一些 CISO 正在将安全人才短缺转化为机遇。

本周我将前往旧金山参加 RSA 大会，并准备与多位 CISO 进行深入交流。或许会让你感到惊讶，但如今与许多 CISO 的谈话并不轻松。

他们深知安全风险正在加剧，但许多人却看不到改进的契机，反而认为自己的组织比以往任何时候都更容易遭受数据泄露或网络安全攻击。

在我与 CISO 的日常交流中，最常见的话题之一就是他们对网络安全人才短缺问题的担忧。

“我们的安全团队规模与工程团队或公司规模相比太小了。”

“我们的安全团队成员不断被海外公司挖走，对方提供优厚的薪酬待遇，还能让他们去其他大洲工作和探索。”

“我们的安全专家整天忙于救火，根本没时间提升自己的技能。”

这一观点得到了多份研究报告的支持，包括 2017 年波耐蒙研究所（Ponemon Institute）的一项调查，其中“缺乏胜任的内部员工”在 2018 年 CISO 最关心的网络安全问题中位居榜首。

这种严峻的安全技能缺口短期内不太可能消失，尤其是在澳大利亚这样的市场，最优秀的人才往往流向海外，而移民法也使得引进外国安全专家变得愈发困难。

关于澳大利亚的人才短缺，有趣的一点是，无法招聘到熟练专家的情况反而促使人们开始积极关注国家安全技能的培养。正如本杰明·富兰克林所言：“逆境中蕴含机遇。”澳大利亚政府、教育机构、企业和初创公司正致力于制定各种计划，以在本地培养各类安全技能。

安全技能匮乏确实带来了一个机遇，那就是在内部和外包开发团队中培养安全编码技能。鉴于全球大多数重大安全漏洞都归因于编码错误，且平均每次泄露造成的损失高达 360 万美元，软件安全无疑是安全挑战中的重要一环。在应用安全预算中，最大（且不断增加）的支出之一是针对应用安全的被动识别和修复，而同样的老旧漏洞往往年复一年地重复出现。

赋能开发人员从源头编写安全代码，是 CISO 摆脱安全困境、掌握主动权的一个契机，同时也为安全团队和开发团队带来了快速、简便且可衡量的改进机会。  

这并不意味着要用开发人员取代安全专家，而是要让开发人员参与到安全问题中来，将安全意识融入他们的日常思维，并以一种有趣、有效且高效的方式教他们编写安全代码。其结果是，稀缺的安全专业知识可以更好地用于发现和修复真正具有挑战性的复杂漏洞，而不是处理那些陈旧的漏洞。

对一些 CISO 来说，这听起来可能好得令人难以置信，或者难以实施，但事实并非如此。在 Secure Code Warrior，我们看到越来越多的 CISO 正在抓住这一机遇，并在此过程中改变了安全团队和开发团队的工作方式。

澳大利亚的银行是全球率先在软件开发人员中建立强大安全思维和技能的 CISO 群体之一。早在 2016 年和 2017 年，澳大利亚的银行就成为了这种方法的早期采用者。目前，该国排名前六的银行都在积极鼓励并引导其开发团队通过我们在线、自定进度的游戏化学习环境来培养安全编码技能。这些银行还会定期审查实时指标和报告，以验证其开发人员和团队的优势与不足。

这种方法带来了切实且积极的成果，包括常见漏洞发生率的降低、开发人员安全意识的提高，以及安全团队与开发团队之间关系的改善。投资于教导开发人员进行安全编码的公司，不仅能减轻现有安全人才的压力，还能降低因软件不安全而带来的风险。

如果您是一位（或认识一位）对组织内部安全状况感到沮丧的 CISO，我鼓励您考虑一种简单直接的方法来获得积极且切实的改进。赋能您的开发人员，让他们以一种相关、积极且有趣的方式学习安全编码。您的安全和开发团队会为此感谢您，您也将消除产品创新和开发过程中的成本与延误。我敢打赌，这将为许多积极的安全对话铺平道路。

赋能开发人员从源头编写安全代码，是 CISO 摆脱安全困境、掌握主动权的一个契机，同时也为安全团队和开发团队带来了快速、简便且可衡量的改进机会。