先发制人，重拳出击：为何定制化安全编码课程能有效遏制网络威胁

有一个令人不安的事实，往往被政府、大企业甚至一些行业领袖所忽视：作为一个社会，我们正处于与网络威胁的持续斗争中，而且目前处于劣势。我们如何得知这一点？这些统计数据揭示了一个发人深省的事实：

• 据估计，到 2021 年，网络犯罪的全球成本将达到 6 万亿美元
• 网络攻击每 39 秒
• 发生一次24% 的数据泄露
• 是由人为错误引起的令人震惊的是，77% 的组织没有制定网络安全事件响应计划，无法在整个企业范围内扩展，也无法在各部门之间保持一致执行。

在网络安全专家方面，我们严重人手不足；技能缺口不太可能被填补，也没有什么秘密的 AppSec 大军来拯救我们。我们多年来一直意识到这一点，因此必须改变我们的方法。对我们而言，最好的进攻就是出色的防守，我们可以通过周密的计划先发制人。

这一切听起来有些令人沮丧，但情况并没有某些人让我们相信的那么糟糕。我们有锦囊妙计，网络安全环境为我们提供了一个绝佳的机会。你无需外求，内部开发团队就是拯救组织的生力军，但你的安全计划必须支持他们成长为具备安全意识的工程师，让他们准备好共同承担安全编码的责任。

陈旧的培训无法完成这项工作——我们当然已经强调过很多次了——但即使是那些能够吸引人、建立情境知识并帮助开发人员热爱安全工作的正确培训，如果能针对业务需求、面临的威胁以及帮助企业保护数据安全的合规要求进行更精心的策划，效果也会好得多。

这就是我们最新功能 Courses（课程）的用武之地。顺便说一句，如果你听懂了标题里的梗，那你确实已经老了（或者只是单纯欣赏经典）。

组织专属学习：构建防御，提升开发人员技能

我们对为什么某些类型的开发人员培训优于其他类型有着各种各样的看法（例如：不要用数小时枯燥、通用的视频说教来折磨他们，然后指望他们对安全编码产生热情）。但即使是旨在吸引开发人员思维的竞争性学习，其内容对于组织内的特定需求来说，可能仍然过于宽泛。

一套精心策划的课程，涵盖开发人员必须掌握的核心模块，将产生显著的影响，使他们能够在日常工作中迅速上手并实践安全最佳方案。针对前端团队、云工程师等定制课程，能够深入挖掘最关键的漏洞，并结合他们所使用的语言和框架进行教学。开发人员将在持续的情境、接触点和实践中提升技能，而企业也将从针对高风险问题的精准意识中获益。

定制合规课程

世界各地正在实施更严格的网络安全相关法规，软件安全合规是建立积极、有效安全文化的坚实基础。这不应该是枯燥乏味的，好的安全计划应该激发开发人员的自豪感和责任感，而不是让他们感到厌烦和无奈。

作为一个起点，让每个人都熟悉 OWASP Top 10 是一个非常好的主意，但要真正达到行业相关合规的新高度，你可以围绕特定法规的要求设计定制课程。例如，金融机构可以根据其软件的合规要求，按照管理支付和卡处理应用程序的 PCI-DSS 指南来定制课程。当你负责处理和存储信用卡号等敏感信息时，风险极高。通过针对开发人员的学习进行超细分，可以消除干扰，在正确的时间提供正确的教育，并使团队能力的评估变得更加容易。

通用电气 (GE) 是这样在其团队中使用 Courses 功能的：

“Courses 是我们工程师的绝佳解决方案。通过这一新功能——它将学习路径、视频和检查点整合到一个可定制的模块中——我们能够根据当下的需求随时调整内容。其合规能力和灵活性为确保流程更加精简和灵活提供了更好的机会。这一功能帮助通用电气比以往任何时候都更快、更轻松地为每位工程师量身定制相关培训。”

请记住，虽然这是精心策划的合规培训，但它仍然以碎片化、情境化、引人入胜的学习体验呈现，这对开发人员来说更具吸引力。

建立在尊重与相关性基础上的积极安全文化

教育是一个终身的过程，但在快节奏的 DevSecOps 世界中，需要兼顾的事情太多。预留的培训时间应该被明智地利用，通过一条切实可行的学习路径，持续激发兴趣并创造价值。

通过策划高度相关的定制课程，您不仅尊重了开发人员的时间和工作流程，还能同时切实降低企业的漏洞和网络安全风险。

应用安全专家与工程师之间的关系历来充满误解与紧张，但通过 Courses 进行结构化学习，可以让双方在安全最佳实践上达成共识。开发人员一定会欢迎应用安全团队提供的以解决方案为导向的赋能，这不仅减轻了他们的负担，还助力他们编写出更高标准的代码。

消除薄弱环节，提升企业级安全基准

人非圣贤，孰能无过。在数字世界中，这些错误可能代价高昂，却又极其普遍。赛门铁克发布的 2019 年互联网安全威胁报告证实，超过 7000 万条记录因 S3 存储桶配置错误而被窃取。安全配置错误是导致数据泄露的主要原因，其中人为失误占比 约四分之一。

这些问题的成因多种多样，但缺乏安全意识和培训是导致攻击者有机可乘的主要原因。为了实现具有影响力的可扩展安全基准，您必须通过为企业量身定制的课程来确保成效。不给对手任何可乘之机，彻底封堵他们制造重大麻烦的每一个机会。

我们已经看到该方案为客户带来了显著成效，其中包括这家领先的云端会计 SaaS 提供商：

"Courses 的定制化学习路径彻底改变了现状。针对编程语言和漏洞的专业性，让我们能够根据个人和公司的需求，更灵活地掌控并打造合适的学习体验。将 Courses 与 Secure Code Warrior 更广泛的安全编码平台结合使用，极大地提升了开发人员的参与度，他们现在更热衷于提升安全编码技能，以编写出更优质、更安全的代码。"

做好 DevSec 准备。点击 此处 了解 Secure Code Warrior 全新 Courses 功能的更多信息。