Secure Code Warrior 研究：关键基础设施行业在“安全设计”开发人员就绪度方面取得进展

Secure Code Warrior 与 Paladin Global Institute 联合发布的最新分析报告强调，提升开发人员技能对于准确衡量“安全设计”（Secure-by-Design）的进展至关重要 

‍

波士顿 – 2024年10月15日 - 全球开发人员驱动型安全领域的领导者 Secure Code Warrior，于今日发布了关于开发人员技能提升及其对企业“安全设计”（SBD）计划影响的最新研究结果。自2024年4月以来，包括 Secure Code Warrior 在内的超过 200 家企业签署了“安全设计”承诺。最新分析显示，金融服务、国防、医疗保健和 IT 等关键基础设施行业的企业，在培养开发人员以推进 SBD 计划方面正取得进展。Secure Code Warrior 发现，通过 SCW 信任评分（SCW Trust Score）（一项量化开发团队安全能力的全球基准）衡量，这些行业的开发团队所展现出的安全态势优于其他行业。

首席信息安全官（CISO）发现，在 SBD 计划的早期阶段证明其真实投资回报率（ROI）正变得愈发困难。近年来，缺乏评估企业是否符合行业标准的基准，已成为一项主要挑战。实现“安全设计”计划的关键，不仅在于赋予开发人员编写安全代码的技能，还在于向行业和政府监管机构证明这些技能已落实到位。

“现在，我们比以往任何时候都更有国家责任去确保 SBD 技能提升计划的落实，”Paladin Capital Group 高级战略顾问、前美国国家网络总监 Chris Inglis 表示。“风险降低是这项最新分析的核心，Secure Code Warrior 正引领潮流，致力于提升开发人员的安全学习能力，预防网络攻击，并加强我国关键基础设施的建设。”

关键发现：Secure Code Warrior 对关键基础设施行业开发人员技能提升的分析，基于全球 600 家企业客户和超过 25 万名活跃开发人员的 2000 多万个数据点。分析发现：

• 目前参与以开发人员为中心的 SBD 技能提升计划的开发人员总数，不到全球开发人员总数的 4%。
• 某些关键基础设施行业（如金融服务业）的 SCW 信任评分所衡量的安全态势，高于非关键基础设施的平均水平。例如，金融服务业的平均信任评分为 336。
• 但令人惊讶的是，尽管有合规和监管要求，金融服务业的安全态势与其他几个关键行业相似。
• 大规模和小规模的“安全设计”技能提升计划均可取得成功，研究表明，小规模计划能够快速启动并高效运行。但要使这些计划取得成功并更快地实现可衡量的投资回报率（ROI），研究显示必须建立强制性要求。
• 当技能提升计划稳步落实时，开发人员在应用程序中引入的风险会显著减少。分析发现，大型技能提升计划（单家公司超过 7000 名开发人员）中的开发人员可将漏洞预期减少 47-53%。

随着各国将类似的指导方针纳入其更广泛的网络安全战略，“安全设计”在全球范围内正获得发展动力。然而，如果没有合适的数据点来构建开发人员技能基准，就很难为开发人员提供安全默认设置，并培养出一支具备安全意识的软件开发人员队伍。当敏捷技能提升计划建立在既定基准之上，并通过解决开发人员面临的实际问题的实践课程进行时，往往能引起开发人员的共鸣。

“在全球网络威胁空前严峻的当下，这些新发现证明了在我们的数字基础设施中加强 SBD 计划以减少关键漏洞的必要性，”Paladin Global Institute 主席、前美国国家网络总监代理人 Kemba Walden 表示。“这项研究发出了明确的行动号召，要求提升人员技能并建立基准，以实现关键的网络安全目标。”

“基准和标杆可以通过将安全编码作为企业基因的核心部分，极大地优化组织的安全态势，”Secure Code Warrior 联合创始人兼首席技术官 Matias Madou 表示。“要了解 SBD 计划是否取得了实质性进展，你需要量化证据来证明开发人员的技能提升工作是有效的，并且他们已将安全最佳实践融入到工作习惯中。你必须完全确信开发人员已经真正获得了编码的‘执照’。”

许多安全领导者一再强调，扩展企业安全计划的大多数要素（尤其是涉及持续技能提升和个人评估的要素）存在困难。这是一个合理的担忧，但随着全球多项立法改革和指导方针要求开发人员必须具备经过验证的安全技能，这一挑战必须被克服。全球许多组织正在采取行动，并实施了已产生重大影响的大规模技能提升计划。

如需了解更多关于 Secure Code Warrior 最新分析和 SCW 信任评分的信息，请点击此处。

‍

关于 Secure Code Warrior：

Secure Code Warrior 是一个安全编码平台，致力于制定保障数字世界安全的标准。我们提供全球领先的敏捷学习平台，为开发者提供最有效的安全编码解决方案，以学习、应用并保持软件安全原则。超过 600 家企业信赖 Secure Code Warrior，通过其实施敏捷安全学习计划，确保所发布的应用免受漏洞威胁。

如需了解关于 Secure Code Warrior 的更多信息，请访问 www.securecodewarrior.com。