静态与动态网络安全培训：冲动合规带来的隐患

“网络安全合规”似乎已经流行多年，无数的文章、倡议和委员会都在讨论世界应如何最好地应对网络犯罪这一庞大且多威胁的怪兽。

问题在于，我们似乎并没有取得多大进展。在全球范围内，数据泄露的成本一直在稳步上升，五年内增长了 12%，到 2019 年已达到平均每次泄露约 392 万美元 的水平。随着互联网在短短几十年内呈爆炸式增长，许多公司在迅速上线、建立业务时，往往毫无防备，只能独自面对不安全软件、应用安全资源匮乏，甚至在某些情况下，还要应对客户信任被滥用所带来的后果。

如今，我们无疑已经成熟了许多。我们能够深入理解并探讨威胁的范围，企业也充分意识到网络攻击对客户情绪、声誉和利润的影响。许多机构正积极寻求通过合规培训、专业招聘以及日益增多的 DevSecOps 举措来提升软件安全性。尽管取得了这些巨大进步，但我们仍未赢得这场战斗——甚至相去甚远。仅在 2019 年，就有至少 40 亿条记录在数据泄露中被窃取。

一个缺失的环节是（在政府层面）针对网络安全标准、预期和违规后果的落实速度相对缓慢。虽然 GDPR 的出现已经让一些人承担了责任（至少在欧洲是这样），但许多政府机构才刚刚开始跟进。这种对新出台的合规举措进行突击式合规的需求，可能会在未来产生一些意想不到的负面影响。

盲目行动（选错了培训）

以 NIST 为代表的稳健指南、纽约州的新法规以及英国网络安全委员会的成立，对于那些致力于保障数据安全的奋斗者来说，都是里程碑式的胜利。它们承认了当前软件开发中存在的问题，并采取措施指导企业达到安全最佳实践所需的道德和合规标准。

遗憾的是，在现阶段，其中一些最重要的要素仍有太大的解读空间。例如，英国网络安全委员会立法中的一项要求是：

“建立一份明确的认证清单，并构建一个易于理解的框架，说明这些认证之间的关联及其所代表的能力，在此基础上进一步完善已开展的职业路径工作”。

虽然他们的举措无疑会随着时间推移而不断完善和发展，但如果企业现在就惊慌失措地盲目开展培训，未来可能会发现自己依然准备不足。

企业的网络安全需求瞬息万变，静态的培训方案很难以所需的速度遏制不安全软件的泛滥。环境的变化速度远超传统课程的更新速度，这可能导致一些企业陷入“走过场”式的合规陷阱；开发人员、承包商和其他安全专业人员无法获得充分的培训，我们又回到了任人宰割的境地。

静态培训和静态工具面临着同样的问题

静态分析工具是软件开发生命周期（SDLC）中不可或缺的一部分，它们作为扫描主力，为大多数大型企业中稀缺且超负荷工作的应用安全专家分担了压力。它们表现不错，但存在一个缺陷：没有“单一”工具能够扫描出所有漏洞，也无法支持市面上庞杂的编程框架。此外，这是一个缓慢的过程，只要有一个安全漏洞漏网，就可能为攻击者敞开大门。

静态培训也存在类似的问题。如果开发人员接受的是僵化的、“一劳永逸”式的安全培训，那么它极有可能无法跟上当时最普遍的安全问题。它只是编写时的一个快照，很少被充分回顾，既没有以学员偏好的语言和框架呈现，也无法结合他们在日常工作中可能面临的漏洞。试想一下，在赶交付期限和发布代码的同时，还要从几个月前观看的视频中回忆起一个相关的知识点……这几乎是不可能的。

许多行业正在重新评估传统的教育方法，但就开发人员的安全培训而言，看看我们仍然经历的海量数据泄露事件（尤其是那些归咎于几十年来我们已知如何避免的漏洞，如 SQL 注入），就会意识到我们必须尝试一种不同的方式。

我们需要一种超越单一、线性课程局限的培训，它能够灵活调整，以适应网络安全最佳实践不断变化的需求。

动态培训：黄金标准

通过为开发人员提供动态培训解决方案——一种能够根据业务需求、个人技能水平和行业总体趋势快速调整的方案——你将为他们打下安全编码的最佳基础，使安全意识始终处于核心地位，并以具备安全意识的心态开展工作。

千篇一律、从不更新且枯燥乏味的培训只会浪费时间。遗憾的是，这往往会导致企业为了合规而冲动购买低效的培训项目。这些项目在发布前可能就已经过时，或者与员工的日常工作需求几乎毫无关联。

动态培训是一种鲜活的工具，它能够持续更新，紧贴日常需求，通过批判性思维吸引用户，并真正赋能他们掌握技能、解决问题。

那么，在安全领域，动态培训项目是什么样的呢？

它具备以下特点：

• 碎片化：开发人员可以分阶段学习技能，这比冗长的培训课件和视频更容易记忆（更重要的是，更容易应用）。
• 相关性：如果开发人员主要使用 Java 编程，那么以 C# 为例的通用安全培训又有何用？任何培训都应直接应用于他们的岗位，让他们在编写代码时就能发现并修复问题（理想情况下是防患于未然）。
• 时效性：这看似显而易见，却往往被忽视。网络安全环境瞬息万变，代码越多，责任越重。要让开发人员成为您的第一道防线，他们需要与现代安全最佳实践同步的培训。
• 参与感：众所周知，开发人员有时会觉得“安全”是一项苦差事，尤其是当它干扰到他们的创作流程时。合适的培训能让他们意识到自己在解决日常安全隐患方面的能力，从而避免风险升级，并建立起责任感和安全意识文化。
• 趣味性：动态培训绝非枯燥乏味；它在设计上至少应具备一定的趣味性。想想开发人员喜欢什么：解决问题、与同行竞争，以及像我们大多数职场人一样，渴望获得奖励和认可。发挥他们的优势，专注于实现最佳成果。

对于软件工程师而言，这是一个激动人心的时代；他们在数字创新中发挥着不可或缺的作用，助力打造卓越的企业，甚至凭借自己的创造力风靡全球。然而，随着政府机构和大型企业意识到自身在制定软件安全标准方面的责任，我们必须为他们提供有效、动态的培训方案，培养他们对安全编码的热爱，而不是将其变成一种官僚主义的“打卡”任务。