30 万名开发人员究竟在执行哪些安全实践？

BSIMM 8 发布了！太棒了。这是目前唯一一项针对大型组织如何实施安全实践以开发安全软件的大规模研究。

该研究由应用程序安全专业人员在 Gary McGraw 的指导下进行，确保所收集数据的连贯性与准确性，并深入洞察 30 万名开发人员的日常工作。在我的最新演示中，我引用了 BSIMM 的数据，指出平均每 100 名开发人员配备 2 名应用程序安全专业人员。

然而，自 BSIMM4 以来情况已发生变化。BSIMM8 报告显示这一比例进一步下降，目前每 100 名开发人员仅配备 1.6 名安全专业人员。由于人才短缺，单纯依靠招聘更多安全人员已行不通。我们比以往任何时候都更需要为开发人员提供实用、易用且可扩展的工具与培训，以编写安全的代码。

报告还显示，培训实践中最常见的活动是为所有员工提供安全意识培训，占比达 67%。我开始将 Secure Code Warrior (SCW) 的工作与培训实践进行对照，发现我们的解决方案能够涵盖培训实践中的全部 12 项活动，从 1 级（大多数公司都在做）到 3 级（极少数公司能做到）均有涉及。

一个解决方案即可覆盖整个实践领域！在 12 项培训实践中，最适合 Secure Code Warrior 解决方案的包括：

• 1 级：提供安全意识培训
• 1 级：提供按需个人培训
• 2 级：通过培训加强卫星团队（SCW 指标）
• 3 级：通过课程奖励进步（SCW 徽章）
• 3 级：为供应商或外包人员提供培训（SCW 评估）
• 3 级：举办外部软件安全活动（SCW 竞赛模式）
• 3 级：通过培训识别卫星团队（SCW 指标）

您是否确信当前的解决方案能够满足这些实践要求？