通往安全专家的进阶之路：Workday 如何利用敏捷学习提升开发人员技能

现状

在 Workday 引入 Secure Code Warrior 的敏捷学习模式之前，他们使用的是内部课程，内容仅包含 PowerPoint 演示文稿的录屏，涵盖 OWASP 十大漏洞及一些伪代码示例。安全开发者培训项目经理 Alex Uda 意识到，这种方式无法帮助他的团队乃至整个安全团队实现提升 Workday 整体安全态势的目标。由于开发者对这类培训很快失去了兴趣，他们决定开始征求反馈，并注意到有两个问题被反复提及：

1. 需要更多实操类型的培训
2. 需要更多针对特定语言的内容
   

行动

在与开发者合作的过程中，Alex 和他的团队确定了两个核心优先级，以赢得开发者的支持，从而打造一个引人入胜且成功的安全代码学习计划。

清晰与简洁

大多数开发者在入职时并不具备安全知识。任何令人沮丧或耗时的流程都会导致开发者转向变通方案或“黑客”手段。Workday 注意到，SCW 的优势在于它能让开发者清晰地理解流程，掌握主动权，并将其无缝集成到日常工作流中。

可操作性与价值

开发者最关心的首先是能够快速处理影响代码库或生命周期的问题。为此，开发者需要接受相应的技能培训。如果你想让开发者对安全等领域产生兴趣，就必须突出这些主题的价值。

在构建项目结构时，Alex 和他的团队首先从一组安全倡导者（Security Champions）试点小组那里收集了关于平台的反馈，并与客户成功经理合作落实了他们的建议。随后，Alex 和团队查看了 SAST 工具以及有关事故和安全事件数量的各项指标，以评估当前环境中的最高风险以及行业内的普遍情况。他们最初重点关注 OWASP 十大漏洞以及 Workday 内部最常见的高风险漏洞。
‍

“通过为开发者提供这种学习机会和自主权，SCW 使我们能够切实改进软件安全性。这不仅仅是为了写代码，更是为了获得成长和职业发展机会。Workday 对安全项目的支持源于全公司在这一目标上的高度一致，因此开发者能够获得专门的学习和发展时间。每周抽出两小时进行持续学习，有助于通过反复练习形成肌肉记忆。”
‍

成果

传统观念容易将安全视为开发流程的末端环节。通过与安全团队的合作，Workday 的开发者现在将安全视为开发周期中不可或缺的重要组成部分。他们能够更早、更迅速地处理安全问题，这是该项目带来的最大影响。以都柏林的一个团队为例，他们的安全问题数量在约 18 个月内从 4662 个（平均每天约 31.08 个）降至 0 个。

Alex 将该项目的成长描述为：“在我们从核心安全倡导者开始后，产生了一种滚雪球效应。随着我们向领导层推广该项目及其益处，并不断扩大成员规模，口碑效应带来了自然的增长。从培训的角度来看，我们的目标是赋予开发者安全编写代码的必要技能。随着 Workday 的持续扩张，这一点尤为关键。”

核心要点

Alex 表示：“为了成功扩展安全能力，开发者必须具备安全思维，以便在软件设计的早期阶段识别安全风险。这符合我们‘安全左移’的倡议，即赋能开发者，从而节省时间、金钱并减少不必要的麻烦。我们在安全代码学习方面做得越好，扫描和渗透测试结果中出现的漏洞就越少。”

对于开发者来说，在学习安全知识时保持乐趣非常重要
SCW 非常擅长展示其中的趣味性。如果你正在参与安全学习，请全身心投入。将其视为开发流程和职业成长的一部分。

‍鼓励开发者在对安全感兴趣时主动联系团队
进行交流，开启协作。‍

将安全视为“黑盒”或项目的附加组件是过时的做法，最终只会损害你的软件。
将安全融入开发流程——就像我们拥抱 TDD（测试驱动开发）、敏捷开发和代码检查（linting）一样——将改善工作流并提高交付给客户的软件质量。