将重心从被动转向主动，实现以人为本的安全编码

同样的 10 个软件漏洞在过去 20 多年里造成的安全漏洞比其他任何漏洞都要多。然而，许多企业仍然选择在漏洞发生、事件发生后才进行补救，在应对由此带来的人员和业务影响时手忙脚乱。但现在，一项新的研究指出了一种以人为本的新方向。

‍以下内容探讨了 Secure Code Warrior 与 Evans Data Corp 联合开展的一项名为《从被动转向主动：应用安全的新面貌》（2021 年）的研究成果，该研究探讨了开发人员对安全编码、安全代码实践和安全运营的态度。点击此处下载白皮书。

‍‍在这项即将发布的研究中，开发人员和开发经理被问及他们认为哪些活动与安全编码相关。排名前三的回答是：

• 在已部署的应用程序上使用扫描工具。
• 手动审查代码以查找漏洞。
• 编写受保护、无漏洞软件的积极且持续的实践。
  ‍

这说明了什么？排名前三的回答中有两个仍然侧重于被动方法，第一个依赖于工具（扫描器），第二个依赖于开发人员（即人为）执行手动检查——在这两种情况下，都是在代码编写完成之后。使用这些方法检测到的漏洞必须退回给开发团队进行返工，从而对项目进度和成本产生连锁反应。

与此同时，提名的三项活动中有两项依赖于人为因素——这表明人们越来越意识到安全是一个人为问题。但在所有提名的活动中，最能说明问题的是第三项，它指出了人为因素在从源头上编写受保护软件中的作用。这凸显了向“左移”的转变——这是一种主动的预防性方法，将安全性从软件开发生命周期的最开始就融入到软件中。

被动可能意味着昂贵

根据 IBM 的一项研究*，在代码发布后修复漏洞的成本是在开发初期发现并修复漏洞成本的 30 倍。这为一种全新的、以人为本的主动防御软件安全方法提供了强有力的激励，使开发人员能够从一开始就更安全地进行编码。

这就是所谓的以人为本的防御。但要让开发人员开始关注安全，它必须成为他们日常思考和编码方式的一部分。这呼吁采用新的培训方法，这些方法要与开发人员的日常工作高度相关，并激发他们的学习意愿——而目前的培训模式都无法做到这一点。

要建立主动的安全文化，需要新的培训来：

• 在开发人员提升软件安全技能的同时，使安全编码成为一种积极且引人入胜的体验
• 鼓励开发人员以安全思维审视日常编码任务
• 使安全编码成为其日常工作流程中不可或缺的一部分
  

当这些要素结合在一起时，漏洞从源头上得到了预防，使团队能够更快、更自信地交付高质量代码。好消息是，目前已经存在一个在软件开发过程中“左移”的学习平台——它已经能够让开发人员掌握从一开始就创建高质量代码所需的技能和工具。
‍‍

‍

‍

‍

*IBM 软件集团；最小化代码缺陷以提高软件质量并降低开发成本
https://docplayer.net/11413245-Minimizing-code-defects-to-improve-software-quality-and-lower-development-costs.html