打造革命性的安全认证体验

一家一级金融机构如何打造革命性的安全认证体验

在安全合规方面，游戏能否成为打动开发者的关键？

作为一家拥有数百万客户、历史悠久且备受全球信赖的金融机构，该一级银行客户致力于创新并紧跟数字化转型步伐，他们将 Secure Code Warrior 作为其组织内部独特教育体验的一部分。

他们创建了一项内部技术教育计划，旨在支持数千名员工学习机器学习和网络安全等多个学科的实用前沿技能。

金融服务业目前正处于快速、彻底的转型期，许多公司正在调整其服务产品，以适应新兴技术的飞速发展。本质上，他们正在转型为以金融为核心的成熟科技公司。我们客户的方法不仅使他们能够跟上这一趋势，而且取得了比大多数同行更好（也更明智）的成果。他们投入巨资帮助员工掌握这些至关重要的前沿领域，从而在金融科技创新和专业知识方面处于领先地位。

为了成功执行该计划，我们的客户及整个团队认为，必须确保开发人员精通安全编码，并具备高度的网络安全意识。安全意识经理力求以积极的方式吸引团队参与，让他们从一开始就对安全产生浓厚兴趣。

挑战

我们的客户安全意识经理在安全行业拥有长期从业经验，这使他能够近距离观察到大型和小型公司对在线应用采用的爆发式增长，以及数字化团队的迅速扩张。他亲眼目睹了这种超大规模扩张后不可避免的专业孤岛现象，这最终成为许多安全和开发团队面临的问题：“在在线应用采用的早期阶段，开发人员确实会考虑安全性并将其应用于软件构建。然而，在日益孤立的环境中，一个团队负责开发操作系统，然后将其发送给安全团队进行分析，结果往往会带回一堆红色的标记和修改建议。虽然最终实现了安全，但这些发现和知识却消失在黑洞中，导致同样的问题反复出现，”他说道。

在谈到他在工作中经常遇到的安全问题时，他提到了“人的挑战”：

软件工程师的职责是构建功能，而安全有时被视为敏捷开发的巨大障碍。他们忙于自己的优先事项，往往认为安全是别人的工作。在极端情况下，有些人会认为：“好吧，目前还没出什么事。我们为什么要如此担心软件安全，为什么要打断我的开发周期？”在数字化程度日益提高的世界中，这种态度必须改变。我们不能将安全视为麻烦，而必须强调分担软件安全责任的重要性。

随着对开发工作的依赖日益加深以驱动我们的数字生活，他预见到了未来的挑战：作为一个社会，我们正成为黑客眼中的“待宰羔羊”，这对好人来说是一个日益不公平的竞争环境。开发人员需要认真对待安全问题，培养浓厚兴趣，并成为其组织（乃至任何严肃科技公司）的第一道防线。

因此，他着手彻底颠覆传统的培训方式。

实施

安全意识经理推动了我们客户设定软件质量新标准的整体理念。具体而言，即软件固有的安全水平是衡量其整体质量和产品可行性的指标。目前，在大多数情况下，安全与质量指标的联系并不紧密，当然，在评估软件时，它也远未像用户界面、速度和服务能力那样受到重视。

“安全必须成为高质量软件不可妥协的要求，”他表示。“它与可靠性相关，而可靠性是大多数企业，尤其是那些业务模式正在快速转型和数字化的企业所高度关注的问题。”

修复已提交代码中漏洞的成本，最高可达从一开始就进行安全编写的三十倍，因此，将可行的安全文化“植入”开发团队已成为一个关键目标。毕竟，扫描工具无法检测到某些漏洞，而应对这些漏洞最有效的解决方案就是拥有一支具备安全意识的开发团队。

安全意识经理详细介绍了他在其他培训形式方面的经验，其中许多形式至今仍被普遍用于“争取”并准备让开发人员应对日益增长的安全担忧：“当开发人员只能通过大量理论学习，或者更糟糕的是，通过不频繁的‘打勾式’合规培训来了解安全知识时，根本没有足够的实践学习或时间来产生持久的影响。我决心通过应用更有效的解决方案来改变这一点，”他说道。

高参与度带来的益处

在精明的安全意识经理及其团队的建议下，我们的客户实施了一项定制的认证计划，其中 Secure Code Warrior 平台是不可或缺的一部分。

他们对更有效、更具吸引力的开发人员培训解决方案的探索，使他们成为游戏化教学的早期采用者，并通过自身结构化、全规模的课程最大限度地发挥了其潜力和效能。

“将高参与度的培训融入企业文化，并吸引学员持续深造至关重要。该系统旨在通过深思熟虑的方式构建知识与技能体系，提升学员对安全工作的价值认同，最终让他们能够处理日常工作中接触的真实源代码，”他说道。

通过确保解决方案的全面性，涵盖行业标准安全最佳实践与内部准则，我们的客户得以迅速开展培训，从而对组织内部的软件安全产生了积极影响。

成果

客户的认证项目是一种成功且不断演进的培训模式，非常适合其内部技术教育设施等前瞻性计划。该深度课程以趣味、互动和激励的方式推出，确保所有学员都能获得最佳的知识留存效果，并获得支持以真正培养“安全第一”的文化与思维。虽然游戏化学习确实让过程更轻松，但该项目的核心实用性始终未变：即赋予开发人员识别并抵御应用程序中高风险漏洞所需的技能。

值得注意的是，该培训并非强制性，而是需要开发人员具备一定的内在动力。虽然通过提供激励和奖励给予了支持，但该项目在更广泛团队中的普及，主要得益于团队内部日益高涨的支持与认可。

除了持续培养关键能力外，该项目还有助于弥合开发团队与应用安全（AppSec）团队之间的隔阂，使双方达成共识，使用共同的语言，并形成共同利益。

该项目绝非流于形式的合规检查，而是已成为支持员工职业发展的重要基石，在网络安全这一全球增长最快的行业中提供了可衡量的技能提升。正是此类培训项目，将成为从源头提升软件安全的标杆。

快速概览

• 已完成认证并表示有兴趣成为讲师的学员反响空前热烈。这种自下而上的推广是促进口碑传播、提高参与度和整体安全意识的强大动力。
• 我们的客户正逐步将该项目推广至组织内 2500 多名开发人员，目前已有超过 90% 的人员活跃在系统中。
• 他们利用此培训助力员工的职业发展，确保员工掌握在瞬息万变的技术领域中发挥技能所需的知识。