统一的安全文化：Sage 如何打造其安全倡导者项目

Sage 是一家英国跨国企业软件公司，致力于为企业提供简单易用的薪酬、人力资源和财务软件及服务。截至 2017 年，它是英国第二大科技公司、全球第三大企业资源规划软件供应商，也是小型企业最大的软件供应商，在全球拥有超过 600 万客户。

背景情况

在与 Secure Code Warrior 合作之前，Sage 已经着手规划其安全倡导者网络约 10 年之久。尽管拥有强大的安全导向型开发人员网络，但培训工作零散且缺乏针对 风险降低 的结构化安排。

Sage 意识到，通过灵活的方法，花时间建立关系并将安全理念融入其中至关重要。Sage 的项目将其目标与风险降低及其带来的实质性影响挂钩。在某些业务部门试点该项目时，他们专注于如何衡量风险降低情况，并将其反馈给业务部门，从而赢得开发人员和高层领导的支持。

行动

Sage 以人为本的安全负责人 Mads Howard 与开发人员合作，深入了解安全倡导者的角色定位。她与各业务部门的开发人员会面并进行访谈，以了解他们的工作动力、学习偏好以及在工作中遇到的局限性。她和她的团队致力于与开发人员及其团队负责人建立联系，并强调在方法上保持灵活的重要性。

Mads 强调了建立关系的方法，

“我们花了很多时间与开发团队负责人、工程团队负责人和产品经理建立关系——这些人掌控着冲刺周期内用于教育培训的时间。”

据 Mads 所述，这归根结底在于扩大他们的安全倡导者网络，

“安全倡导者网络被视为该项目的关键控制点。因此，为了让产品顺利通过该项目，我们必须认真对待安全倡导者的角色，并为他们提供扎实的安全培训。”

Sage 全球安全团队的目标是实施一项安全控制计划，该计划充分考虑了开发人员在 复杂技术环境 下的学习需求，并选择了一个能够配合其 现有安全工具 以辅助漏洞管理的合作伙伴。

将教育视为成熟安全控制计划的重要组成部分至关重要。他们专注于通过以下指标衡量风险降低情况：

• 风险评分提升
• 漏洞存续时间 漏洞积压减少
• 解决时间
• 已关闭漏洞与未关闭漏洞的比例
• 每行 Sage 自研代码中的问题数量（不含第三方代码）

对于 Mads 而言，

“Sage 作为一家企业的下一个阶段，是要证明通过嵌入开发工作流的安全编码计划进行技能提升，能够带来可衡量的风险降低。”

成果

Mads 强调了 Secure Code Warrior 为她和她的团队提供的合作与指导的重要性，

“老实说，如果没有 Secure Code Warrior 的支持，我们不可能走得这么远，也不可能建立起这样一个在不同技术栈的开发团队中具备如此成熟度的项目。”

在 Mads 和她的团队完成访谈并赢得 开发人员的支持 后，她开始将 Secure Code Warrior 纳入更广泛的安全文化项目中。

据 Mads 所述，其结果是：

“目前已有超过 200 名安全倡导者加入了 Sage 的项目。如果每位倡导者每周投入 3.5 小时（即 10% 的工作时间）来提升技能，他们就能更好地推动安全编码项目、倡导持续培训，并展现出这些举措所带来的价值。”

在获得高层领导的支持并设定了明确的风险降低目标后，Mads 不仅能够通过平台参与人数和学习时长来衡量成功，还能通过漏洞修复时间、漏洞存续时长，并结合为客户开发的新功能进行对比，从而全面评估漏洞的减少情况。对于其中一个团队而言，成效显著——漏洞平均修复时间缩短了 82%。

Howard 补充道，更重要的是那些难以量化的因素，例如团队的参与度、投入度以及他们对参与该项目的意愿。

核心要点

Sage 的经验凸显了精心规划和执行安全培训的意义，以及采用灵活、集成化方法的重要性——对于任何旨在建立稳健安全编码项目的组织来说，这都是值得借鉴的经验。Mads 认为，关键在于与开发人员并肩作战而非对立，这是成功实施安全控制项目并将安全意识融入企业文化的秘诀。

• 建立安全文化并非一日之功。投入时间建立人际关系、逐步将安全理念植入日常工作并为此配置资源至关重要。
• 将一切与降低风险挂钩，并关注安全编码项目带来的实质性影响。
• 重点在于如何衡量这种风险降低，并将其反馈给业务部门，从而让开发人员和高层领导都能认可该项目的成效与价值。

对于希望成为安全倡导者的开发人员，她和她的团队也给出了以下建议：

• 建立一个由志同道合者组成的网络，积极参与各类会议和讲座。花时间深入钻研你感兴趣的课题。
• 请记住，组织文化的改变并非一蹴而就，需要时间来沉淀与成熟。

‍