安全代码培训如何助力金融服务行业的数字化转型

金融服务机构面临着一系列挑战，这些挑战的核心在于它们能否在瞬息万变的金融世界中高效、有效地利用技术。

在竞争激烈的云端商业环境中，各机构正处于内部和行业层面快速变革的时代。例如，在推进数字化转型的过程中，各机构正致力于克服组织摩擦，这种摩擦阻碍了对人工智能等新技术的投资，而这些技术本可以加速支付流程及其他业务程序。

当然，他们始终关注着如何满足各类监管要求，从《萨班斯-奥克斯利法案》（Sarbanes-Oxley Act）对财务记录管理的规定，到支付卡行业数据安全标准（PCI DSS）对持卡人数据的保护要求，再到《加州消费者隐私法案》（CCPA）和欧盟《通用数据保护条例》（GDPR）中关于个人信息保护的条款，不一而足。

罚款及其他违规成本可能会迅速累积。IBM 的《2023 年数据泄露成本报告》显示，“高违规水平”组织的平均成本总计达 505 万美元，这比实际数据泄露的平均成本还要高出五十多万美元。

谈到数据泄露，网络攻击依然是金融机构的祸患，金融业是遭受网络攻击第二多的行业。根据 Sophos 的《2023 年金融服务业勒索软件现状》报告，仅勒索软件攻击就急剧增加，从 2021 年的 34% 上升到 2022 年的 55%，并在 2023 年达到 64%。根据Statista的数据，美国金融服务行业的数据泄露事件（包括数据泄露和私人数据暴露）数量从 2020 年的 138 起增加到 2023 年的 744 起。

在上述任何领域——无论是内部效率、合规性还是安全性——出现失误，都会威胁到机构的声誉，进而影响客户忠诚度，而这正是金融服务的命脉。为了保持竞争力和取得成功，机构需要建立客户信任，而这一切始于确保其软件、系统和流程的高效与稳健。其核心正是安全的代码。

开发人员正面临着前所未有的压力，需要以更快的速度创建、更新和部署应用程序与服务。这意味着他们需要开发和处理更多的软件代码，无论是内部开发人员编写的代码、人工智能生成的代码、从开源存储库获取的代码，还是第三方提供的代码。

代码的质量和安全性对于确保有效运营至关重要，但这往往是机构做得不足的地方。随着代码量的增加，错误、缺陷和漏洞的数量只会不断增长，除非在软件开发生命周期（SDLC）的早期阶段就予以纠正。

机构需要“左移”策略，以创建更安全的代码并尽早纠正错误。针对安全编码最佳实践的敏捷培训可以为构建安全、可信的应用程序奠定基础，这不仅能降低机构的风险，还有助于推动业务成功。

趋势 1：人工智能开发工具

人工智能创新依赖于安全代码

人工智能，尤其是生成式人工智能，正迅速渗透到商业、教育和日常生活的方方面面。在生成式人工智能的众多应用中，编写代码是一项显著的功能。这总体上是有益的，但也引发了与人工智能使用紧密相关的一个问题——安全性。作为新技术的早期采用者，金融机构需要确保在提高生产力与安全、负责任地使用人工智能之间取得平衡。

迄今为止，人工智能主要用于辅助代码开发，而非自动化修复流程，其影响也大多是积极的。GitHub 进行的一项调查显示，超过九成的美国开发者正在使用人工智能编码工具。受访者表示，其优势包括提高生产力（53%）、让开发者能够专注于创造性而非重复性任务（51%），以及防止职业倦怠（41%）。

大型银行和其他金融服务机构比其他行业的企业更有可能成为人工智能的早期采用者。毕竟，金融机构本质上就是科技公司，因为它们有资金大规模投资新技术，并且始终在寻求竞争优势。

尽管有些人担心人工智能会取代人类员工，但这项技术实际上在与人类协作时效果最佳。然而，开发者需要的不仅仅是敷衍了事的培训，他们需要精准的培训，以真正掌握现实环境中的安全最佳实践，从而不仅能亲自编写安全代码，还能胜任对人工智能编程助手的监督工作。

