30万名开发者真正做的安全实践是什么?

发表于 2017年10月09日
作者:马蒂亚斯-马杜,博士
案例研究

30万名开发者真正做的安全实践是什么?

发表于 2017年10月09日
作者:马蒂亚斯-马杜,博士
查看资源
查看资源

BSIMM 8已经出来了!太棒了。这是对大型组织为生产安全软件所采取的安全实践的唯一的大规模研究。

这项研究是由应用安全专家在Gary McGraw的监督下进行的,确保收集到的数据是一致的、准确的,并能深入了解30万名开发人员的日常工作。在我最近的演讲中,我提到了BSIMM的数字,我提到平均每100名开发人员中有2名应用安全专家。

然而,自BSIMM4以来,情况就不是这样了。BSIMM8报告说,这个数字更少了,现在是每100个开发人员中有1.6个。雇用更多的应用安全专业人员是根本行不通的,因为现在人才短缺。我们比以往任何时候都更需要给开发人员提供工具和培训,以编写安全的代码,这些代码是可以动手的,随时可以使用的,并且可以为组织扩展。

该报告还显示,培训实践中最常见的活动是为所有员工提供意识培训,占67%。我开始绘制我们在Secure Code Warrior (SCW)的培训实践中所做的工作,并意识到我们的解决方案可以勾选培训实践中的所有12项活动,从一级(大多数公司做)到三级(极少数公司做)。

一个单一的解决方案,可以用来覆盖整个实践。在12个培训实践中,对Secure Code Warrior 解决方案最感兴趣的实践是。

  • 第1级:提供认识培训
  • 第1级:提供按需的个人培训
  • 第2级:通过培训加强卫星(SCW指标)。
  • 第3级:通过课程奖励进阶(SCW徽章)。
  • 第三级:为供应商或外包工提供培训(SCW评估)。
  • 第三级:主机外部软件安全事件(SCWTournament 模式)
  • 第三级:通过培训确定卫星(SCW指标)。

你有信心你目前的解决方案能解决这些实践问题吗?

查看资源
查看资源

作者

马蒂亚斯-马杜博士

马蒂亚斯是一名研究员和开发人员,拥有超过15年的软件安全实践经验。他曾为Fortify Software和他自己的公司Sensei Security等公司开发解决方案。在他的职业生涯中,马蒂亚斯领导了多个应用安全研究项目,并将其转化为商业产品,他拥有超过10项专利。当他离开办公桌时,Matias曾担任高级应用安全培训courses ,并定期在全球会议上发言,包括RSA会议、黑帽、DefCon、BSIMM、OWASP AppSec和BruCon。

马蒂亚斯拥有根特大学的计算机工程博士学位,在那里他研究了通过程序混淆来隐藏应用程序的内部工作的应用安全。

想要更多吗?

在博客上深入了解我们最新的安全编码见解。

我们广泛的资源库旨在增强人类对安全编码技术提升的方法。

查看博客
想要更多吗?

获取关于开发者驱动的安全的最新研究

我们广泛的资源库充满了有用的资源,从白皮书到网络研讨会,让你开始使用开发者驱动的安全编码。现在就去探索它。

资源中心

30万名开发者真正做的安全实践是什么?

发表于 2017年10月09日
作者:马蒂亚斯-马杜,博士

BSIMM 8已经出来了!太棒了。这是对大型组织为生产安全软件所采取的安全实践的唯一的大规模研究。

这项研究是由应用安全专家在Gary McGraw的监督下进行的,确保收集到的数据是一致的、准确的,并能深入了解30万名开发人员的日常工作。在我最近的演讲中,我提到了BSIMM的数字,我提到平均每100名开发人员中有2名应用安全专家。

然而,自BSIMM4以来,情况就不是这样了。BSIMM8报告说,这个数字更少了,现在是每100个开发人员中有1.6个。雇用更多的应用安全专业人员是根本行不通的,因为现在人才短缺。我们比以往任何时候都更需要给开发人员提供工具和培训,以编写安全的代码,这些代码是可以动手的,随时可以使用的,并且可以为组织扩展。

该报告还显示,培训实践中最常见的活动是为所有员工提供意识培训,占67%。我开始绘制我们在Secure Code Warrior (SCW)的培训实践中所做的工作,并意识到我们的解决方案可以勾选培训实践中的所有12项活动,从一级(大多数公司做)到三级(极少数公司做)。

一个单一的解决方案,可以用来覆盖整个实践。在12个培训实践中,对Secure Code Warrior 解决方案最感兴趣的实践是。

  • 第1级:提供认识培训
  • 第1级:提供按需的个人培训
  • 第2级:通过培训加强卫星(SCW指标)。
  • 第3级:通过课程奖励进阶(SCW徽章)。
  • 第三级:为供应商或外包工提供培训(SCW评估)。
  • 第三级:主机外部软件安全事件(SCWTournament 模式)
  • 第三级:通过培训确定卫星(SCW指标)。

你有信心你目前的解决方案能解决这些实践问题吗?

我们希望得到您的许可,向您发送有关我们产品和/或相关安全编码主题的信息。我们将始终以最谨慎的态度对待您的个人资料,绝不会将其出售给其他公司用于营销目的。

要提交表格,请启用 "分析 "cookies。完成后,请随时再次禁用它们。