澳大利亚银行引领“开发人员作为第一道防线”的应用程序安全方法

澳大利亚初创公司 Secure Code Warrior 的联合创始人、资深安全软件布道者 Pieter Danhieux 表示，澳大利亚的银行正引领全球，致力于在软件开发人员中培养强大的安全意识。

Danhieux 指出，澳大利亚排名前六的银行中，已有五家通过 Secure Code Warrior 的在线、自定进度、游戏化学习环境，积极引导开发人员构建安全编码技能，并利用实时指标和报告来验证开发人员及团队的优势与不足。自 2016 年 8 月与一家大型银行签署首份合同以来，此后又陆续与四家银行达成了合作。

Danhieux 表示：“传统银行正面临来自非传统竞争对手的巨大压力，迫使它们加快上市速度、提升质量并增强灵活性。这促使它们采用了更敏捷的开发框架，但往往以牺牲安全性为代价，专注于功能的快速开发。”

他补充道：“目前数据泄露的平均成本已达 360 万美元，企业遭受此类影响的概率高达四分之一。全球大多数重大安全漏洞都源于编码错误，这使得黑客能够获得计算机网络的更高权限，从而窃取关键数据。”

Danhieux 先生列举了近年来发生的几起泄露事件，包括卡塔尔国家银行、伟易达 (VTech)、莫萨克-冯赛卡律师事务所（“巴拿马文件”事件）以及 TalkTalk，这些事件中的黑客均利用了软件安全实践不当的漏洞。

作为资深白帽黑客、SANS 研究所首席讲师以及 AISA 2016 年度网络安全专业人士，Danhieux 坚定支持将安全性从开发初期就融入其中的敏捷开发方法。目前，许多科技公司和越来越多的金融服务机构都在采用这种实践。

“转向敏捷开发为公司和客户带来了显著的速度优势，但也给预防安全漏洞带来了新的重大挑战。现在，每位开发人员都需要将安全意识融入基因，在保持开发速度的同时，减少那些修复成本高昂的安全漏洞。”

Secure Code Warrior 于 2015 年在悉尼和伦敦成立。当时，Danhieux 与其商业伙伴 John Fitzgerald 及其他三位澳大利亚网络安全专家决定，他们要帮助软件开发人员将安全性视为工作的核心职责。

Danhieux 先生表示：“当前的应用程序安全工具侧重于软件开发生命周期 (SDLC) 的后期阶段，这种方法支持检测和反应——即在编写好的代码中发现漏洞并进行修复。我们则专注于 SDLC 的最前端，让开发人员成为组织的第一道防线，从源头上防止漏洞产生。”

这家快速发展的初创公司目前在悉尼、伦敦、比利时和波士顿设有办事处，客户涵盖九个国家的领先金融服务、电信和技术企业。公司目前拥有 10,000 名活跃用户，在过去六个月中，客户数量翻了一番，收入增长了两倍。

澳大利亚网络安全增长网络 (AustCyber) 首席执行官 Craig Davies 预测，这种基于实践的证据导向型培训，将成为应用程序开发组织的一项基础性活动。

Davies 先生表示：“从一开始就进行安全编码的公司，不仅能显著降低风险，还能大幅削减产品创新过程中的成本并缩短开发周期。”

Danhieux 对澳大利亚的银行印象深刻，他认为这些银行已经认识到风险的真实性，并迅速采取行动降低了风险敞口。“全球范围内新客户加入 Secure Code Warrior 的速度表明，各地的金融服务机构都已意识到将卓越的安全性能融入每一行代码的重要性，而 Secure Code Warrior 正是快速且可持续解决这一挑战的简便方案。”

‍