开发人员驱动的安全模式的投资回报率

糟糕代码的代价

技术的飞跃让开发人员能够以前所未有的速度交付代码。这固然能激发创新，但在提升软件质量和安全性方面却令人望而生畏。如果交付代码的速度保持不变，那么在工具、培训项目和提升开发人员技能方面的额外投入，往往会被视为“锦上添花”而非关键的业务职能。

交付代码的速度虽然加快了，但遗憾的是，交付安全代码却并非如此，这使企业面临比以往更多的威胁。全球网络犯罪造成的损失令人震惊，且增长迅速。事实上，2020 年网络犯罪的成本约为 1 万亿美元。数据泄露的平均成本为 435 万美元，这不仅包括现有客户和潜在客户流失带来的业务损失，还包括处理检测、升级和返工所耗费的资源。

尽管损失巨大，但仍有超过半数的企业并未要求开发人员每年进行正式的安全代码培训。

安全专业人员都知道，发现并修复漏洞的过程就像在玩“打地鼠”游戏。即使你已经拥有了包含补救策略的安全计划，也总有改进的空间。大多数企业发现，当灾难恢复或备份能力受到考验时，他们的安全方案并不像预想的那样稳健。如果加强组织抵御网络攻击的韧性是你的首要任务之一，那么将视角前移至开发人员，应成为你持续提升安全态势计划的一部分。拥有一支技术娴熟、获得授权的开发团队，从源头构建安全代码，并具备快速定位和修复漏洞的能力，是降低风险最经济有效的方式。

关于开发人员教育，一个常见的误区是将其仅仅视为企业的成本或保险单。安联保险（Allianz）的 DevSec 意识布道者 Klaus Klinger 表示：“这一切必须从管理层的思维开始。投资于开发人员的培训并非浪费，而是对质量、生产力和公司声誉的投资。”

在这一领域，投资回报率（ROI）往往难以量化，但企业最终应思考的是，其安全态势如何帮助降低风险、简化流程，并为开发团队节省时间和提高生产力。

如何量化网络安全成本的投资回报率？

谈到投资回报率，重要的是从两个不同的维度来思考：降低风险所带来的成本节约，以及安全培训所产生的影响。

让我们考虑一个非常普遍的例子：某个漏洞或泄露导致电子商务网站被迫离线数日，团队不得不在此期间寻找问题并进行修复。这种补救失败的代价可以量化为停机期间的收入损失、凭据被盗的影响、客户信任的丧失（导致长期销售额下降），以及修复问题时损失的整体生产力。

这归根结底是一项成本效益分析。你需要评估的关键领域包括公司的安全成熟度、风险承受水平，以及代码中需要维护或改进的部分。

人们往往关注错误的指标来衡量成功与价值。或许我们不应过多纠结于项目初始投资的回报，而应衡量项目本身的影响。

通过衡量来证明影响

为了确定投资回报率，必须设定可衡量的目标。这始于评估开发人员的安全编码知识，并了解他们需要在哪些方面提升技能。

一个切入点是衡量参与度，以帮助你做出战略决策，从而构建更丰富的培训项目。最重要的是——衡量影响。在每个团队开始培训项目之前，先查看通过代码分析、漏洞赏金计划或传统漏洞测试在软件开发生命周期中发现的缺陷数量。了解培训项目是否达到预期效果的最简单方法之一，就是衡量代码库中引入的漏洞总数是否有所减少。

‍

评估投资回报率的顶级问题：‍

1. 我们是否在简化我们的方法？

‍你是通过增加更多工具来应对问题，还是从根本上解决问题？在技术栈中添加更多工具，只会形成一种“瑞士奶酪”式的漏洞发现与修复方法。它们不仅增加了运营成本，对许多漏洞的源头——代码——却收效甚微。虽然扫描和渗透测试工具绝对应该是你武器库的一部分，但它们不应成为你的最后一道防线。‍

2. 我们是否在提升效率和生产力？

在详尽的代码审查以及处理应用安全团队退回的返工任务上耗费大量时间，会导致生产力严重下降。通过赋能开发团队，让他们亲身参与安全代码培训，从而减少“救火式”的紧急修复，这应成为评估安全计划成效的良好基准。‍

3. 我们是否在降低风险？

发现并修复漏洞就像拼凑大型拼图，有时需要数天、数周甚至数月才能找到稳健的解决方案。让开发人员在源头负责修复工作，能使应用安全团队专注于风险监控，从而加强组织的安全态势。

4. 我们是否在提高速度（同时保持质量）？

快速交付代码并不总是好事。为了赶进度而偷工减料并引入漏洞，会在未来引发诸多麻烦并积累技术债。短视并非解决之道。通过从一开始就确保代码安全，可以降低风险，避免问题在未来不断恶化。
‍

建议跟踪的指标：

• 参与度 - 您为培训投入了多少时间？开发人员的参与情况如何？他们是否完成了课程、评估并参加了竞赛？
• 技能 - 哪些领域是强项？您确定了哪些需要改进的领域？
• 漏洞减少 - 您是否注意到代码审查期间漏洞有明显的减少？应用安全团队退回的返工任务是否变少了？
• 生产力 - 修复一个问题需要多长时间？随着漏洞的减少，您是否观察到生产力或交付速度有所提升？

通过左移创造价值

漏洞和安全事件逐年激增。主动构建全面的安全方法至关重要，而这一切应从代码开始。这将有助于：

• 通过投资于最宝贵的资源——人才，而非仅仅购买只能解决部分问题的工具，来降低复杂性
• 通过减少通常在代码部署之后才由应用安全团队发现的返工或修复，来提高效率和整体效能
• 降低风险并实现合规，避免高额罚款、客户信任流失，甚至更严重的后果——数据泄露带来的损失

避免短视和权宜之计。它们只会导致技术债和未来更高的成本。通过提升技能并赋能开发人员，让他们成为抵御漏洞和网络犯罪的第一道防线，从而进行长远规划，您将亲眼见证其带来的影响和成本节约。

‍