每位开发者在面对潜在雇主时都应提出的那个价值百万美元的问题

无论你是职场新人还是资深开发者，都有一个问题必须思考。而且，这个问题的答案至关重要。在敏捷开发的世界里，这个问题变得愈发重要，因为它将直接影响你在软件工程领域的成就，以及你在下一位雇主眼中的价值。

这可是价值百万美元的问题。不，准确地说，是价值数千万美元的问题！

你是否致力于帮助我编写安全的代码？

目前，数据泄露的平均成本已高达 360 万美元。你的公司今年遭遇数据泄露的概率高达四分之一。鉴于这些事实，我与许多人一样感到沮丧：开发者从大学毕业时，并未掌握安全编码的技能，也没有将安全意识融入到他们的基因中。

为什么会这样？软件工程仍然是一个相对年轻的职业。目前的教学重点依然是如何快速构建代码，使其优雅且功能完备，但对于如何确保代码安全却关注甚少。方法论、技术、语言和机遇的快速更迭，只会进一步加剧这些关键技能的缺失。

我们无法迅速改变学术体系，因此开发者和企业都应意识到，开发者需要在工作中学习安全编码技能。在某些行业，你可以通过犯错来学习，但对于其他行业而言，这并非选项。网络安全正是如此。

事实表明，我们在职场中的开发者安全培训方面也做得并不理想。全球大多数重大安全漏洞都是由编码错误引起的，这些错误让黑客得以获取计算机网络的权限，从而访问并窃取宝贵的数据。2017 年威瑞森数据泄露调查报告 (DBIR)显示，30% 的泄露事件直接由 Web 应用安全漏洞引起，自 2013 年以来，这一结论在 DBIR 报告中始终如一。

2017 年 8 月发布的《2017 年全球 DevSecOps 技能调查》证实了我们早已知晓的事实：尽管 65% 的 DevOps 专业人士认为在进入 IT 行业时掌握 DevSecOps 知识非常重要，但 70% 的人认为他们并未通过正规教育获得在当今 DevSecOps 环境中取得成功所需的必要培训。

近 40% 的受访招聘经理表示，最难招聘的员工是具备足够安全测试知识的全能型高端开发者。70% 的受访者表示，他们所接受的安全教育不足以胜任当前职位。事实上，只有不到 4% 的人表示他们获得了相应的培训机会。

我曾与多支专业白帽黑客团队共事近十年，对此有着切身体会。我们以一种令人痛心的频率入侵大型企业、初创公司和政府部门，且总是发现同样的弱点。

这就是为什么开发者在求职时必须主动发问。如果你的潜在雇主并不重视开发者的安全培训，那么你应当重新审视这家公司是否值得加入。

你应该问的第二个问题是：他们打算如何开展培训？是实践性的互动培训吗？如果仅通过幻灯片、视频、可点击的动画或抽象的讨论来讲解漏洞，很难直接提升你的编码能力。他们是否会确保你持续掌握最新的漏洞信息？是否有安全协会或社区供你学习？当你需要帮助时，是否有安全专家可以提供支持？

对安全编码技能的承诺需要通过持续学习来实现，包括在特定编码框架中进行实战挑战，并面对多种场景下的不同漏洞。你不可能仅通过一个示例就学会 SQL 注入。你需要接触多种类型的示例，从而学会识别这些危险的编码模式。

我们的一位客户要求其开发者每天进行一次挑战（5 分钟），持续两个月。通过对比培训前后的技能测试，他们发现数百名开发者的安全编码能力提升了 60%。这意味着在生命周期后期发现和修复安全漏洞所投入的资源更少，并能带来显著的长期成本节约。这也意味着黑客无法利用你的代码来危害你公司的数据。

根据 IDC 的研究，2014 年全球有 1100 万名专业开发者。2015 年，Burning Glass 发现有 700 万个职位需要编码技能，且编程类职位的增长速度平均比市场快 12%。

软件类工作机会非常多。所以，请坚持立场，选择那些致力于保障自身安全、你的安全以及客户安全的雇主。推而广之，选择那些愿意为你投资的公司。

无论你是职场新人还是资深开发者，都有一个问题必须思考。而且，这个问题的答案至关重要。在敏捷开发的世界里，这个问题变得愈发重要，因为它将直接影响你在软件工程领域的成就，以及你在下一位雇主眼中的价值。

这可是个价值百万美元的问题。不，准确地说，是价值数千万美元的问题！

你是否致力于帮助我编写安全的代码？