泰雷兹如何实现开发人员驱动的安全模式

背景

泰雷兹集团（Thales Group）是一家法国跨国公司，致力于设计、开发和制造电气系统，以及航空航天、国防、交通和安全领域的设备与器材。Viswanath S. Chirravuri 是泰雷兹的软件安全技术总监。Viswanath（简称 Vis）最初以程序员身份开启了他的安全职业生涯。他目前是泰雷兹的高级安全领导者，在安全行业拥有超过 18 年的经验，并持有包括 CISSP、PMP 和 GSE 在内的 30 多项认证。他已在 18 个以上的国家培训了 3,000 多名软件专业人员。此外，Vis 在国际网络安全竞赛（如 Netwars）中赢得了 10 多枚 SANS 挑战币，并且是 GIAC 顾问委员会的活跃成员。我们采访了 Vis，了解他如何整合人员、流程和技术，在泰雷兹成功开展了一项安全代码学习计划。

现状

Vis 加入泰雷兹时，他指导各业务部门从渗透测试发现的漏洞源头入手，将其作为减少技术债务积压的潜在解决方案。应用安全团队当时使用了 7 家不同的供应商来巩固其安全态势——从 IAST/DAST 工具到渗透测试工具。Vis 希望通过流程与技术的深度整合，了解市场趋势并以可扩展的方式管理威胁，从而制定缓解策略。这意味着需要从纯粹的工具化方法转向一种具有强大教育成分的策略。他注意到许多开发人员缺乏安全背景或安全技能。他最初的方法是为开发人员提供关于 OWASP Top 10 等主题的课堂培训，但他很快意识到，考虑到线下教学所需的大量差旅以及需要覆盖全球数千名开发人员的需求，这种方式无法扩展。Vis 指出：

“安全与开发之间的比例永远会存在失衡。即使我能实现 1:1 的安全人员与开发人员比例，我也无法让他们时刻保持专注。要让我们的开发人员了解最新的攻击向量、最佳实践、新语言和新发现的漏洞，意味着我们需要能够促进开发人员的自主学习，并让他们能够按照自己的节奏进行。如果他们需要帮助，我可以提供支持，但我意识到，我不可能成为那个教他们如何修复每一个所发现漏洞的人。”

起初，开发经理们对开发人员在安全代码学习上投入的时间表示抵触，因为他们意识到许多开发人员是从零开始的。Vis 需要管理这种认知，即对安全代码学习的投入可能会干扰软件发布周期或拖慢关键任务的冲刺进度。他需要找到一种方法，适当地激励组织在敏捷安全代码学习上投入时间。Vis 采取了“以人为本”的态度来从源头解决漏洞，“人们常说安全占用了开发时间。对我而言，如果你开发的东西是不安全的，那从一开始就是浪费时间。你应该始终以安全的方式开发软件，从而节省修复那些本可轻易避免的漏洞的时间。我们都应该拥有交付可靠代码的共同目标。”

行动

Vis 心中有两个主要目标：确保软件安全并提高泰雷兹开发团队的安全意识。实施一个让开发人员能够独立并按自身节奏进行培训的计划至关重要。Vis 的策略是随着时间的推移建立一个安全社区，努力将安全编码与公司政策挂钩，并制定组织内部的安全代码学习准则。通过鼓励连接开发人员、测试人员、架构师和工程师的社区文化，他看到了激励的乘数效应。安全倡导者们脱颖而出，他们将安全视为日常工作的一部分，并帮助在整个组织内传播安全编码实践。Vis 评估了十几家安全培训供应商，并于 2019 年成为 SCW 的客户。对于泰雷兹而言，拥有一家能够覆盖其环境中所有编程语言和框架的供应商，而不是零散的解决方案，是一个巨大的优势。Vis 依靠 Secure Code Warrior 海量的内容，为安全计划中的开发人员构建了培训和自定进度的学习资源：

“OWASP Top 10 不仅仅是十个你需要知道的事情。OWASP 所涵盖漏洞的深度和多样性，结合编程语言的数量之多，可能会让人不知所措——我们在这些方面拥有的广泛挑战和覆盖范围，是选择 SCW 的关键因素。他们一直在增加新内容。深度、主题的多样性、最新的内容以及对安全代码设计原则的关注，确实让 SCW 脱颖而出。有了他们，这不再是一次性的培训，相反，我们获得了建立持续性计划的机会。”

Vis 和他的团队为安全代码学习计划的推广规划了四个阶段，并为每个工程角色设定了不同的里程碑：

重要的是，SCW 成为了漏洞修复的权威来源。Vis 没有依赖可能导致故障排除偏差的谷歌搜索，而是发布了来自应用安全团队和 SCW 内容库的指南，以便开发人员能够参考可信且权威的来源进行代码漏洞修复。据 Vis 所述：

“开发人员不应随意决定如何修复漏洞，以免在此过程中引入新的漏洞。我们通过 SCW 的 SCORM 集成将 SCW 视频整合到我们的学习管理系统（LMS）中，以确保开发人员学习到修复漏洞的正确方法。这也让我们能够确保那些交付安全软件的开发人员得到认可。我们要求他们达到一定的安全编码水平，并通过他们解决且不再重新引入的漏洞来跟踪这一进度。这样，他们付出的努力就能在公司内得到认可和重视。”

成果

Vis 和他的团队每月发布一份安全代码通讯，表彰公司内的顶级学习者。他们利用 SCW 查看评估分数、竞赛参与度和挑战完成情况，以扩大这些成就的影响力。这激励了其他开发人员也积极学习。他最初设定的关键绩效指标（KPI）侧重于在 2 年内减少漏洞总数。在实施 SCW 后，他注意到漏洞数量呈下降趋势。这些漏洞不再在源代码层面被重新引入。Vis 这样总结道：

“我们向管理层展示的 KPI 反映了我们所做的明智选择。我们很自豪能够拥有为客户提供业务信心的安全代码培训。我们因全面的安全代码培训计划而受到认可，并赢得了客户和同行的尊重。当你拥有这样一个计划时，它会为你的公司增加巨大的价值。”

核心要点

Vis 认识到，在任何安全计划中，人员、流程和技术都发挥着重要作用。通过专注于软件安全、开发人员知识储备以及合规性要求，企业能够构建一套敏捷的“安全代码”学习方案，从而逐步降低源代码中的漏洞。Vis 为该领域的专业人士提供了这些建议，旨在帮助他们提升开发团队的安全技能。