DevSecOps 的兴起——以及“安全左移”对您的组织而言究竟意味着什么。

看一组令人警醒的数据： 60% 的中小企业在遭受成功的网络攻击*后，会在六个月内倒闭。大型企业则会损失数百万（甚至数十亿！）美元，同时品牌声誉也毁于一旦。随着各组织日益重视安全编码实践，“左移”趋势正在形成。随着 DevSecOps 的兴起，安全代码已成为软件开发生命周期（SDLC）伊始的关注重点。为了调查这一趋势对现实世界的影响，Secure Code Warrior 与 Evans Data Corp*** 最近联合开展了一项研究，旨在了解开发人员对安全编码、安全代码实践和安全运营的态度。

左移——多层面的转变

随着企业意识到事后修复漏洞的成本是事前预防的 30 倍，预防性措施已成为新的黄金标准*。但要使这些措施行之有效，每一位 SDLC 参与者都必须具备安全意识，尤其是开发人员。

‍转变一——现在，谁来负责？

随着 DevSecOps 的兴起，各组织正在积极采用安全编码实践。因此，我们的研究强调的首要转变之一，就是代码安全责任向运营层面的转移。

当我们询问开发人员和开发经理“谁应该对代码安全负最终责任？”时，46% 的人认为是项目/团队负责人——这一比例几乎是认为应由应用安全团队负责的人数的两倍。

这清楚地表明，安全责任正从传统的应用安全团队向开发团队负责人转移。

转变二——管理角色的演变

实施安全代码培训的压力正从多个方向向管理者施加。

41% 的受访者表示，安全代码培训的组织需求来自高层领导。日益增长的合规性要求也是一个重要因素。

管理者在协助从传统开发向 DevSecOps 转型过程中发挥着关键作用，并正成为培训和工具采购决策的核心决策者。

‍转变三——开发人员挺身而出

然而，我们也看到变革的压力正自下而上地涌现；24% 的管理者表示，他们实施安全编码实践是源于开发人员的建议和推荐。这一点凸显了开发人员作为公司安全项目贡献者日益重要的作用。向 DevSecOps 的转变及其对预防性安全编码实践的新重视，使开发人员转变为“第一道防线”。

转变四——团队协作的改善

实施安全代码实践不仅对软件质量有实质性影响，还改善了团队的工作方式。60% 的受访开发人员认为，采用安全代码实践增强了他们与其他开发人员之间的沟通——而且收益远不止于此。

半数受访的开发人员和经理一致认为，安全编码实践促进了开发人员与领导者之间的合作。46% 的人表示开发人员与利益相关者之间的协作有所增加。同时，41% 的人指出领导者与利益相关者之间的合作也得到了加强。

DevSecOps 以全新的方式将团队、领导者和利益相关者凝聚在一起，改善了软件开发生命周期中不同角色和阶段之间的协作。

62% 的受访管理者表示，安全编码实践有助于提高代码发布速度。这一事实与其它诸多转变相结合，凸显了转向 DevOps 方法的显著优势。然而，正如本文前文所述，要使这些措施行之有效，每一位软件开发生命周期（SDLC）中的成员都必须具备安全意识。这一洞察对于企业如何培训开发人员具有至关重要的意义。团队需要了解最新发现的漏洞，并学习其所用编程语言和框架中的具体安全知识。简而言之，他们需要学会在日常工作环境中定位、识别并修复已知代码漏洞。这样的培训能让您的团队从风险的第一线转变为防御的第一线。  

作为安全编码变革的倡导者，Secure Code Warrior 采用以人为本的方法，助力您的组织实现“安全左移”，并将整体安全策略从被动防御转变为主动预防。

如果您想进一步了解这种实践性强、极具吸引力且行之有效的安全编码培训，它能协调管理者、开发人员和组织的需求，共同迈向 DevSecOps 的未来，请立即预约演示。

‍

*60% 的小型企业在遭受黑客攻击后的 6 个月内倒闭。
‍https://cybersecurityventures.com/60-percent-of-small-companies-close-within-6-months-of-being-hacked/

**IBM 软件集团：最小化代码缺陷以提高软件质量并降低开发成本。
‍https://docplayer.net/11413245-Minimizing-code-defects-to-improve-software-quality-and-lower-development-costs.html

***从被动反应转向主动预防：2021 年应用安全的新面貌。 Secure Code Warrior 与 Evans Data Corp. 联合发布。
https://scw.buzz/3169uzS