例如，SCW 培训中的一项练习SCW 的培训会提示大语言模型（LLM）更改一段真实代码片段的内容，以修改其功能。人工智能会生成一个代码块作为响应，但该代码块容易受到跨站脚本攻击（XSS）。这种培训旨在确保开发者能够识别出此类漏洞。

人工智能与开发者可以高效协作，但前提是开发者必须接受足够的培训，以确保人工智能生成的是安全代码。

人工智能的编码错误可能会迅速蔓延

在学习编写代码的过程中，人工智能模型会摄取数以千计的代码示例，就像另一个模型在为用户创作故事或诗歌之前会摄取数以千计的散文或诗歌示例一样。但无法保证人工智能模型不会借鉴包含错误的代码示例。由于人工智能模型的工作过程并不透明，错误往往在事后才会被发现。而且，如果不加以纠正，人工智能会不断重复这些错误。

人工智能研究人员的一项早期研究发现，人工智能生成的代码引入了严重的缺陷，包括跨站脚本（XSS）漏洞、易受代码注入攻击，以及人工智能生成代码所特有的新漏洞，例如与提示词注入相关的漏洞。如果人工智能工具在未经检查的情况下被用于编写代码，劣质代码可能会迅速传播，导致软件世界——本身就已经存在大量漏洞——变得比以往任何时候都更加不安全。

人类开发者与人工智能模型在开发代码时必须通力合作，确保遵循安全编码的最佳实践。这不仅能让金融机构获得速度和效率提升带来的红利，还能降低若缺乏人工干预可能导致的灾难性风险。

金融机构应在安全开发领域发挥引领作用

人工智能（尤其是以 ChatGPT 为代表的大型语言模型，以及其他能够自主生成内容的生成式 AI）的飞速发展并非一帆风顺。AI 模型曾出现过错误、产生偏见，并导致了AI 幻觉，这引发了社会对加强监管的呼声。例如，白宫已发布了一项行政命令，旨在规范 AI 的开发与使用。此外，白宫还提出了《人工智能权利法案》，旨在保护公众免受 AI 相关风险的影响。然而，任何政府举措的落地都离不开与 AI 开发科技公司的合作，而其中许多公司已承诺恪守道德标准的数据，美国金融服务行业的数据泄露事件（包括数据泄露和私人数据暴露）数量从 2020 年的 138 起增加到 2023 年的 744 起。

金融服务行业也极有可能实施强有力的内部控制。企业固然追求竞争优势，但深知信息安全——无论是内部数据还是客户数据——始终是重中之重。同时，他们还必须确保满足监管要求，例如美国货币监理署 (OCC) 或欧洲中央银行 (ECB) 针对欧洲业务所制定的相关规定。

作为 AI 的早期采用者，银行和金融机构热衷于探索 AI 如何提升效率，并积极通过赞助创新中心等方式挖掘 AI 的潜力。但企业同样需要建立管控机制以确保安全。早期采用技术总是伴随着固有风险，随着 AI 应用规模的扩大，必须在风险与收益之间取得平衡。例如，企业在应用 AI 的初期阶段，通过进行优势、劣势、机会与威胁 (SWOT) 分析将大有裨益。

AI 的有效应用始于安全代码

金融行业能否有效利用 AI 取决于安全性，而这又依赖于确保 AI 生成的代码从一开始就是安全的。企业需要确保拥有高素质的工程师团队，对 AI 代码编写进行严格监督，及时发现并纠正错误。与提供敏捷开发培训及其他安全合规服务的公司合作，是建立稳健安全态势的良好开端。

风险环境瞬息万变，尤其是在软件开发周期中。作为 AI 的早期采用者，金融机构必须在安全、负责任地使用 AI 方面发挥表率作用。一些大型金融机构甚至有能力影响政府政策。通过采取措施，让 AI 模型与开发人员协同工作以确保代码安全，金融机构能够为其他行业树立最佳实践标杆。

Integrations

You can learn more from SCW’s whitepaper explaining the role AI can play in code writing and why it’s essential that developers are thoroughly trained in recognizing secure coding patterns and the vulnerabilities that result from unsecure code.

