荷兰商会：大规模开发者驱动的安全实践

核心要点

荷兰商会（KVK）构建了一套现代化的、以开发人员为先的安全计划，成为行业典范。通过与 Secure Code Warrior 合作，KVK 将安全编码实践嵌入到日常开发工作流中，建立了一套在全组织范围内推行的结构化认证计划，并实现了可衡量的风险降低，充分证明了主动式、以开发人员为驱动的安全策略的强大力量。主要亮点包括：

“我们原本就拥有坚实的安全基础，但我们希望更进一步，让安全成为每位开发人员的第二天性。这就是我们与 Secure Code Warrior 合作的原因，我们将教育作为战略基石，使我们的团队能够从一开始就充满信心地构建安全软件。”

—— Sebastiaan Rijnbout，开发服务产品负责人

‍挑战

建立以开发人员为先的安全思维

荷兰商会（KVK）在支持荷兰企业家方面发挥着关键作用。作为负责注册企业、法人实体和从事经济活动的组织的官方机构，KVK 致力于促进透明度并加强商业生态系统的完整性。除了注册职能外，KVK 还就法律法规指导、融资见解、最新发展和网络安全等关键创业议题提供宝贵的信息和建议。通过提供可靠的数据并与国家及区域经济利益相关者合作，KVK 帮助为企业家创造了一个安全且信息灵通的成长环境。当 KVK 开始进一步提升应用安全时，他们已经具备了包括渗透测试在内的基础安全措施。虽然这些措施提供了宝贵的见解，但 KVK 意识到有机会在开发生命周期的更早阶段扩展安全能力，并赋能开发人员主动承担降低风险的责任。

2022 年，KVK 选择了 Secure Code Warrior，并以开发人员为核心启动了首个安全编码培训计划。这一最初旨在吸引开发人员参与的基层工作，迅速演变为一个由领导层和 CISO 办公室支持的跨职能项目，将安全开发从一种愿景转变为组织标准。

解决方案

构建文化，而不只是一个项目

在 CISO 的支持下，KVK 的安全软件开发生命周期团队与 Secure Code Warrior 合作，制定了全组织范围的战略，并建立了一套强制性的、基于角色的认证计划，旨在：

KVK 利用 Secure Code Warrior 平台的灵活性，创建了符合其独特组织需求的认证计划。通过将培训项目与特定角色挂钩，新员工从 OWASP Top 10 意识培训开始，而高级工程师则处理与实际工作流相关的进阶场景练习。冠军级开发人员负责指导同行、促进知识共享，并帮助在各团队中扩展安全专业知识。KVK 的计划包括年度重新认证，以确保技能保持最新；随着组织不断扩大覆盖范围并适应 AI 驱动的漏洞和新兴威胁等新风险，该计划正在全面实施中。

“将认证整合到我们的开发流程中是一个转折点，” Sebastiaan 表示。“它向每位开发人员表明，安全是共同的优先事项，也是我们构建软件的自然组成部分。有了 Secure Code Warrior，学习不再是一次性的活动，而是持续的、情境化的，并无缝融入了我们的日常开发文化中。”

结果：培训内容显得相关、可实现，并与开发人员的日常工作直接挂钩。到 2024 年初，90% 的 KVK 开发人员获得了基础级认证——这一里程碑不仅验证了该战略的有效性，也标志着向开发人员主导的安全文化迈出了重要一步。

成果

实际影响，可衡量的进展

KVK 在安全开发方面的投入以及与 Secure Code Warrior 的合作带来了显著成效：

KVK 利用 SCW Trust Score® 作为基准，根据关键安全指标衡量组织对安全编码实践的投入程度。在六个月的时间里，KVK 的信任评分显著提升，跻身全球组织前 12% 的行列。

“SCW Trust Score 为我们提供了清晰、数据驱动的洞察，让我们了解风险所在，并将培训重点放在最关键的领域，” Sebastiaan 解释道。 “它不仅是一个基准，更是一份路线图，帮助我们证明进展，并展现安全开发带来的实际商业价值。”

KVK 与 Secure Code Warrior 携手合作，为开发者驱动的安全模式树立了新标杆。通过整合强有力的领导力、清晰的战略和可衡量的成果，他们已将安全开发转化为核心业务能力，不仅满足了合规要求，还成为了行业典范。借助与 ISO 27001/27002 认证标准对齐的 SCW 报告，KVK 还能在审计期间验证其项目的有效性，证明安全开发不仅是建议，更是必须。

KVK 计划将其认证计划从工程部门扩展至 QA 测试人员、DevOps 和低代码开发者，进一步强化安全是全组织共同责任的理念。他们还计划引入 SCW 专注于 AI/LLM 的内容，以帮助开发者在使用 GitHub Copilot 等工具时进行安全编码，并正与 SCW 专业服务团队合作优化 Trust Agent 的部署。这些努力展示了当安全编码成为全员而非仅是开发者的共同责任时，所能达成的成就。

“我们与 Secure Code Warrior 的合作非常顺畅且富有成效，” Sebastiaan 表示。 “他们协助我们实施并改进了培训计划，从而实现了可衡量的风险降低，并构建了更强大的安全开发文化。”

通过与 Secure Code Warrior 的合作，KVK 已为安全开发奠定了坚实基础，而这仅仅是一个开始。