在开发团队的优先级列表中，安全代码处于什么位置？

网络安全攻击数量的增长及其日益复杂化，推动了全球各行各业的变革。每个人都在尝试“左移”，即尽早将安全性融入到所有的流程和程序中。这种情况甚至催生了旨在改善网络防御的全新运动，例如 DevSecOps，将安全性构建在创建新软件和应用程序的每一个环节之中。

许多此类转变正落在开发者社区的肩上。由于他们是创建、编写和编码新软件与应用程序的人，要求他们采用更安全的编码实践似乎是一个绝佳的主意。毕竟，在创建新应用程序的初期进行“左移”是最彻底的。

但开发者社区对这种责任有何感想？传统上，他们的评估几乎完全基于编码速度，那么现在他们如何看待自己作为“安全捍卫者”的新角色？他们是否觉得公司管理层通过高质量的培训、更好的奖励以及应有的认可，来支持他们承担这一关键的新责任？

这是我们第二年与 Evans Data Corp. 合作，对全球开发者社区进行了一项全面调研，内容涵盖他们在安全编码实践方面的技能、认知和行为，以及这些实践在软件开发生命周期（SDLC）中的感知影响和相关性。调研结果在许多方面都相当令人意外。

2022 年开发者驱动的安全状况调研

Secure Code Warrior 开发者驱动的安全状况调研由 Evans Data Corp 于 2021 年 12 月进行。调研对象为亚太地区、欧洲和北美的 1,200 名活跃软件开发者，问题涉及软件编码、安全意识、培训、支持、动机及其他议题。调研以英语进行，并在必要时进行翻译，以获得准确的全球视角。受访者包括正在创建新应用程序的开发者以及开发社区内的管理人员。

一些令人惊讶的发现

一份详细的白皮书（《改善软件安全的挑战与机遇》）和报告（《2022 年开发者驱动的安全状况》）将于 4 月 11 日星期一发布，深入探讨调研的各个方面。白皮书包含了我们对调研结果的分析，以及社区对安全编码实践提出的担忧，并为组织赋能开发团队以提升软件安全提供了建议。

其中一些挑战可能会让组织中与开发者共事的人员以及开发者群体本身产生疑问——它们确实让我们深思。

例如，只有 14% 的受访者将应用程序安全列为当下的首要任务。相反，应用程序性能以及功能特性的优先级等传统指标仍然是他们的整体关注点。

安全性的优先级极低，以至于 67% 的受访开发者承认，他们经常在代码中留下已知的漏洞和隐患。他们这样做要么是因为截止日期紧迫、优先考虑功能而非安全，要么是因为他们根本没有修复安全问题所需的培训或知识。

在许多情况下，开发者表示他们的组织没有定义什么是安全代码，也没有提供足够的培训或支持来改变这种状况。

然而，尽管存在一些负面发现，但显而易见的是，态度正在发生转变。绝大多数开发者（66%）预计在未来 12 到 18 个月内，安全性将变得更加重要；而 82% 参与调研的招聘经理表示，他们更倾向于聘用具备安全知识的开发者，而非不具备相关知识的人。

虽然调研结果清楚地表明，开发者社区及其所属组织正面临巨大的变革，但值得庆幸的是，近期和长期的未来规划也正在迅速成形。

敬请关注即将发布的白皮书和报告，其中将详细介绍完整的调研结果，并提供关于当前安全编码实践挑战的专家评论，以及组织可以采取哪些机会来提升开发者的安全技能，并最终改善软件安全。

查看 Secure Code Warrior 博客页面，获取关于网络安全和日益危险的威胁环境的更多见解，并了解如何利用创新技术和培训来更好地保护您的组织和客户。

‍