为何游戏化是提升软件安全水平的关键

应用安全经理、首席信息安全官 (CISO)、首席信息官 (CIO)、网络安全专家——在我的软件开发和安全职业生涯中，我与世界各地各类公司的许多此类专业人士交流过。

无论他们的处境有何不同，团队经验如何，或者在这个瞬息万变的数字世界中经历了多少时间，有一个问题始终如一：他们很难让开发团队积极参与到安全工作中。安全仍然是一个令人避之不及的词汇，是团队之间冲突的根源，也是整个行业中令人头疼的麻烦。

然而，软件安全对于我们的整体思维方式而言实在太重要了，不能再这样继续下去。我们必须努力改变这种对话方式，让安全成为每位开发人员工作生活中不可或缺的一部分。我认为实现这一目标的最佳途径之一，就是通过游戏化等方式，赋能开发人员并让他们积极参与到安全工作中来。

当前形势

开发人员从大学毕业时，几乎没有掌握任何关于交付安全代码的实践知识。他们在工作中，安全培训也极少被列为优先事项（即便有，通常也只是健康与安全相关的强制性合规视频的一部分，内容枯燥乏味，没人会因此产生学习安全编码的动力）。很多时候，他们第一次接触安全问题，往往是因为审计或测试发现的漏洞报告突然叫停了后续发布，这瞬间成了干扰他们创造性思维的头等大事。他们发现自己与负责安全报告的人员处于对立面，因此在他们的潜意识里，“安全”就成了“批评”的代名词。真糟糕。

坦白说，这种对软件安全的负面认知如此普遍，实在令人遗憾。毕竟，我职业生涯中最美好的回忆，有一些正是与学习软件安全相关的。我早期的黑客生涯是在参加各种会议中度过的，在那里，我不仅可以测试自己的技能（老实说，还能小秀一把），还能结识志同道合的朋友，他们和我一样热衷于破解软件，并从中获得了巨大的乐趣。

BruCon、DefCon、BlackHat……这些活动为像我这样的人提供了在友好竞争中磨练技能的机会。虽然我绝不会承认自己参与过那种反社会行为，但有些人甚至会通过入侵其他参会者的手机来展示他们的黑客技术，并将对方的信息显示在演示屏幕上供所有人观看。寻找漏洞、利用漏洞并修复漏洞，从而让软件变得更好，这变成了一场游戏。几年前，我有幸在中东面对数百名孩子教授网络安全知识。我至今仍记得班里有个八岁的小女孩，她在玩游戏的过程中学习了密码暴力破解和 Base64 编码。

游戏化也被用于教授编程技能。世界各地的教育机构都在利用这种方法向幼儿甚至高中生传授编程知识。年仅四岁的孩子现在也会定期参加像 CodeCamp 这样的假期活动，而且还有大量出色的在线课程教孩子们如何使用 Python 和其他语言进行编程。我甚至为我四岁的女儿买了一套很棒的无屏幕编程工具 Cubetto。

然而，尽管有这么多乐趣和进步，但仍存在一个缺口。没有人想到可以利用游戏化来培训开发人员编写安全代码。

好吧……几乎没有人想到。几年前，我意识到我们需要让安全工作重新焕发活力，真正激励开发人员参与进来并开始“玩”起来。

游戏化：简单的前进之路。

我内心深处有一种强烈的动力，想要通过安全知识来提升和赋能开发人员，正是这种热情促使我创立了 Secure Code Warrior。软件安全至关重要，而且它确实可以非常令人兴奋。

我的想法并不孤单。

游戏化可以让即使是最枯燥的任务也变得充满乐趣，并让人们保持足够的参与度，从而想要不断玩下去、赢得胜利并取得进步——看看《Pokémon Go!》是如何让最懒的人也走出家门，去户外寻找虚拟生物的；或者看看 Fitbit 是如何让许多人将达成每日步数目标作为日常任务的……如果目标没有达成、连胜中断或徽章没拿到，人们会感到一种非常真实的失落感。

回到安全培训的话题。我们已经向许多客户证明，游戏化是真正改变组织安全文化、在应用安全团队与开发团队之间架起桥梁，以及帮助他们构建更高标准软件的关键。

目前，安全并不是开发人员的首要任务。通过在培训方法中加入友好、竞争和互动元素，你不仅能激励他们“玩”起来，还能让他们不断回来赚取积分、打破高分记录、提高准确性并挑战团队成员。

我们已经知道，成功的培训应该是这样的：

• 开发人员可以使用真实代码以及他们熟悉的语言或框架进行工作
• 挑战任务短小精悍，涵盖了所有常见的安全漏洞
• 挑战内容持续更新与扩展，确保开发人员能够不断提升技能
• 挑战难度各异，无论是资深开发人员还是初学者都能乐在其中
• 开发人员及其主管可以查看进度，包括已完成的挑战、优势与不足、培训时长以及整体准确率。

我们的一位大客户在推广平台时展现了游戏化学习的真正魅力：他们为开发人员配备了主题装备，为获胜者提供了丰厚奖品，让比赛成为了一段难忘的经历。此后，他们还举办了国际竞赛，整个团队至今仍保持着高强度的训练。

您的软件变革由此开启。澳大利亚银行业正引领潮流，通过游戏化培训来对抗劣质代码。这种极具创新性的方法彻底颠覆了传统（枯燥）的培训模式——看看我们的客户如何举办他们的 顶级锦标赛。您准备好与我们一起 提升团队水平 了吗？

我们必须努力改变现状，让安全成为每位开发人员工作生活中不可或缺的一部分。我认为实现这一目标的最佳途径之一，就是通过游戏化等方式，赋能开发人员并让他们积极参与到安全工作中来。