“安全”不是脏词：积极的方法如何重塑您的安全计划

本文最初发布于 DevSecCon 博客。

我曾身处开发与安全两个阵营，深知开发团队与应用安全专家在坚持安全最佳实践时产生的矛盾。

这确实很棘手；毕竟，开发者的首要任务是交付软件功能。这些功能必须美观、实用，并能展现应用程序的强大之处。在如今敏捷开发盛行的环境下，这些功能必须在严格的期限内完成……而面对如此多的压力，安全往往不是他们最优先考虑的事项。

安全工作被视为应用安全团队的领域，他们承担着吃力不讨好的任务：扫描代码（甚至更糟：逐行手动审查），并向开发团队报告代码存在安全漏洞，甚至完全无法使用。他们就像是绊脚石，挑剔开发者的成果，阻碍创新，给开发者带来无尽的烦恼。其实，许多安全问题只需简单的修复——也许只需一行代码，几分钟内就能加固一个脆弱的后门。

但问题在于，由于“安全”往往与负面体验挂钩，开发者根本无法像应有的那样深入参与其中。那些一行代码的修复从未实现：毕竟，应用安全人员不断遇到同样的问题。在 SQL 注入漏洞被发现（及其修复方法问世）二十多年后，他们仍需不断指出这些问题，这一定让他们感到非常抓狂。

我们迄今为止所做的工作远未达到预期的效果。我们需要专注于修复开发者与应用安全专家之间的隔阂，努力营造一种积极的安全文化，为开发者提供工具和培训，让他们在这一领域发挥真正的作用。

谁知道呢？他们甚至可能像我一样爱上安全工作！

积极的安全文化是提升应用安全最快、最简单的方法

——这绝非虚无缥缈的空谈，而是实现安全编码成功的绝对关键要素。

开发者掌握着从生产初期提升安全性的关键，即从源头编写安全代码。通过营造积极的安全文化并激发开发者对应用安全的兴趣，可以在漏洞进入扫描或手动代码审查阶段之前就将其消除。

修复已提交代码中的漏洞成本要 高出三十倍，因此，寻找能够发挥开发者优势、保持其兴趣并切实有效的培训，是未来降低识别和修复重复性漏洞成本的重要一步。

以开发者为中心的积极举措能够培育正确的安全文化。

当每个人在安全最佳实践上达成共识时，积极的安全文化便会成为一种令人愉悦且至关重要的副产品。

以开发者为中心的积极且可扩展的举措能够培育正确的安全文化。激发开发者解决问题的创造性思维对于赢得他们的支持至关重要，同时也能确保新成员快速适应团队的安全期望。联系我们，了解开发者与安全关系的发展历程，并获取在贵组织中开展成功安全意识计划的建议。