高露洁棕榄如何提升开发人员安全技能并营造安全编码文化

摘要

关于高露洁棕榄

高露洁棕榄公司是一个享誉全球的消费品品牌，深受千家万户的喜爱。尽管拥有两百多年的历史，他们仍是一家锐意创新的成长型企业，致力于利用数字化手段为人类、宠物和地球重塑更健康的未来。

现状

正如大多数企业一样，高露洁棕榄正在经历数字化转型以更好地服务客户，这也促使其改变了应用安全的方法。

高露洁棕榄首席信息安全官 Alex Schuchman 这样说道：

“保护客户数据对我们至关重要，这不仅能建立对我们产品的信任，也能增强客户与我们进行数字化互动时的信心。”

但对 Alex 而言，挑战在于如何从根源上防范潜在的客户数据泄露——即代码本身。

“在转任首席信息安全官之前，我曾从事应用构建工作，这段经历非常有帮助。我深知收到应用安全团队反馈的工单时的痛苦，也理解因返工而错过截止日期的挫败感。因此，我担任首席信息安全官的目标不仅是提高软件开发生命周期中的安全性，还要简化其实现流程。”

行动

高露洁棕榄通过将安全培训拆分为碎片化的短小模块来应对这一挑战。这使得开发人员更容易接受，并能将其融入日常工作流，而非以往那种冗长且单一的合规培训。通过利用 Secure Code Warrior 敏捷且情境化的安全编码学习方法，开发人员能够在实际项目背景下理解漏洞，从而提高了参与度并实现了安全编码技能的长期留存。

“我希望在推广这些最佳实践的同时，保持开发人员的参与热情，”Alex 表示，“我们依然保留了项目中强制性的关键部分，但通过让培训内容易于管理并倾听开发人员的反馈，该项目取得了成功。”

高露洁棕榄实施了 Okta 工作流来管理 GitHub 存储库，仅允许通过特定 SCW 评估的开发人员提交拉取请求，如下图所示。

成果

Alex 表示：“我们深知，要实现最优效果，必须从一开始就让开发人员参与进来。因此，我们确保开发人员了解他们是项目成功的关键。结果，我们发现安全团队与开发人员之间的关系得到了显著改善，大家真正像一个团队一样共同推进项目。我们正在现有成功的基础上，继续扩展和提升安全成熟度计划。”

核心要点

1. 明确项目目标，并强调开发人员的投入与参与。如果安全编码学习计划能融入工作流并与日常使用的开发工具集成，开发人员会更愿意接受。
2. 使用 Okta 等 SSO 工具来管理代码存储库可以激励团队。只有在特定 SCW 课程和评估中取得合格成绩的开发人员，才被允许提交拉取请求。
3. 随着时间的推移，建立一种促进应用安全团队与开发团队之间紧密合作关系的安全文化。

‍