为开发人员进行安全技能基准测试的益处

随着网络威胁日益普遍且愈发复杂，网络安全工作的重心正转向安全代码的重要性。白宫的《国家网络安全战略》以及美国网络安全与基础设施安全局（CISA）的“安全设计”倡议，连同其他国家的各项举措与立法，将安全责任明确地压在了软件生产商的肩上。“左移”——或者更准确地说是“从左侧开始”——以确保在软件开发生命周期（SDLC）的早期阶段就实现安全，这曾经被视为一种锦上添花，而如今已成为企业保护数据与系统、避免在遭受攻击后陷入监管困境的必要举措。

确保安全编码实践的关键在于开发人员培训。软件工程师通常几乎没有接受过网络安全教育。在当今快节奏的 DevOps 环境中，他们的工作主要是尽可能快地推出新应用、升级和功能——且越来越多地借助生成式 AI 模型来提速——并让安全团队在 SDLC 的后期阶段去处理网络安全问题。这种方式效率低下，无法应对海量代码编写过程中产生的众多缺陷，往往导致软件漏洞被带入生态系统。

开发人员需要从一开始就接受编写安全代码的培训，并能够识别 AI 生成的代码或其所使用的开源及第三方软件中存在的不安全代码。对于许多开发团队和组织而言，这仍是一片未开发的领域。他们如何确保开发人员获得了所需的培训？这些培训是否得到了持续的应用？

一些致力于开发人员教育的公司发现，建立一套开发人员应掌握的技能基准，并根据明确的指标衡量其进度，是非常有益的。为了助力这一工作，Secure Code Warrior 推出了一个旨在准确衡量开发人员安全培训进度的基准。SCW 信任评分（SCW Trust Score）使组织能够衡量培训在实际工作中的应用效果，并促进安全、开发和工程团队之间的协作。

这是一种验证安全代码培训是否奏效的方法，同时也能识别出需要改进的领域。

安全设计的必要性

软件生产商有充分的理由在 SDLC 的初始阶段就引入安全机制。对应用和服务的需求不断增长，加之 AI 为开发过程带来的速度提升，对开发人员而言确实大有裨益，他们迅速采用了生成式 AI，但这也不可避免地导致带有缺陷的软件被发布到流水线中。生成的代码越多，缺陷就越多——近期研究发现，近四分之三的应用（无论其如何创建）都包含至少一个安全缺陷，其中近 20% 被视为严重缺陷。

在 SDLC 后期阶段修补漏洞正变得极其耗时且昂贵。美国国家标准与技术研究院（NIST）研究发现，在测试阶段修复缺陷所需的时间是在 SDLC 初期确保软件安全所需时间的 15 倍，而在部署/维护阶段修复这些缺陷则需要 30 到 100 倍的时间。

所有这些都强调了在开发周期初期应用安全措施的重要性，这不仅是降低风险最有效的方法，也是最具成本效益的方法。开发人员与安全团队协同工作，而非将两者作为独立的实体，是实现 SDLC 初期安全化的最佳途径。受过安全最佳实践培训的开发人员在减少漏洞方面非常有效。问题在于，接受过此类培训的人员寥寥无几。

基准的价值

企业的基本路径包括：建立安全技能基准、提供培训，并向组织和监管机构验证开发人员已掌握必要技能。对于各经济领域的许多组织而言，这已被证明是一项挑战，但并非无法克服。

安全领导者指出的挑战之一是在整个企业范围内扩展培训计划的难度。但 SCW 的研究表明，组织，尤其是拥有大量开发人员的组织，完全可以成功实施安全设计方法。小型组织的结果往往显示出在应用“安全设计”原则方面存在较大差异。尽管如此，他们同样可以从包含信任评分的方法中受益，并且很可能会更快地看到改进。

信任评分利用基准指标来衡量个人学习者的进度，汇总他们的分数以评估整个团队的绩效，并将组织的进度与行业基准和最佳实践进行比较。它不仅跟踪培训情况，还展示了开发人员在日常工作中应用新技能的程度。它还突出了需要改进的领域，使组织能够优化其培训/技能提升计划。

在 CISA 的关键基础设施行业中，根据现有数据，大多数组织在实施安全设计原则方面处于大致相同的水平。从金融服务、国防工业基地到医疗保健、IT 和关键制造业，各行业的信任评分均处于同一区间——在 1,000 分制中略高于 300 分。尽管传统观点认为金融服务作为监管最严的行业会遥遥领先，但实际上并没有哪个行业能明显超越其他行业。

未包含在信任评分排名中的关键基础设施行业（如化工、能源和核设施运营）通常不自行开发软件，而是依赖其他行业，特别是 IT 行业。然而，在这些行业内维护安全系统的重要性（没人希望看到核电站被入侵）恰恰说明了从源头确保其所用软件安全是何等重要。

结论

日益严峻的监管压力和网络威胁环境的现实，使得“安全设计”方法对于那些希望保护数据、系统、业务运营和声誉的组织而言变得势在必行。在很大程度上，创建安全软件的重任掌握在开发人员手中，但他们需要通过全面的技能提升和培训计划获得支持，这些计划不仅能提供所需的教育，还能展示这些知识是如何被应用到实践中的。

通过 Trust Score 等工具支持的基准测试计划，可以清晰地呈现开发团队的关键进展。这是一种至关重要的新方法，开发人员及其所在企业都需要借此确保不断提升安全软件开发技能，同时满足“安全设计”（Secure-by-Design）的新要求。

‍