为什么我们绝不能忽视网络安全中的人为因素

我们非常高兴地看到我们的董事长兼首席执行官 Pieter Danhieux 发表了首篇 福布斯技术委员会文章。文中详细阐述了如何通过提升开发人员的技能来编写更安全的代码，这是预防网络攻击和数据泄露的关键。不仅如此，文章还揭示了这些具备安全意识的开发人员如何能够比许多 IT 部门预期的更快地交付更优质、更安全的代码。这种方法的需求显然非常迫切。一项最新研究发现，目前每 39 秒就会发生一次网络攻击，我们也都目睹了仅一次成功的勒索软件攻击对 Colonial Pipeline 造成的破坏，而从宏观角度来看，这还不如 SolarWinds 黑客攻击 那样具有破坏性。

‍

许多常见漏洞之所以持续存在，是因为从未有人向开发人员展示过如何用更安全、更稳妥的方式来替代糟糕的编码模式，从而实现相同的功能。在软件开发的后期修复漏洞，无论是在工时投入还是部署延期方面，成本都极其高昂。在代码部署后，尤其是当攻击者利用了此前未发现的漏洞时，再进行修复有时会耗资数百万美元。这甚至还不包括重大泄露事件对公司声誉造成的损害。

接受过安全培训的开发人员自然会成为更优秀的程序员。当然，首席信息安全官（CISO）不应在短期内放弃安全工具，但通过从高层领导一种包容性的预防性安全方法，CISO 可以充分利用公司最宝贵的资源——人为因素，特别是在软件开发生命周期的最初阶段实现安全编码时。

为此，请牢记以下三大高层策略。

1. 主动出击，而非被动应对

企业往往会陷入被动应对的陷阱，例如，只是一味地响应竞争对手的举措，而不是制定和追求独特的愿景。在处理代码安全漏洞时，许多企业也默认采取这种方式，只有在遭受成功攻击被迫应对时，才开始重视网络安全。遗憾的是，到那时损失已经造成，罚款、恢复成本、客户流失以及品牌修复等问题都会直接影响利润。另一种非主动行为是依赖自动或手动代码扫描来查找现有代码中的漏洞，而不是从一开始就专注于编写安全的代码。遗憾的是，代码扫描并非完美的解决方案，这意味着代码中的漏洞越多，漏网之鱼的可能性就越大。

只有采取主动方法，并与开发人员合作，帮助他们从一开始就编写安全的代码，才能建立起一个显著降低编码漏洞发布给用户可能性的软件开发生命周期。

2. 提升技能，而非过度干预

一旦决定为开发人员提供编写安全代码所需的知识，就必须明智地选择方法。那种让编码工作停滞的内部培训研讨会会让开发人员和经理感到沮丧。要求在晚上或周末参加的外部课程则更不受欢迎。最好的方法是循序渐进地培养编码技能，在编码过程中逐步提供相关信息——这本质上是在不干扰开发人员或拖慢开发进度的情况下提升技能。

3. 激励引导，而非想当然

开发人员不应将安全技能提升视为惩罚或苦差事。管理者必须通过传达安全代码对公司成功的重要作用来激励开发人员。同样重要的是要让他们明白，具备安全编码能力的程序员对公司更有价值，未来也将享有更广阔的职业发展机会。

拜登政府备受赞誉的行政命令加强了对网络安全的关注，强调需要“纳入评估开发人员和供应商自身安全实践的标准，并确定创新的工具或方法来证明其符合安全实践”。然而，虽然工具至关重要，但仅靠工具是不够的。没有任何工具能完全消除个人忽视、误解、滥用或以其他方式绕过既定系统和工具的能力。为了最大限度地提高公司安全性，CISO 必须利用人为因素，鼓励开发人员成为积极的安全倡导者和实践者。