应用安全荒原中的变革：我对 2019 年的预测

2018年对于网络安全专业人士来说是极其艰难的一年。尽管各方不断发出警告，要求提高安全重视程度，但围绕着培养更多行业人才以及提升企业网络安全意识的呼声不绝于耳，我们依然目睹了数百起网络攻击留下的满目疮痍，这些攻击导致了大规模的数据泄露，也让一些家喻户晓的知名品牌失去了消费者的信任。仅在2018年上半年，就有45亿条数据记录被泄露，涉及945起独立事件。

我以前多次说过：我们本可以做得更好。然而，我们面临的真正挑战并非来自脚本小子、危险的犯罪团伙，也不是那些穿着连帽衫在电脑前敲击键盘的神秘黑客，而是如何让更多人真正关心这些泄露事件的发生。

GDPR合规是一个良好的开端，但短期内不会产生巨大的影响。

欧盟的《通用数据保护条例》（GDPR）现已全面实施，这对那些不重视数据保护的组织来说是一项迫在眉睫的威胁。由于对违规行为处以巨额罚款，此举旨在督促企业加强安全实践，更加尊重客户数据，并制定应对网络攻击的策略。

一些组织已收到巨额罚款警告，但我们尚未看到因未能遵守GDPR而产生的真正后果。没有出现导致破产的惩罚，我们这些网络用户看到的只是需要不断点击关闭的弹窗。这在一定程度上是因为法律程序耗时较长，且有许多上诉机会——那些可能被当作反面教材的公司，很可能正陷入长达数月甚至数年的法律纠纷中。Facebook在经历了噩梦般的一年后，最近又报告了一起数据泄露事件：一个API漏洞导致680万用户的私人照片暴露给1500个未经授权的应用程序。该漏洞在两周内被发现并修复，但数据保护机构和公众直到几个月后才获悉此事。GDPR法律要求在72小时内通报泄露事件，因此这引发了人们对这些法律在当前究竟有多大影响力和有效性的质疑。

当然，其他地方的泄露事件也从未停止：11月的万豪酒店数据泄露事件显示，高达5亿条数据记录被泄露，更令人担忧的是，攻击者在被发现前已潜伏在他们的系统中长达四年之久。不过值得注意的是，万豪似乎正在进行一些补救措施：他们为受害者提供了为期12个月的WebWatcher免费订阅服务，这是一款信用监控工具……但面对黑客可以随意筛选的5亿条记录，一年时间是否足以进行有效的监控还有待观察；毕竟，你的数据可能在多年后才会被用于不法用途。

从长远来看，如果得到有效执行，像GDPR这样的法规将会推动积极的变革。当企业面临巨额经济处罚（或者因数据泄露而遭到客户集体诉讼）或长期利润下滑时，我相信大多数公司将不得不疯狂地专注于加固在线数据库。

金融机构将继续在短期积极变革中发挥引领作用。

作为全球血汗钱的守护者，金融机构拥有最严格的网络安全最佳实践政策以及端到端的风险降低流程，这或许并不令人感到意外。

这种合规性的重要驱动力来自PCI安全标准委员会，他们始终致力于帮助金融组织实施可行的安全政策并维护各领域的准则。他们已成为推动该行业在支付软件领域实现最高安全标准的重要力量。

那么，金融机构与其他行业有何不同？根据我的经验，他们通常具有更强的安全意识，不仅为应用安全专家和渗透测试人员，也为他们（通常规模庞大且分布在全球各地）的开发团队投入资源进行全面的培训。他们确保高层决策者理解安全流程并非“一劳永逸”的措施；它们必须随着所用技术的快速发展而演进，并适应多变的风险。

更多的组织将转型其安全流程。

与其他IT分支相比，应用安全（AppSec）还相对年轻。作为“新人”并不容易：你很容易被误解，也可能尚未建立起所需的关键关系。然而，我相信随着时间的推移，即使在那些抵制变革的传统组织中，应用安全也正逐渐找到自己的位置。

越来越明显的是，企业不能将安全合规作为软件流程中最后一步的补救措施。必须在整个过程中进行点对点的检查和衡量，并更加注重数据聚合，为企业高层提供更高的可见性。否则，安全问题对大多数人来说仍将是“眼不见为净”。在这种情况下，想要筹集资源来规划风险几乎是不可能的。

好消息是，越来越多的组织正在发现并着手修复自身的网络攻击。坏消息是？这一过程平均需要85天。

在当今这个必须快速创新和产出功能的科技领域，渗透测试工具和人工代码审查既艰巨、昂贵又缓慢。安全意识必须贯穿始终：从开发者最初编写代码的那一刻起。

我们的行业终将认识到核心问题：我们需要让人们更加关心安全。

事实是，我保守估计我的社交圈里至少有二十个人在过去四年里住过万豪酒店。鉴于这段时间内有五亿条记录被窃，他们的个人数据很有可能就在其中。从当前的联系方式、依然有效的信用卡号到护照信息，这些资料现在可能正挂在暗网上兜售。然而，他们对此却几乎毫不在意。

当然，面对如此大规模的数据泄露，人们很容易产生侥幸心理，毕竟自己在大海捞针般的受害者中不过是沧海一粟。

但真正的问题在于，那些未能保护好客户数据的公司，几乎不需要承担什么后果。事件发生后，它们的股价会立即受挫吗？当然会。塔吉特、Equifax 以及现在的万豪都可以证明这一点。然而，从十二个月的周期来看，它们很快就能恢复常态。几年之后，财务上的损失也就烟消云散了。

除非出现严重的后果，例如巨额罚款、更严格的监管以及业务的大幅流失，否则应用安全（AppSec）行业将不得不持续抗争，以传达企业所面临的日益严峻的网络风险。

我担心情况在好转之前会变得更糟，因此，我们必须致力于培养具备安全意识的开发人员，并在组织的技术团队前线建立稳健的安全文化，这一点至关重要。请时刻保持警惕，并不断追求更高的软件安全标准。