信任评分揭示了“安全设计”技能提升计划的价值
提升组织安全态势的可靠方法，是让开发人员掌握安全编码的最佳实践。这需要通过一套包含基准和标准的框架来实现，从而为开发人员提供所需的特定学习路径。然而，安全编码并非一劳永逸的解决方案，它必须成为一种生活方式，融入组织的基因之中。开发人员不仅需要“左移”或从源头开始，更需要保持这种“左移”的状态。
仅仅提供培训是不够的。组织需要确认开发人员已完全吸收培训内容，并在软件开发生命周期（SDLC）的初期将其作为日常工作的一部分，遵循最佳实践。您需要跟踪开发人员的表现，并根据内部标准和行业基准衡量他们的进度，从而有效评估培训投资的投资回报率（ROI）。
Secure Code Warrior 的 Trust Score 能够直观呈现个人开发人员的表现，并汇总数据以评估您组织的整体绩效。它不仅能展示技能提升计划的有效性，还能识别需要改进的领域。此外，它还有助于确保符合各种监管合规要求，无论是《通用数据保护条例》（GDPR）、《支付卡行业数据安全标准》（PCI DSS）、《加州消费者隐私法案》（CCPA）还是其他法规。
我们的研究表明，安全代码培训行之有效。Trust Score 利用一种算法，汇集了来自 600 多家机构、超过 25 万名学习者的 2000 多万个学习数据点，揭示了该培训在减少漏洞方面的成效，并指明了如何进一步提升这一举措的效果。
培训能提升安全性——前提是开发人员真正掌握了它
多年来，在 SDLC 初期应用安全最佳实践在软件行业中似乎大多是一种愿景——虽然理想，但并非当下的优先事项。然而，软件开发速度的不断加快，加上复杂且具破坏性的网络威胁（通常以软件漏洞为目标）日益猖獗，使得安全编码变得至关重要。美国网络安全与基础设施安全局（CISA）通过其 “设计即安全”（Secure-by-Design）倡议，将安全代码置于核心地位，该倡议正逐渐演变为一场国际性运动。
我们的研究证实了这一点——“设计即安全”方法与软件漏洞减少之间的相关性显而易见。我们分析了 SCW 客户群中 26% 的漏洞减少数据，发现开发人员培训使软件漏洞减少了 22% 到 84%。这一范围的差异源于公司规模等变量（开发人员较少的公司产生的效果差异更为显著），以及学习小组是否专注于特定问题（在这种情况下，他们消除的缺陷比例更高）。
大型公司的结果相当一致。拥有 7000 名或更多开发人员的公司，通过提升开发人员的安全技能，预计漏洞可减少 47% 到 53%。例如，一家拥有超过 10000 名开发人员的统计平均水平公司——既非平台上的顶尖表现者，也非基准最高的公司——其漏洞减少了 53%。
当然，最有效的培训绝非“一刀切”的通用方案。它应该根据开发人员的工作环境和他们所从事的开发类型进行量身定制。
公司应首先建立开发人员必须具备的基准技能，使编写安全代码像编写普通代码一样自然。技能提升计划应包含针对现实场景的实操性敏捷培训，这些场景需与他们的工作类型和所用语言相匹配。此外，培训还应足够灵活，以便融入他们的工作日程中。
对于开发人员而言，技能组合不仅仅涉及编写代码。他们还需要能够检查由人工智能助手和第三方（如开源存储库）创建的软件。开发人员已经热衷于使用生成式 AI 模型，并普遍称赞其在帮助他们更快地创建更多代码方面的优势。然而，尽管 76% 的 Snyk 调查受访者表示 AI 生成的代码比人类编写的代码更安全，但仍有 56.4% 的人表示 AI 有时或经常引入错误。同一项调查还发现，80% 的开发人员跳过了 AI 代码安全策略的应用，这表明 AI 代码中的问题并未得到解决。
在“设计即安全”的方法中，开发人员将与安全团队协作（而非各自为政），在 SDLC 的早期阶段解决这些问题，并在代码投入生产之前识别并修复缺陷。
Trust Score 衡量个人与企业的绩效
持续的培训也至关重要。公司需要建立一种安全至上的文化，这种文化应从公司最高层贯彻到每一位员工。它应专注于持续改进，并在整个 SDLC 中应用最佳安全实践。技术和网络犯罪分子从未停止进化，网络安全也不应止步不前。对于生产软件的组织而言，受过安全培训的开发人员是其基石。
这就是为什么证明培训已产生实效与培训本身同样重要。Trust Score 不仅能直观呈现个人开发人员和整个组织的绩效，还使组织能够深入挖掘绩效数据，专注于特定的语言、开发团队或软件类别。来自个人和汇总绩效结果的数据，也有助于识别需要改进培训的领域——例如，如果培训未能在开发人员的日常工作中产生预期的效果。
Trust Score 已助力各组织评估开发人员的绩效，并确认他们是否已获得并正在使用必要的安全技能，从而确保他们获得了“编码许可”。它使组织能够自信地授予合格的开发人员访问其最敏感数据和关键软件项目的权限，同时拒绝那些尚未准备就绪的人员访问这些资源。
安全文化变革的有力证明
网络安全已不再仅仅是安全问题，而是关乎企业生存的商业议题，直接影响着许多组织最宝贵的资产——数据。严重的违规事件会冲击组织的运营、声誉，甚至威胁其生存能力。监管机构对此高度重视，正不断出台日益严格的法规，并表现出追究首席信息安全官（CISO）及其他高管责任的意愿，甚至在 Uber 和 SolarWinds 等案例中采取了刑事指控。
在当今环境下，建立全企业范围的安全文化至关重要。由于企业的核心价值很大程度上依赖于数据、应用程序和服务，因此安全编码已成为这种文化的核心要素。将针对性培训与技能提升融入文化思维，并辅以培训成效的实证，将助力组织不断强化安全态势。
开发者驱动的安全计划极具价值，而 信任评分 就是最好的证明。
在 AI 驱动的开发成果发布前实现有效治理
评估 AI 辅助风险，在提交代码时强制执行安全编码策略，并加速整个软件开发生命周期的安全交付。
探索更多博客
获取有关安全编码、人工智能治理和软件风险管理的专家内容。
%252520%252520(3).avif)
Supercharged Security Awareness: How Tournaments are Inspiring Developers at Erste Group
Lorem ipsum dolor sit amet, consectetur adipiscing elit. Suspendisse varius enim in eros elementum tristique. Duis cursus, mi quis viverra ornare, eros dolor interdum nulla, ut commodo diam libero vitae erat. Aenean faucibus nibh et justo cursus id rutrum lorem imperdiet. Nunc ut sem vitae risus tristique posuere.
Security as culture: How Blue Prism cultivates world-class secure developers
Learn how Blue Prism, the global leader in intelligent automation for the enterprise, used Secure Code Warrior's agile learning platform to create a security-first culture with their developers, achieve their business goals, and ship secure code at speed
.avif)
在产品发布前确保 AI 驱动的开发安全
洞察开发风险，执行安全策略，并在整个软件开发生命周期中预防漏洞。