Download Whitepaper

‍趋势 2：监管力度加强

代码是合规监管的核心

实施安全编码实践的一个重要驱动力，是金融机构必须确保其业务符合相关监管要求。根据所处理交易类型的不同，金融机构需要遵守一系列适用的法规。

例如，PCI DSS 4.0作为支付行业数据安全标准的最新版本，是一项旨在保护信用卡和支付卡数据及交易的全球性标准。该标准旨在防止欺诈及其他滥用行为，适用于所有存储、处理或传输持卡人数据的组织。虽然它并非法律，但通过合同强制执行，并有助于防止数据泄露，从而避免违反 GDPR 等其他法规。

另一项法规，即《数字运营韧性法案》（DORA），是欧盟金融服务领域具有约束力的风险管理框架，涵盖金融机构及其第三方服务提供商。DORA 制定了技术标准，旨在统一欧盟内部的风险管理实践，建立通用标准。

由环球银行金融电信协会（简称 Swift）发起的合作项目，为全球金融行业的资金转账设定了标准。Swift 的客户安全计划（CSP）制定了客户安全控制框架（CSCF），并每年进行更新。Swift 在 200 多个国家的 11,000 多名成员均使用 CSCF 来规划自身的安全控制措施，并证明其合规水平。

这些法规的共同点在于，它们都试图为金融服务行业的数据和交易保护设定高标准。合规不仅能保护客户的数据和资金，还能帮助机构规避因安全不足而导致的后果，包括因违规而面临的罚款和处罚、声誉受损，以及在发生泄露时失去投资者的信任。

开发人员必须跟上不断变化的监管环境

安全编码为那些希望满足适用法规要求，以及美国货币监理署（OCC）或欧洲中央银行（ECB）要求的组织提供了坚实的基石。采用 Secure Code Warrior 平台或其他类似提供商平台的核心驱动力之一，在于通过实用且引人入胜的环境对开发人员进行安全编码培训。

在处理复杂且不断变化的监管要求时，这种培训至关重要。法规始终在演进，不断增加新的、往往更复杂的要求。虽然法规在某一年内可能不会发生剧烈变化，但组织应预期每隔几年就会出现重大调整。

例如，自 2024 年 4 月 1 日起强制执行的 PCI DSS 4.0 版本，对 2022 年发布的 PCI DSS 3.2.1 进行了多项重大更新。它实施了一种定制化方法，使组织在满足要求时拥有更大的灵活性，更侧重于结果而非简单的核对清单。此外，它还增加了关于身份验证控制、密码长度和共享账户等方面的多项新要求。同时，它还要求组织明确界定满足每项要求的角色和职责。

值得注意的是，4.0 版本还要求从事定制软件开发的开发人员至少每 12 个月接受一次软件安全培训，内容包括安全设计和编码技术，以及在应用测试工具时如何利用这些工具检测漏洞。该版本还规定，渗透测试中发现的每一个漏洞都必须进行修复，无论其严重程度如何，且团队必须进行第二次渗透测试以确认修复成功。

尽管法规的变更通常是渐进式的，但它们也具有事件驱动的特性——重大的安全泄露事件可能会引发突然且广泛的变革。例如，90 年代中期摩根大通 8700 万账户泄露事件震撼了监管领域，监管机构提高了对开发人员和技术社区的期望，并要求银行提供其所采取措施的证明，以及如何应用从泄露事件中吸取的教训。

合规性取决于底层代码的质量

用于满足这些要求的代码质量，对新功能的性能表现有着重大影响，并在公司完成每年必须提交的详尽《PCI DSS 合规报告》时发挥作用。随着法规日益复杂，安全编码的影响力也相应增大，在降低风险和加强组织软件管控方面发挥着实质性作用。

合规对于金融机构至关重要，因为这关系到与客户建立信任。安全编码还有助于改善客户体验，因为一切都依赖于与可靠软件的无缝交互，这有助于建立客户忠诚度。

用于创建新应用和服务的代码对整个企业都有影响。它对于提高效率、管理云迁移以及在快速发展的商业环境中实现其他功能至关重要。但代码必须绝对安全，且必须满足合规要求，企业才能取得成功。

Integrations

Read the no-nonsense guide to getting your development team on board with PCI DSS compliance, including how security professionals and development managers can work together to build powerful security programs.

