未来的工作方式是灵活的，这对网络安全大有裨益

本文的一个版本曾发表于 TFIR，现已更新并在此同步发布。

人们常说，生活中唯一不变的就是变化，但 2020 年确实给全球许多人带来了一场考验。全球新冠疫情迫使我们深入思考人与人之间的连接方式。自我隔离、保持社交距离——这些是我们为了适应现实世界所做出的改变。尽管我们许多人花费了大量时间在线上，但当沟通甚至工作别无选择时，情况就完全不同了。这既是一场悲剧，也是一次觉醒。

像许多科技公司一样，灵活办公对我们来说并不陌生，居家办公也是工作福利之一。早在 2009 年，我就已经在比利时为硅谷的公司进行远程工作了。当时的科技水平 远 不如现在，但依然可行。然而，即便对我们而言，让每一位团队成员居家办公直到另行通知，也是一个不小的调整。我看到许多公司也做出了同样的决定，其中许多公司在管理远程团队方面并没有做好充分准备。

无论这种不适感源于对新工作方式的未知、些许的不信任，还是对远程办公的“怀疑”，我发现那些抵触远程办公的公司往往在吸引顶尖人才、保持全球影响力以及与时俱进方面落后于人。当前的危机让许多公司别无选择，只能启动远程办公模式，因为唯一的替代方案就是在混乱的经济环境中彻底停业。

如果说这场悲剧能带来什么积极影响，那就是人们已经看到了数字办公团队的优势，以及团队即使不在同一物理空间也能通过多种方式保持连接。而网络安全行业正是那种能够通过“随时随地办公、始终在线”的模式实现蓬勃发展的行业。

攻击者并没有因为封锁而停下脚步——他们非常活跃，正利用这场危机，借全球范围内的恐慌和不确定性对医疗机构发动网络攻击。在这种情况下，网络攻击（尤其是勒索软件）激增并不令人意外。毕竟，在经济不稳定的时期，这被视为一种生存手段。但这并不能使其合理化，事实依然是：只要有网络连接，我们就能随时随地工作、培训并抵御网络攻击。

未来是灵活的，以下是我们——以及整个网络安全行业——如何在现在及未来实现这一目标的方法：

随时随地访问的产品具有普适性和价值

在任何强制隔离情况发生之前，全球团队在需要时仍必须找到协作的方法。经济实惠的电话会议与滚石乐队同年（即 1964 年）问世——毫无疑问，那些早期采用者也面临着我们今天遇到的“你在吗？”“不，你先说”这类问题，尽管现在我们已经可以通过视频看到彼此。

2020 年，数字通信技术已成为 数万亿美元 ICT 行业 的重要组成部分，云原生、移动和社交平台占据主导地位并取代了传统技术。Slack、Zoom 和 Discord 等创新工具让我们比以往任何时候都联系得更紧密，尤其是在工作中。而沟通只是其中的一个方面。

那些只要有网络连接就能随时随地按需访问，并满足基本需求（无论是连接、娱乐还是生产力）的数字服务，是我们灵活未来的组成部分。作为客户，我们追求超个性化；作为企业，我们致力于提供个性化的数字体验，无论从何处访问，都能保持同样卓越的品质。

在各行各业，基于 Web 的应用程序每天都在被创建，旨在简化流程、彻底改变我们的生活和工作方式，并解决我们可能尚未意识到的问题。我们距离网络安全工具和培训的巅峰还很远，这些工具和培训可以按需访问，以用户参与且有用的方式呈现，并为企业带来切实利益。

开发人员重视日常工作的灵活性，我们对实用、有趣的编程安全培训以及工作流集成的关注，正是考虑到这些终端用户的需求。工具应该是“即插即用”的，使用起来毫不费力，让有价值的培训不再被视为苦差事。网络安全行业领域广阔，现在正是多领域创新攻防技术的成熟时机，即使大家都在居家办公，DevSecOps 等安全优先的方法论 依然可以蓬勃发展。关键在于协作，以及为团队中的每位成员提供一套周全的工具，让他们无论身处何地都能高效完成工作。

在最需要时（或想换换心情时）进行培训

灵活办公的一个优势是，在居家办公的日子里，你省去了通勤时间。对一些人来说，这可能意味着赢回了大约两个小时的高质量专注时间。在理想情况下，所有员工在正常工作时间内都应有时间学习和提升技能，而在合适的远程环境中，这一点更容易实现。这对你的远程精英员工大有裨益，他们可以通过进一步学习感受到挑战和支持。

随着网络安全形势瞬息万变，频繁的培训对于跟上可能影响组织的潜在威胁至关重要。而根据业务需求定制的全面、可衡量的培训是朝着正确方向迈出的重要一步。这些正是 Secure Code Warrior 平台设计的核心要素；我们希望培训能够随时随地进行，在用户需要时立即提供，并支持用户选择的开发语言和框架。

开发人员与安全部门的关系往往比较紧张，在很多方面，他们没有得到足够具体的支持来妥善执行安全最佳实践。按需提供的游戏化培训可以帮助他们无论身在何处都能积极参与；这对于确保离岸团队和供应商展现出足够的安全意识也至关重要，尤其是在涉及对组织软件进行任何修改时。

通过有助于组织（更不用说有助于他们自身职业发展）的培训，让你的团队保持参与度和技能提升，是留住最优秀、最忠诚人才的有效粘合剂……在我们面临持续的网络安全人才短缺时，这绝对是必要的。

赋能远程办公，实现高效与安全

认为只有在办公室朝九晚五才能保持高效，这是一种相当过时的观念。然而，许多公司（甚至包括一些新兴的、令人兴奋的公司）仍然抱着这种想法。他们对员工缺乏基本的信任，仿佛只要一提到居家办公，他们脑海中浮现的就是员工穿着睡衣打游戏，而不是在认真工作。

