将重点从被动转向主动,以人为主导的安全编码

出版日期:2021年3月23日
由Secure Code Warrior
案例研究

将重点从被动转向主动,以人为主导的安全编码

出版日期:2021年3月23日
由Secure Code Warrior
查看资源
查看资源

在过去的20多年里,同样的10个软件漏洞造成的安全漏洞比其他任何漏洞都多。然而,许多企业仍然选择在漏洞发生后进行补救;在这一切的人为和商业影响中浑浑噩噩。但现在,一项新的研究指出了一个新的、由人主导的方向。

以下讨论的是由Secure Code Warrior 与Evans Data Corp进行的一项研究得出的见解,该研究题为 "从反应到预防。应用安全的变化"(2021年),探索开发人员对安全编码、安全代码实践和安全操作的态度。下载白皮书 这里.

在即将发布的研究中,开发人员和开发经理被问及他们与安全编码相关的活动。排名前三的回答是。

  • 在已部署的应用程序上使用扫描工具。
  • 手动审查代码中的漏洞。

  • ,积极和持续地编写受保护的软件,以防止漏洞。
开发人员仍然将安全代码实践视为一种被动的实践做法,但慢慢地承认它是一个人类的问题,重点是要从左边开始。


那么这告诉我们什么呢?在前三个回答中,有两个仍然集中在反应式方法上,第一个依赖于工具(扫描器),第二个依赖于开发人员(即人类)进行手动检查--在这两种情况下,都是代码编写之后。使用这些方法检测到的漏洞必须被踢回给开发团队进行返工,这对项目的时间表和项目成本都有影响。

同时,在被提名的三项活动中,有两项依赖于人的因素--这表明人们越来越认为安全是一个人的问题。但在所有被提名的活动中,最能说明问题的是第3项,它确定了在编写软件时的人为因素,首先要保护其不受漏洞的影响。 这突出了一个向左开始的转变--一种主动的和预防性的方法,从软件开发生命周期的一开始就将安全纳入软件。 

反应性可能等于昂贵的

根据IBM的一项研究*,修复发布后的代码中的漏洞要比在一开始就发现和修复这些漏洞的成本高30倍。这是一个强大的激励机制,促使我们采取新的积极主动和更人性化的方法来捍卫软件安全,使开发人员从一开始就能更安全地编码。 

这就是你可以称之为人类主导的防御。但要让开发人员开始关心安全问题,它必须成为他们每天思考和编码方式的一部分。这就要求采取新的培训方法,与开发人员的日常工作高度相关,并激发他们的学习欲望--目前的培训模式无法做到这一点。

为了创造一种积极主动的安全文化,需要新的培训,即。

  • 使安全编码成为开发人员提高软件安全技能的一种积极和参与性的体验。 
  • 鼓励开发者以安全的思维方式看待他们的日常编码任务 
  • 使安全编码成为他们日常工作流程的内在要求

当这些线索结合在一起时,就能从一开始就防止漏洞的发生,使团队能够更快、更有信心地交付高质量的代码。好消息是,在软件开发过程中,已经有一个Learning Platform ,'从左边开始'--它已经赋予开发人员技能和工具,从一开始就创建高质量的代码。



*IBM软件集团;尽量减少代码缺陷以提高软件质量和降低开发成本
https://docplayer.net/11413245-Minimizing-code-defects-to-improve-software-quality-and-lower-development-costs.html



查看资源
查看资源

作者

Secure Code Warrior

Secure Code Warrior 通过向开发人员传授安全代码编写的技能,建立以安全为导向的开发人员文化。我们的旗舰产品敏捷Learning Platform 为开发人员提供了基于技能的相关途径、动手实践missions 以及上下文工具,帮助他们快速学习、构建和应用技能,从而快速编写安全代码。

想要更多吗?

在博客上深入了解我们最新的安全编码见解。

我们广泛的资源库旨在增强人类对安全编码技术提升的方法。

查看博客
想要更多吗?

获取关于开发者驱动的安全的最新研究

我们广泛的资源库充满了有用的资源,从白皮书到网络研讨会,让你开始使用开发者驱动的安全编码。现在就去探索它。

资源中心

将重点从被动转向主动,以人为主导的安全编码

出版日期:2021年3月23日
通过Secure Code Warrior

在过去的20多年里,同样的10个软件漏洞造成的安全漏洞比其他任何漏洞都多。然而,许多企业仍然选择在漏洞发生后进行补救;在这一切的人为和商业影响中浑浑噩噩。但现在,一项新的研究指出了一个新的、由人主导的方向。

以下讨论的是由Secure Code Warrior 与Evans Data Corp进行的一项研究得出的见解,该研究题为 "从反应到预防。应用安全的变化"(2021年),探索开发人员对安全编码、安全代码实践和安全操作的态度。下载白皮书 这里.

在即将发布的研究中,开发人员和开发经理被问及他们与安全编码相关的活动。排名前三的回答是。

  • 在已部署的应用程序上使用扫描工具。
  • 手动审查代码中的漏洞。

  • ,积极和持续地编写受保护的软件,以防止漏洞。
开发人员仍然将安全代码实践视为一种被动的实践做法,但慢慢地承认它是一个人类的问题,重点是要从左边开始。


那么这告诉我们什么呢?在前三个回答中,有两个仍然集中在反应式方法上,第一个依赖于工具(扫描器),第二个依赖于开发人员(即人类)进行手动检查--在这两种情况下,都是代码编写之后。使用这些方法检测到的漏洞必须被踢回给开发团队进行返工,这对项目的时间表和项目成本都有影响。

同时,在被提名的三项活动中,有两项依赖于人的因素--这表明人们越来越认为安全是一个人的问题。但在所有被提名的活动中,最能说明问题的是第3项,它确定了在编写软件时的人为因素,首先要保护其不受漏洞的影响。 这突出了一个向左开始的转变--一种主动的和预防性的方法,从软件开发生命周期的一开始就将安全纳入软件。 

反应性可能等于昂贵的

根据IBM的一项研究*,修复发布后的代码中的漏洞要比在一开始就发现和修复这些漏洞的成本高30倍。这是一个强大的激励机制,促使我们采取新的积极主动和更人性化的方法来捍卫软件安全,使开发人员从一开始就能更安全地编码。 

这就是你可以称之为人类主导的防御。但要让开发人员开始关心安全问题,它必须成为他们每天思考和编码方式的一部分。这就要求采取新的培训方法,与开发人员的日常工作高度相关,并激发他们的学习欲望--目前的培训模式无法做到这一点。

为了创造一种积极主动的安全文化,需要新的培训,即。

  • 使安全编码成为开发人员提高软件安全技能的一种积极和参与性的体验。 
  • 鼓励开发者以安全的思维方式看待他们的日常编码任务 
  • 使安全编码成为他们日常工作流程的内在要求

当这些线索结合在一起时,就能从一开始就防止漏洞的发生,使团队能够更快、更有信心地交付高质量的代码。好消息是,在软件开发过程中,已经有一个Learning Platform ,'从左边开始'--它已经赋予开发人员技能和工具,从一开始就创建高质量的代码。



*IBM软件集团;尽量减少代码缺陷以提高软件质量和降低开发成本
https://docplayer.net/11413245-Minimizing-code-defects-to-improve-software-quality-and-lower-development-costs.html



我们希望得到您的许可,向您发送有关我们产品和/或相关安全编码主题的信息。我们将始终以最谨慎的态度对待您的个人资料,绝不会将其出售给其他公司用于营销目的。

要提交表格,请启用 "分析 "cookies。完成后,请随时再次禁用它们。