为什么支架式学习能培养出具备强大安全能力的开发人员

只需浏览几分钟科技新闻，你就会清楚地看到威胁形势正变得多么严峻。似乎每天都有关于重大漏洞、新威胁或网络攻击者与犯罪分子积极利用漏洞的报道。几乎每一项行业指标和报告都显示，网络威胁数量日益增加，大多数专家预测这种趋势在未来几年内将持续下去。

面对这些新威胁的，是一支人员短缺且捉襟见肘的 IT 安全一线队伍。尽管他们薪资高昂且对任何企业或组织都几乎不可或缺，但安全人员始终供不应求。在战略与国际研究中心进行的一项近期调查中，82% 的 IT 决策者表示其组织面临网络安全技能短缺的问题，71% 的人表示这种短缺已对组织造成了直接且可衡量的损害。报告指出，仅在美国，网络安全岗位就有超过 52 万个空缺，而该领域的从业人员仅约 94 万人。

目前全球约有 350 万个网络安全职位空缺，这意味着即使是愿意斥巨资招聘和留住顶尖人才的组织，也难以找到合适的候选人。平均而言，填补一个网络安全职位的耗时比其他职位长约 21%，甚至根本无法招到人。

开发人员赋能长期以来一直被忽视

我们在之前的许多博客中提到，可以利用开发人员来填补网络安全防御中的一些关键缺口。只是传统上，开发人员从未接受过网络安全培训。他们的工作表现几乎完全取决于部署的速度和时间。安全工作是后续应用安全（AppSec）团队的职责。

遗憾的是，这不仅仅是转换思路，要求开发人员突然开始将安全功能添加到应用程序和程序中的问题。即使他们愿意做出这些改变（调查显示许多人确实愿意），他们仍然需要培训才能实现这一目标。他们还需要高层管理人员的鼓励和支持，而获得有效的学习赋能是第一步，也往往是最大的障碍。

全球数百万个高薪、高安全性的 IT 安全职位长期空缺是有原因的。如果工作轻松，每个人都会涌入这个领域。学习如何打击威胁和消除代码中的漏洞非常困难，而且威胁形势瞬息万变。试图向相对精通技术的开发人员教授网络安全知识，如果使用过时快、不深刻且收效甚微的静态培训，是无法高效完成的，尤其是当这些要求被添加到他们本已繁重的工作日程中时。

搭建脚手架，攀登更高峰

使用传统方法教授网络安全技能，就像试图在双脚不离地的情况下建造摩天大楼。这是不可能的，因为学生没有掌握网络安全这一复杂领域中许多高阶概念所需的基础。为了弥补这一点，可以采用支架式学习的概念。

在使用支架式或“分层”方法进行技能提升时，通常会将较大的主题分解为离散的学习体验或概念。这确保了学生能够通过适当的练习和指导掌握每个概念，并为每个组件提供所需的所有支持。新的、更高级的概念会像建筑向上延伸时搭建的物理脚手架一样，叠加在已掌握的概念之上。通过这种方式，学生能够获得比在没有辅助的情况下更高的理解力和技能水平。

就像物理脚手架一样，当不再需要这些支持时，它们会逐渐被拆除，随着学生变得越来越精通，他们将承担更多的责任。

支架式学习主要用于减少学生在没有辅助的情况下尝试困难任务时，因感到沮丧、畏惧或气馁而产生的负面情绪和自我认知。但它在处理现代网络安全等极其困难的概念时也极具价值。这绝不是把开发人员当作孩子对待，当他们与安全团队的合作往往带来挫败感和打击感（尤其是当他们的辛勤工作被退回并附带漏洞修复要求和一连串批评时），这种方法会非常有帮助。

当开发人员获得理解安全编码基础知识（通常从 OWASP Top 10 开始）的工具时，他们可以亲眼看到安全漏洞是如何产生的、为什么它们很危险，以及如何在它们进入生产环境之前进行修复。在此基础上，他们可以通过解决更复杂的漏洞来扩展知识，并在应用有效的修复方案方面获得实践经验。层级一点点增加，当面对不安全的软件架构或参与威胁建模等高级安全问题时，这些跨越就不会显得那么令人生畏，并且可以精准地加以解决。

作为行业一员，我们不应期望开发人员成为安全专家，但企业可以采用新的开发人员赋能标准，从而产出更高质量的软件。对于正在进行技能提升的工程团队来说，额外的好处是，每一步或每一层支架的搭建，都将随着他们的学习直接转化为更好的网络安全水平。无需等到课程结束才能看到成果。

学习网络安全很困难，没有正确的帮助和指导，几乎不可能掌握它。采用支架式学习的安全计划可以帮助实现最大化收益，且效果几乎立竿见影。改进将几乎立即开始，并随着时间的推移持续提升。

与我们一起培养具备强大安全能力的开发人员；查看：

课程
任务
开发人员培训

……以及更多！