估或修复代码本身。

许多安全专业人员并非出身于编程背景，而是从攻击向量、威胁、漏洞利用和业务风险等核心知识的角度来处理工作；他们对代码的了解相对有限。虽然并非每位应用安全专家都具备相同的技能组合，但许多人的日常工作是与代码审查员和扫描工具协作，确保程序和系统符合组织标准或相关的行业及政府框架。随后，他们会撰写关于发现问题的报告，并反馈可能破坏代码的攻击向量信息。无论这对当前工作造成多大干扰，修复工作最终都由开发人员来完成。

这种情况之所以形成，是因为多年来普遍存在的逻辑是：保护网络和应用程序的工作过于庞大，不应期望网络安全领域的每个人都能胜任所有角色。深度的编码技能被留给了开发人员，而在开发流程的后期编写或编辑代码的能力并未受到重视。

这种思维方式正在迅速改变，这为开发人员转型应用安全领域提供了独特的职业发展机遇。并非每位开发人员都愿意投身于所谓的“黑暗面”，许多开发人员对应用安全团队的评价也并不高。但对于那些愿意尝试的人来说，现在正是抓住这一日益诱人的机遇的最佳时机。

DevSecOps 驱动着几乎每一个行业

在任何组织中，提升具备安全意识的程序员和开发人员价值的最大因素之一，是几乎全球范围内都在拥抱更敏捷的开发实践，例如 DevSecOps。当开发、安全和运维相结合时，网络安全就成为了一项共同责任，并贯穿于新软件开发的始终。在这种环境下，编码能力被视为一项极具价值的综合资产，对于那些天生理解安全性的工程师来说更是如此。

一名不仅具备高水平网络安全知识，还精通底层代码的应用安全专业人员，对任何组织而言，其价值都远高于那些仅具备理论知识的人。能够快速发现并评估代码中的漏洞，进而缓解这些问题，正是 DevSecOps 如此受欢迎的核心原因。

从事应用安全工作的开发人员还为雇佣他们的组织带来了另一大优势。由于出身于开发端，他们能轻松地与开发人员沟通安全和漏洞问题。这也使他们更容易成为开发团队的教练，帮助他们提升编码水平。随着时间的推移，他们甚至可能消除应用安全领域“黑暗面”的污名，并帮助整合组织内的软件开发团队。

网络安全人才短缺问题日益严峻

莎士比亚曾感叹“坏风也会吹来好运”，意指即使在最糟糕的情况下，也可能有人从中获益。网络安全人才短缺就是一个典型的例子。

几乎在所有地方，人才短缺的问题都感受得十分真切。在战略与国际研究中心进行的一项近期调查中，82% 的 IT 决策者表示其组织面临网络安全技能短缺，71% 的人表示这种短缺已对组织造成了直接且可衡量的损害。为了更直观地看待这场危机，报告指出，仅在美国，2020 年就有超过 52 万个网络安全职位空缺，而该领域的从业人员总数仅约 94 万。

对于试图保护基础设施、业务和数据免受日益严重的威胁侵害的组织来说，网络安全人才短缺是个坏消息。但对于寻求进入应用安全和安全领域的开发人员来说，这却是一个难得的机遇。网络安全和应用安全职位几乎随处可见。而且，由于网络安全职位的招聘周期平均延长了 21%，薪资水平正在全面上涨。

转型应用安全领域

对于开发人员来说，现在或许是转型投身安全领域、开启职业生涯“阳光面”的最佳时机。具备安全意识的开发人员不再仅仅被视为权宜之计，而是作为网络安全捍卫者，扮演着全面且受人尊敬的角色。对于那些拥抱 DevSecOps 及其他敏捷开发方法的组织而言，情况尤其如此。网络安全人才的短缺意味着几乎每家公司、政府机构或组织都有职位空缺。拥有合适技能的人才完全可以自主选择工作地点。

转型应用安全可能并不适合所有人，大多数开发人员当然会继续专注于构建出色的功能。但对于那些正在考虑转型的人来说，投资安全培训以增强现有的编码技能可以开启许多大门。最优秀的应用安全人才往往出自工程领域，因为他们深刻理解技术，并能对同行开发人员的处境感同身受。DevSecOps 意味着每个人现在都要对安全负责，那么何不利用当前关键的技能短缺，将职业生涯提升到应用安全领域呢？现在是为您自己、您的家庭和您的职业生涯做出积极改变的最佳时机。