想让开发人员在编码时具备安全意识？那就把培训带到他们身边。

软件开发生命周期（SDLC）听起来似乎人畜无害；它不过是一个流程，我们这些软件从业者齐心协力，创造出各种数字产品，让社会得以正常运转。

然而……如果你参与过软件开发项目，就会知道这通常是一场充满挑战的“闯关游戏”，需要攻克重重难关、斩杀各路“恶龙”。虽然过程偶尔有趣，但职业倦怠是真实存在的。在最好的情况下，软件需求也迫使我们所有人以光速工作，开发团队更是首当其冲。

现在想象一下，如果他们又被强加了一项必须完成的任务——对自己所触及的项目元素承担安全责任。往坏了说，这可能会导致某些人的工作体系瞬间崩塌；而更现实的情况是，这项任务根本得不到重视，因为大家会优先处理那些被认为更紧迫、必须按时交付的问题。既然大多数开发者并未接受过安全编码培训（尤其是当他们的管理者也不优先考虑安全问题时），那么频繁的数据泄露、有缺陷的应用发布，以及安全专业人员在面对海量漏洞代码时因压力过大而离职，也就不足为奇了。

开发者需要一位应用安全（AppSec）倡导者。

了解上述情况后，你就能明白为什么在编码过程中，安全问题会被归入“太难处理”的范畴，而留给安全团队去解决。截止日期紧迫、培训不足，再加上在繁重的工作压力下，没有真正的理由去关注安全。然而，市场对代码的需求实在太大，这种现状无法持续。这正是顶尖开发者脱颖而出、学习新技能，最重要的是构建更安全代码的机会。

不过，要记住，管理软件安全并非开发者的全部责任——这仍然是应用安全（AppSec）团队的领域（当他们与具备安全意识的开发者合作时，将有更多精力去处理核心问题，而不是反复修复常见的漏洞）。一个高效的 DevSecOps 流程要求团队中的每一位成员都能获得所需的支持和工具，以共同承担安全责任，而正确的培训方式至关重要。平衡合适的工具套件与培训，需要应用安全专业人员具备洞察力，并愿意与开发者密切合作，激发他们的积极性，推动积极的变革。

破坏性的培训只会让人反感，而非有效。任何让开发者排斥的方法都不会奏效。一种替代方案是采用集成在 IDE 或问题追踪系统中的解决方案，专注于碎片化知识，在他们最需要的时候提供准确的信息。

以下是其实际运作方式：

即时（Just-in-Time），而非“以防万一”。

情境化、实操性的学习是迄今为止最有效的培训方式，通过在最恰当的时机提供碎片化的知识点。这有时被称为“即时”（JiT）培训，对于学习安全编码的开发者来说非常有效。

JiT 培训起源于丰田的精益生产原则，旨在根据实际需求，在最关键的情境下激活学习。开发者是否刚刚写出了权限设置不当的代码？如果留下了一个允许攻击者远程执行代码的小后门怎么办？如果开发者能在需要时立即获取知识，而不是在 Confluence 文档中翻找，或者去谷歌搜索培训中提到过的内容，那么学习效果会深刻得多。

“即时”是“以防万一”式学习的对立面；虽然后者是更常见的知识传授方式，但效率极低。我们必须让开发者更容易地接触到安全编码的最佳实践，让他们在专注于当前核心目标的同时，看到提升技能对职业发展的益处。

别再让开发者去追着培训跑了。

我们都知道工作日里事务繁杂，那么开发者又有什么动力去教室上课，或者为了完成五步流程的静态理论培训而频繁切换工作环境呢？

普遍的共识是，如果看看导致数据泄露的漏洞数量，就会发现大多数组织目前所做的工作效果并不理想。Verizon 的《2020 年数据泄露调查报告》指出，43% 的数据泄露可归因于 Web 漏洞。开发者没有接受过有效的培训；无论是在高等教育中，还是在职场技能提升措施中。如果他们接受过培训，像 SQL 注入和老派的路径遍历这类常见漏洞就不会被利用来窃取大量数据，网络安全人才短缺的问题也不会失控。

既然了解了开发者目前接受培训和接触安全知识的现状，我们又何必对糟糕的结果感到惊讶呢？确保一种更顺畅、更集成、更少干扰的培训体验，让其在他们实际工作的空间（如 Jira、GitHub 和 IDE）中触手可及，或许能为开发者和组织带来积极的影响。行业必须向前迈进，让安全意识变得更加简单，使其不再是一种奢侈品。

准备好保障开发工作流的安全了吗？

具备安全意识的开发人员因其专业技能以及能在代码构建阶段就为组织提供保护而备受推崇。安全已不再是可选项，尤其是在面对 GDPR 罚款、PCI-DSS 合规法规、NIST 治理要求，以及像 Equifax 那样可能面临数百万美元集体诉讼的情况下。

采用集成化方法或许是赢得开发人员支持的催化剂，它能以更少干扰的方式进行学习，并为深入课程、培养安全专家以及激发我们保护全球数据安全所需的共同责任感铺平道路。

立即下载 Jira 和 GitHub 的集成工具，并告诉我们您的想法。