Read Guide

趋势 3：敏捷学习

敏捷培训与人机协作确保代码安全

AI 模型的激增再次引发了人们对人工智能将取代大量岗位的担忧。虽然某些职业（从簿记、客户服务到法律助理和内容创作者）确实有理由感到焦虑，但软件开发人员更倾向于将 AI 视为得力助手。AI 不会取代他们的工作，而是会承担起编写代码等耗时且重复的任务，从而为他们减负。

事实上，编写代码只是开发人员工作的一部分。在 GitLab 的2023 年全球 DevSecOps 报告中，大多数开发人员表示他们约四分之一的时间用于编写代码。其余时间则分配给其他任务，例如改进代码（17%）、测试（11%）以及参加会议或处理行政事务（同样为 17%）。

当 AI 模型开始生成代码时，改进代码将成为工作中的一个重要环节。AI 虽然提升了代码生成的速度和效率，但其产出并不能完全信任。AI 模型生成错误、偏见和漏洞代码的案例不胜枚举。具备安全技能的开发人员必须深度参与 AI 生成代码的审核，以修复漏洞并确保软件符合开发标准。

开发人员需要实操性的敏捷培训

对于开发人员而言，处理 AI 生成的代码要求他们精进现有技能，并掌握关于安全最佳实践和识别不良编码模式的新技能。经过适当培训的开发人员能够在部署前发现 AI 模型的失误，并充分发挥 AI 加速开发的优势。

然而，所需的技能非常复杂，无法通过传统的静态培训方式来学习或强化。开发人员的工作本就繁忙，他们面临着比以往任何时候都更紧迫的开发和部署压力。他们需要一种能够融入日常工作流程的技能提升方式。

企业需要为开发人员提供一套完整的敏捷培训方案，通过实操方式进行安全编码培训，这已被证明能显著减少软件中的漏洞数量。

敏捷培训可以量身定制，涵盖开发人员可能遇到的各种编程语言，从古老但仍在使用的 COBOL 到使用 Google Go 编写的先进新工具。培训内容可以根据开发人员偏好的学习方式（如视觉、听觉、口头或直接动手操作）进行设计，并以最适合个人工作节奏的方式交付。

培训还可以根据员工的具体角色和需求进行调整。平台可以利用反馈循环来优化内容，识别开发人员在特定领域的薄弱环节，从而自动推送针对性的学习内容。

与其采用冗长枯燥的课堂式培训，不如使用像 Secure Code Warrior 这样的学习项目。它们通过将培训拆解为互动式的微课程，让开发人员在解决实际问题的过程中进行学习，从而提供最优的定制化培训。这种微学习模式还能让员工随时随地按需获取。

敏捷方法成效显著

事实证明，敏捷培训在减少编码错误方面非常有效。根据Secure Code Warrior 的研究显示，开发人员在代码投入生产前，平均需要重写约 26% 的代码。这意味着每位开发人员每周要花费约 13.5 小时（每年约 700 小时）来清理技术债务。这些用于修复代码的时间严重阻碍了生产力，并拖慢了开发周期。

并非所有错误都能被及时发现，67% 的开发人员承认曾发布过包含漏洞的代码。企业也在使用来自 AI、开源存储库和第三方等其他来源的代码。这些来源在企业对代码需求量激增的当下提高了生产力，但也增加了代码库中出现漏洞和错误的风险。

敏捷式培训有助于遏制这一趋势。它加强了第一道防线，使开发人员能够更熟练地发现代码中的缺陷，无论是他们自己编写的、AI 生成的还是第三方提供的代码。Secure Code Warrior 在其研究中分析了 75,000 名开发人员（约占其用户群的 30%）的数据，发现接受过敏捷式安全培训的开发人员所引入的漏洞比未接受培训的同行减少了 53%。开发人员将这些技能应用于检查 AI 生成的代码时，可以在软件投入生产前更快地清理 AI 助手留下的错误。

通过 Secure Code Warrior 的敏捷式培训，Workday（一家提供财务、人力资源及学生/教职员工全生命周期管理云应用的公司）的开发人员明确了培训的目标，并迅速学会了如何识别和处理代码库及软件生命周期中的问题。

