通过可复用的安全编码技能实现左移（并达成合规）。

如今，几乎每个开发团队都会进行某种形式的合规性培训，无论是作为确保公司符合行业框架或政府法规的初始认证流程的一部分，还是作为年度要求或审查的一部分。这是一个重要的步骤，因为如果组织无法满足基本的合规要求，那么员工就无法切实履行其职责。

合规规则的存在是有原因的，因为任何在这些规则涵盖领域内工作的人，都必须至少对所有相关流程、程序以及任何适用的法律有基本的了解。

虽然合规培训很重要，但完成规定的最低要求并不能确保真正的应用安全。对于试图将安全编码技能融入日常工作流程的开发人员来说，情况尤其如此。几乎每位开发人员都会接受某种形式的合规培训，然而在接受调查时，67% 的人承认他们经常在代码中留下漏洞。

原因何在？

2021 年 12 月，Secure Code Warrior 与 Evans Data Corp 合作，连续第二年开展了“2022 年开发人员驱动的安全状况调查”。我们对全球 1,200 名开发人员进行了调查，旨在了解他们在安全编码实践方面的技能、认知和行为，以及这些实践在软件开发生命周期 (SDLC) 中的影响和感知相关性。

关于合规培训为何无法改善软件安全，这是一个我们讨论已久的问题。最近的这项调查恰好凸显了这一困境。

一方面，开发人员被要求承担新的角色，即在整个软件开发过程中（包括在最初编写应用程序和程序代码时）融入网络安全考量。但编写安全代码，甚至仅仅是学习所有可能影响代码的网络安全问题和漏洞，绝非易事。在调查中，63% 的开发人员表示编写安全代码是一项艰巨的任务。

编写安全代码的难度并不令人意外。高薪的网络安全职位之所以大量空缺（据最新统计，全球有超过 350 万个职位空缺），是有原因的。如果这项工作很容易，每个人都会涌入这个领域。学习如何应对威胁和消除代码漏洞非常困难，而且威胁形势瞬息万变。静态的合规培训或一次性课程无法跟上步伐，也无法提供开发人员所需的教育。它或许能在合规性方面打个勾，但无法为您的组织提供真正的应用安全保障，也无法使开发人员具备编写安全代码的能力，或提供发现并修复代码漏洞的技能。

合规培训与安全培训：重要但各不相同

组织必须开始认识并承认合规培训能做什么，以及不能做什么。不要放弃合规培训，尤其是当法律有强制要求时。更何况（即使在当前的培训方式下），92% 的受访者表示他们至少需要一些关于合规相关问题或安全框架的培训，其中 50% 的人强调了进行深入合规培训的必要性。

他们最感兴趣的合规框架培训包括针对各行业的特定框架，同时一些通用的网络安全框架也榜上有名。其中包括 CIS 安全框架、PCI DSS、OWASP Top 10、MISRA C、ISO/IEC、《健康保险流通与责任法案》(HIPAA) 等。

所以，是的，请进行这些框架的培训，但要明白，在合规培训上打个勾并不等同于为持续创建安全代码奠定基础。

相反，应将合规培训视为扩展开发人员安全编码技能的持续机会，这些技能可以在合规周期之外重复练习，从而让他们能够每天创建并发布安全的软件。将重点从实现合规转移到通过持续学习使开发团队能够安全编码上来。通过在开发人员赋能方面投入时间和资源，您的员工将能轻松通过那些年度合规练习或考试，同时还能从整体生产力的提升中受益。

如何实现向开发人员驱动的安全模式转变？

绝大多数开发人员表示培训很有价值，但对多年来所接受的安全编码培训类型提出了异议。开发人员表示，他们希望看到更多侧重于与工作相关的真实案例的实践培训（30%）。26% 的受访者认为增加互动性至关重要，特别是如果他们能够在这些练习中实际练习编写安全代码的话。

23% 的受访开发人员认为，接受更多针对其所在行业或领域最可能遇到的特定漏洞的指导性培训非常重要，而 22% 的人希望在培训课程中看到更多真实的漏洞案例。

显而易见，仅仅提供静态、非交互式的培训（这通常是合规培训的体验）在培养可重复的开发人员安全技能方面价值甚微。相反，组织应专注于“即时培训”等方式，即在开发人员工作时对其进行安全指导。您甚至可以考虑实施分层学习计划。

通过分层方法，较大的主题通常会被分解为离散的学习体验或概念。随着开发人员的进步，更高级的概念会叠加在已掌握的知识之上，就像建筑越高，脚手架就搭建得越完善一样。这是一种经过验证的教学方法，通过先将网络安全这一困难且不断演变的主题分解为更小、更简单的部分，然后在该基础上构建更复杂的知识，从而有效地进行教学。

无论您决定如何规划开发人员安全技能项目，将其与合规练习分开都至关重要。合规培训和安全培训都很重要，且都需要不同的方法才能取得成功。

延伸阅读

白皮书：提升软件安全的挑战（与机遇）。

白皮书：软件安全的预防性开发方法。

报告：开发者驱动的安全现状。