“代码游戏”如何引领 IAG 集团迈向更安全的编码未来

IAG 集团是亚太地区多家领先保险公司的幕后推手，每年为数百万客户承保的保单金额高达约 114 亿澳元。Bianca Wirth 是 IAG 集团的企业安全教育与意识经理。她敏锐地意识到开发团队内部加强安全意识和实践的必要性，于是着手打造了一个真正创新且最优的环境，让团队能够学习至关重要的安全编码技术。

登场：代码游戏 (Game of Codes)

挑战

开发人员往往时间紧迫，手头同时处理着多个交付任务和项目。然而，对于任何组织而言，紧跟安全最佳实践都至关重要，更不用说像 IAG 这样需要保护数百万份敏感客户资料免受黑客攻击的企业。Bianca 和她的团队为实现网络安全计划的稳健性设定了明确目标。他们确定，首要任务是最大限度地减少 IAG 自研应用程序的攻击面，而实现这一目标的途径是教育开发人员识别并修复关键及高风险漏洞。虽然市面上不乏冗长的安全编码培训课程，但它们往往枯燥乏味，且会占用关键人员的时间，影响开发项目的交付进度，从而给整个业务带来压力。因此，如何在对工作量和运营影响最小的情况下快速提升开发团队的技能，显得尤为迫切。此外，IAG 的开发人员分布在澳大利亚和新西兰，他们所使用的系统各不相同，这无疑是一项艰巨的任务。

“今年，我修改了源代码，成功移除了一个 SQL 注入漏洞。这要归功于‘代码游戏’。即使只是让安全编码保持在脑海中也很有帮助。这场竞赛是激励大家全力以赴的好方法……毕竟，说实话，安全并不是每个人都感兴趣的话题，所以这是一种让大家参与进来的好方式。” R，IAG 开发人员

实施

Bianca 制定了游戏化培训体验的推广策略，与她的团队及 Secure Code Warrior 合作，通过举办锦标赛和培训来提升内部开发人员的技能。为此，建立一套完善的沟通策略至关重要，同时还需兼顾员工在采用全新平台并充分发挥其潜力时，所表现出的不同动机和个性：

“我们设计了一份沟通计划，涵盖了如何向员工和关键利益相关者传达必要信息、核心要点，以及我们为鼓励他们参与而提供的激励措施。大多数人真的很享受这种游戏化体验。这取决于他们的个性、动力以及驱动他们的因素。因此，我们尝试满足不同人群的各种激励需求。对一些人来说，他们喜欢奖品；而对另一些人来说，成就感本身就足够了。” 她说道

Bianca 和 IAG 巧妙地展示了 Secure Code Warrior 的游戏化学习平台，将锦标赛转化为一场妙趣横生的竞赛体验，并将其命名为“代码游戏”。员工们被分配到以中世纪为主题的家族中（并配有品牌周边商品），进行了一场堪比 HBO 同名剧集的激烈对决。

该锦标赛甚至已走向国际舞台，即将举办澳大利亚对阵新西兰的比赛。这让 IAG 有机会发掘两国最顶尖的安全专家，并确保各团队能够共同提升技能。

成果

“代码游戏”实际上是一项专业化的培训计划。将其作为一场互动且有趣的锦标赛进行推广，确保了员工能够以多种方式保持参与度，但该活动的核心实用性依然不变：即赋予开发人员识别并阻止 IAG 自研应用程序中高风险漏洞所需的技能。

通过确保开发人员和安全团队都具备“安全第一”的思维模式，并不仅能识别漏洞，还能从源头修复漏洞，IAG 预计将减少昂贵的渗透测试工作，并减轻执行这些测试的团队的压力。

除了持续培养这一关键能力外，“代码游戏”还有助于建立人际关系，在相关团队之间注入了同志情谊和良性竞争感，同时也让个人在看到自己在积分锦标赛环境中的表现时，对自己的安全编码能力感到更加自信。

Bianca 表示，该计划在内部获得了巨大的支持，并受到了高管团队的积极评价。这也促成了一个大使计划的诞生，那些热衷于推广该计划并倡导组织内部安全文化的人员可以参与其中：

“这对一些开发人员来说是一次极好的曝光机会，也是对他们技能的绝佳宣传。他们从中受益，并将其应用到自己的日常工作中，这一点非常重要。”

“代码游戏”远不止是一场“游戏”，也不是部门经理完成合规培训的简单方式，它提供了一种高留存、高参与度的解决方案，能够迅速将安全新手转化为安全专家，这对于最大限度地降低大规模安全漏洞的风险至关重要。

最后，来自 Bianca 本人的终极建议：

“如果你推出任何项目却指望人们能直接使用，那是行不通的。你需要围绕它设计一套方案，去引导并激励行为的改变。我们所构建的，本质上就是一个专注于安全性的开发者变革管理项目。”

“在参加了‘代码游戏’（Game of Codes）培训课程后，我发现自己对安全性产生了更浓厚的兴趣，在编写自动化测试时也会主动考虑安全因素。作为敏捷团队的一名高级测试员，这些培训激励我深入学习安全测试，并将其视为未来可能的专业方向。”A，IAG 高级测试员

核心速览

• 除了游戏化学习，IAG 还将 Secure Code Warrior 作为开发者招聘中的技能测试工具。
• 他们正逐步将该项目推广至全体开发团队，目前已有 55% 的成员活跃在系统中。
• 他们制定了一套关键的内部指标，用于衡量该项目在降低风险和削减长期成本方面的成效。
  ‍