Workday 的经验清晰地展示了敏捷、实操培训的成效。在与 Secure Code Warrior 合作之前，Workday 的开发人员对公司基于幻灯片的传统安全培训感到厌倦。但整个开发团队对 Secure Code Warrior 的培训反响热烈，因为该培训是根据他们的需求和学习偏好量身定制的。结果显而易见：仅以都柏林的一个团队为例，他们在 18 个月内将年度安全问题从 4,662 个减少到了零。

在攻击手段日益复杂的威胁环境下，金融服务公司必须竭尽全力确保数据和应用的安全。在软件开发生命周期（SDLC）初期编写安全代码是保障安全的关键环节。具备敏捷培训技能的开发人员能够有效确保软件安全，同时降低公司的整体风险。

Integrations

Learn how Workday focused on creating secure agile learning that drove developer engagement and helped achieve their goals of improving Workday’s overall security posture.

Learn More

趋势 4：第三方应用与 API 的增长

安全责任同样适用于第三方应用

在当今高度互联的商业环境中，没有哪家公司能独善其身。金融机构通过与其他公司建立合作伙伴关系来提供特定服务，在日常沟通和交易中使用第三方应用，并且在许多情况下聘请外部承包商编写代码。公司内部的开发人员在开发应用时，也会使用开源软件存储库，以及日益普及的 AI 生成代码。

无论软件来源如何，与金融服务公司打交道的人都期望他们使用的每一款应用都能达到同样的高安全标准。在任何交易或信息交换中，托管公司始终对客户数据负有责任。监管机构也不会允许金融机构将合规责任推卸给第三方。

金融机构如何确保每一款应用都安全可靠？这始于安全代码，并要求开发人员在开发流程初期就掌握编写安全代码的技能，同时能够识别所使用的第三方代码何时不达标。

为承包商团队提供培训

企业若能实施敏捷、实操的培训计划来教授开发人员安全编码知识，将从中受益匪浅。此类培训的效果非常明确：接受过安全编码培训的开发人员所编写的代码，其漏洞比未受过培训的开发人员减少了 53%。此外，他们还能更有效地发现第三方代码中的编码错误。

即使公司内部开发人员受过安全编码培训，第三方代码中潜在的缺陷仍需解决。许多开发团队由全职员工（FTE）和承包商共同组成，特别是在那些在全国或全球各地设有主要、次要及三级办公地点的机构中。

二十年前，行业内曾大力推动软件开发外包，以满足对新应用的需求。这一趋势持续了五到十年后开始回流，但全职员工与承包商组成的混合团队在金融机构的某些地点依然存在。随着应用开发需求持续不断，其中部分工作仍将外包出去。

然而，无论代码是由全职员工还是第三方开发，客户和监管机构的期望始终如一。公司使用的所有软件代码都必须符合相同的标准，这意味着所有开发人员都必须具备同等水平的胜任能力。

公司在要求承包商接受培训方面可能受到合同限制，但至少应确保培训渠道的畅通。一些金融公司已经创建了自己的培训项目，例如 Capital One，它推出了Tech College。其他许多银行和金融公司，如 Synchrony Bank 和 North American Bancard，也正在拥抱敏捷持续学习的理念，以提升其人才水平。

企业甚至可能采取“编码许可”模式，要求开发人员在获得特定系统访问权限前必须取得相关认证。

在IT人才持续短缺的背景下，企业倾向于通过提升现有员工的技能，而非在供不应求的市场中争抢人才。提供培训不仅能帮助员工实现职业发展，还能让企业获得所需的专业技能，从而实现双赢。此外，培训计划还能改善员工体验，进而提高留任率。

在当前环境下，持续学习至关重要。网络安全形势不断演变，日益复杂。监管要求也逐年更新，使得合规难度不断增加。一旦未能满足这些要求，企业可能面临罚款、其他成本支出以及严重损害声誉的风险，进而对公司产生实质性影响。