要么就是他们根本还没有尝试过切实可行的远程办公模式。

当然，团队成员确实需要通过产出成果来证明他们在家也能保持高效，但作为管理者，你需要为他们创造最佳的远程办公条件。问问自己：

• 他们是否有足够的硬件设备？
• 你是否真正落实了我们之前讨论过的那些出色的沟通工具？
• 你是否确保了每位经理都能通过定期的站会与团队保持联系，并在线上给予充分的关注？
• 你是否考虑过使用项目管理工具来跟踪进度，为每位成员明确方向、设定目标，并让他们在完成任务时获得成就感？

在当前环境下，许多企业面临着要么远程办公，要么彻底停业的抉择。一些选择转向远程办公的企业可能准备不足，难免会出现一些棘手的问题……但显而易见的是，这些企业很可能也让自己暴露在安全风险之中。

避免远程办公环境中的安全失误

有几个威胁向量需要考虑，因为员工很可能是在自己的网络环境下办公，并且可能会使用各种设备访问公司账户，而每种设备的安全需求可能并未得到满足。

在远程办公的情况下，每个人处理的电子邮件往往会增加，还要应对各种登录、系统和设置问题。对于那些脱离了内部安全管控的设备来说，社交工程攻击和恶意软件极易趁虚而入。这并不是放弃远程办公的理由，而是一个通过实践学习的绝佳机会，可以借此让未来的办公模式变得更加稳健。对于注重安全的企业来说，这正好是一个审计流程并“以身作则”，将安全最佳实践落实到每个人的好机会。

说到失误，评估你的远程办公空间是否存在潜在威胁也很重要……主要是为了维护你的形象，就像这对可怜的夫妇一样。故事的寓意是：视频通话时，请务必穿好裤子。

危机当前，网络攻击从未停止

看到新冠疫情对全球造成的影响令人深感痛心，现在比以往任何时候都更需要团结一致，在这场全球健康危机中互相关怀。问题在于，攻击者正积极利用这种普遍的恐惧和混乱，或许是出于生计所迫。此时此刻，我们整个社会都极其脆弱。

医疗机构，包括一家疫苗测试中心，都遭到了勒索软件和DDoS攻击的重创，更不用说那些试图利用财务和政府机构人员分心、过度劳累的机会，对其发动网络钓鱼和恶意软件攻击的行为了。另一个迫在眉睫的威胁围绕着疫苗本身；据报道，特朗普政府曾向一家德国公司提供巨额资金，试图研发仅供美国独家使用的新冠疫苗。疫苗数据可能是目前地球上最有价值的信息，这对攻击者来说无疑是一笔极具诱惑力的赏金。

这及时提醒我们，当我们为了躲避现实中的病毒而自我隔离时，我们的数字命脉也正受到攻击。安全意识在任何组织中都至关重要，且应在各个层面提供充分的培训——即使是强制使用密码管理工具、学习如何识别钓鱼邮件等措施，也大有裨益。

至于开发人员，他们是保障企业内部代码安全的第一道防线。通过修复常见漏洞留下的后门，他们可以成为应用安全（AppSec）团队的宝贵资产，帮助企业免受网络攻击带来的进一步伤害。

数字化创新型企业更能抵御大风大浪

大规模封锁带来的一个极其不幸的副作用是经济衰退，迫使许多受灾最严重行业的人员失业。这一切发生得非常突然，这是我们许多人一生中可能从未经历过的体验。

虽然并非每一家数字原生企业都能自动抵御经济衰退（远非如此），但从本质上讲，从事数字业务的公司在面对突如其来的极端情况时，往往更加敏捷、适应性更强且更具可持续性。

我们公司可以通过远程办公高效、有效地运营，这为我们宝贵的团队以及他们所支持的客户增加了一层保护。我们认为，切实可行的安全代码培训是现代企业的核心组成部分，如果选择我们，我们能够根据需要进行交付和调整。许多公司受限于其销售的产品或服务，无法享有同样的灵活性，但如果他们能探索如何将流程数字化、实现面向未来的升级，并尽可能按需提供服务，即使在最传统的领域，也可能会带来意想不到的积极成果。

寻找新的连接方式是一种积极的挑战，而非阻碍

虽然听起来有点夸张，但我还是想起了《侏罗纪公园》里伊恩·马尔科姆博士那句名言：“生命总会找到出路”。事实确实如此，这一点在我们全公司转向远程办公的过程中体现得淋漓尽致。以前互动不多的团队，现在通过随意的线上闲聊、办公室游戏以及共享的全球办公 Spotify 播放列表，发现了彼此的共同兴趣。建立深厚关系总有办法，我的建议是让团队顺其自然地去探索和成长。

对于我们的客户来说，令人欣慰的是，他们对提升开发人员安全编码技能的承诺并未因远程办公的挑战而动摇。他们一直在使用我们的竞赛功能，虽然这些活动通常以线下形式举办且氛围热烈，但虚拟版本同样激发了积极的参与度、良性的竞争，并为通常独自完成的日常工作提供了一种极佳的（富有成效的）调剂。正如电子游戏如今已成为一种更具社交性的活动，这种在职培训不仅能促进员工与课程内容的连接，还能增进彼此间的交流。而且它面向任何人，随时随地皆可参与。作为一名安全极客，我难免有偏见，但现在确实是培养开发人员安全编码热情的绝佳时机。他们都是蓄势待发的安全超级英雄，是时候以最有趣的方式来加强你们的防线了。