关键在于调动开发人员的积极性

企业正在摒弃那种将合规培训视为沉重负担和“打卡式”任务的年度培训模式，转而采用全年持续的培训方式，旨在提高开发人员及其他员工对安全问题的参与度。关键在于拥有一个敏捷的平台，能够随时随地为员工提供所需的培训，并以契合其工作环境的形式呈现。

例如，总部位于英国的软件解决方案公司Sage采用了Secure Code Warrior的平台，开展针对开发人员当前所用技术的季度培训。

Sage的安全专家Mads Howard在近期的一次网络研讨会中表示，培训尽可能实现了个性化，并根据开发人员的工作习惯进行了定制。Sage还通过反馈循环鼓励双向沟通。培训重点在于参与度而非合规打卡，通过定期举办竞赛，并将培训计划与其他旨在提升员工安全意识的企业举措相结合。

Howard指出，其成果之一是：在过去一年中，Sage修复软件问题的平均时间缩短了82%。同时，员工的参与度也得到了显著提升。

Howard表示，编码是构建安全文化的一部分，其最终目标是建立客户信任。安全文化围绕人们的态度、认知和信念展开，并涉及公司上下，包括高层领导。一个灵活的安全编码培训计划，能够以易于吸收的微型课程形式提供针对性培训，是构建这种文化的重要组成部分。

Integrations

Discover how Sage implemented best practices in building a secure code learning program, learn the do's and don'ts of a secure code learning program, and see the business and financial impacts including productivity gained and time saved.

Discover

‍趋势 5：更加关注跨团队/供应商的投资回报率 (ROI)

安全编码如何直接提升投资回报率

金融服务业涵盖了广泛的领域，从银行和财务管理到信用卡及数字支付服务，甚至保险业也常被归入其中。各细分行业的企业面临的合规要求各不相同，但往往存在重叠，具体取决于其处理的交易类型以及是国内企业还是跨国公司。

无论身处哪个领域，经济因素都会影响商业战略。尽管股市表现良好，但股市并不总是未来成功的风向标。与此同时，金融行业对经济衰退及其他严峻挑战的可能性感到担忧。

因此，许多机构正在缩减开支，寻求更高的效率，并强调任何新支出都必须具备良好的投资回报率 (ROI)。提升ROI的一种途径是投资于安全编码学习。在软件开发生命周期 (SDLC) 中，工程与安全交汇，确保在流程初期编写安全代码并尽早修复缺陷，将为企业带来清晰且可量化的收益。

不安全软件的高昂成本

数据是任何金融服务机构的核心，而使用不安全、低效的软件处理这些数据，成本可能会迅速攀升。Secure Code Warrior的Secure Code Warrior 的研究研究发现，2022 年软件质量问题给美国企业造成了总计 2.41 万亿美元的损失。这些成本最终都转嫁到了开发人员身上，他们不得不花费越来越多的时间来维护和修复技术债务。目前，开发人员约三分之一的时间用于处理技术债务，预计到 2025 年这一比例将达到 40%。

基于敏捷的安全编码实践培训可以显著降低这些负面影响。研究表明，接受过 Secure Code Warrior 培训的开发人员所引入的漏洞比未受过培训的同事少 53%，且修复时间缩短了一半。一家大型全球性银行在采用 SCW 培训后，漏洞数量减少了 50%，并几乎消除了 SQL 注入和跨站脚本攻击 (XSS) 风险。

企业越早实施“左移”策略，敏捷安全编码培训带来的收益就越显著。例如，在测试阶段解决技术债务，成本可以减半；而如果在编码阶段就进行处理，成本则能降低 14 倍。

案例分析：Envestnet 如何提升开发人员的参与度

安全编码的影响可以转化为可衡量的投资回报率 (ROI) 增长。在一个案例中，大型金融科技公司 Envestnet 希望改变其被动、枯燥的“PPT 式”安全与合规培训，这种培训以往主要集中在 OWASP（开放式 Web 应用程序安全项目）十大 Web 应用风险上。

Envestnet 采取了“左移”策略，专注于编写安全代码并在软件开发生命周期 (SDLC) 的早期解决问题。但首先，他们需要解决开发人员对现有安全培训参与度不高的问题。通过 SCW，他们实施了一个四级实操项目，内容涵盖真实场景培训，并为达到每个级别的开发人员颁发证书——这不仅提升了应用安全性，还助力开发人员实现了职业发展。

前两个级别侧重于安全意识，第三和第四级别则旨在表彰安全领军者。培训项目还引入了竞赛机制，进一步提高了开发人员的参与度。在间隔约六个月的前两场竞赛之间，参与人数翻了一番。

结果显示：接受过 SCW 培训的开发人员修复的漏洞数量是同行的 2.7 倍，修复率提高了 120%。此外，接受过 SCW 培训的开发人员人均修复漏洞 4.5 个，而未受过培训的同行人均仅为 1.82 个。

从源头抓起，提升盈利能力

敏捷安全编码项目可以根据每家公司的具体情况进行定制，包括其提供的金融服务类型、系统规模以及个性化需求。

企业需要保持合规，例如遵循支付卡行业数据安全标准 (PCI DSS)、OWASP 应用程序安全验证标准 (ASVS) 或其他要求。他们必须确保始终编写安全的代码。但企业需要的不仅仅是一个“走过场”的培训项目，因为这不足以传授安全编码方法，也无法达到培养高素质、具备安全意识的开发人员所带来的效率提升。

支持在 SDLC 早期引入安全代码并贯穿产品生命周期的实操培训，将降低风险并加快上市速度，从而不可避免地提高投资回报率。随着系统、流程甚至网络攻击变得日益复杂，安全编码显得尤为迫切。它不仅能在安全性方面发挥关键作用，还能为企业的盈利能力带来实质性贡献。

Integrations

Explore how Envestnet adopted an agile secure code learning platform and tripled developer effectiveness in vulnerability reduction.

Explore

结论

安全编码在提升安全性和生产力的同时，更能建立信任

金融服务机构处理的是极具价值的资产，即人们的资金和高度敏感的个人信息，但在某种程度上，企业拥有的最宝贵财富是信任。这是吸引并留住忠实客户的关键。由于大量的金融交易通过数字化方式完成，这种可靠性以及软件的安全性，完全依赖于安全的代码。

在复杂的混合云环境中，金融机构必须实施“左移”，在软件开发生命周期 (SDLC) 的初期就引入安全性。这意味着要培训开发人员编写安全代码，并具备识别 AI 生成代码或第三方代码中漏洞的能力。

对于许多公司而言，这是一场文化变革。开发人员习惯了快节奏的工作，不断开发新的应用程序和服务以满足日益增长的需求。关键在于在公司内部建立安全文化，并通过敏捷的实操安全编码培训来调动开发人员的积极性。这种方法的益处显而易见。

推动互利共赢的文化变革

Secure Code Warrior 的研究表明，通过 SCW 学习安全编码实践的开发人员所产生的漏洞比未接受培训的开发人员减少了 53%，这节省了大量的时间和成本。

开发人员目前约有三分之一的时间浪费在重写软件代码上，其中 67% 的人承认曾发布过明知存在漏洞的代码。得益于敏捷学习，SCW 客户在降低风险和提高开发人员生产力方面均实现了 2 到 3 倍的提升。

组织在软件开发生命周期（SDLC）中越早采取行动，节省的成本就越多。如果在测试阶段解决问题，成本可以减半；而如果在编码阶段解决，成本则可降低 14 倍。

敏捷培训平台对公司和开发人员双方都有利。开发人员可以通过掌握新技能来促进职业发展，而公司也能从中受益，因为技术娴熟的开发人员更愿意留在提供有效培训和更具成就感工作体验的企业中。

值得一提的是，92% 的开发人员表示他们需要更多的培训。但关键在于培训方式必须得当。传统的照本宣科（或照着幻灯片念）式合规培训往往只会招致反感，让人勉强应付了事；而像 SCW 这样的敏捷平台已被证明能够有效吸引开发人员。培训内容可以根据他们当前的工作任务和所使用的编程语言进行定制。通过易于吸收、针对性强的微课程来解决开发人员在现实中面临的问题，不仅提升了培训价值，也增强了参与度。

安全编码培训可以成为推动组织向“安全优先”文化转型的基石，从而提升金融服务机构的网络安全水平、业务绩效，并最终提高盈利能力。