我们最近与Selligent Marketing Cloud的软件工程师Dimitri Vanderhaeghe进行了会谈，Selligent Marketing Cloud是一个高度集成、由人工智能驱动的全渠道营销自动化平台，使雄心勃勃的B2C营销人员能够最大限度地利用与当今联网消费者互动的每一刻。 对于Selligent来说，一个快节奏的B2C技术公司扩大规模并满足其市场不断增长的需求是至关重要的。能够满足这些需求的部分原因是强调网络安全，最关键的是强调由开发人员主导的安全技能计划。 

为什么网络安全对扩大你的业务规模至关重要？ 

如果你想扩大你的业务规模，一个强大的安全战略必须在你的公司议程上占据重要位置，否则你就会让自己处于脆弱的状态。每39秒就会发生一次网络安全攻击，而攻击你的企业的代价可能是经济上的损失，并破坏你的声誉。我们只需看看2017年的Equifax黑客事件，就会发现一个最好的例子，他们的首席执行官辞职了，并明确表示黑客是这样做的原因。 

然而，网络安全必须成为一种共同的责任，以便扩大规模，特别是在你的开发者社区，正如Dimitri所解释的那样。

"培训工程师最重要的原因是可扩展性，因为我们有一个大产品，几乎有60名工程师在工作。如果他们不关心安全问题，所有的漏洞扫描都会回到安全专家那里。"

你如何创建一个由开发者主导的安全文化？

Dimitri和Selligent团队似乎已经破解了以开发者为主导的安全文化，但从我们最近的研究来看，只有15%的开发者认为安全是他们组织中每个人的责任。那么，你如何从左边开始 ，创造一个由开发者主导的安全文化呢？

Dimitri将此归功于通过Secure Code Warrior®的learning platform ，提高他们开发人员的安全意识。Dimitri说，如果没有这个平台，他们将很难建立安全意识。因此，在编写代码时，安全问题在开发人员的脑海中占据了最重要的位置。 

创建一个由开发者主导的安全文化的另一个关键方面是使培训具有相关性。我们最近的研究还表明，40%的开发人员说培训没有实践性，30%的人说培训也没有相关性。 迪米特里指出，Secure Code Warrior® tournaments的颗粒度和真实世界的性质使一切变得不同。该平台的趣味性和竞争性也导致了更多开发人员的参与和意识。 

正如Dimitri所指出的，如果没有意识，网络安全的重担就会落在安全专家身上，这根本无法扩展。答案是有效地扩展你的业务和产品，以确保你对软件漏洞的保护，重点是对你的开发者社区进行超相关的上下文培训，并由开发者主导的安全技能计划。 

‍
Secure Code Warrior 可以为您的组织提供这种服务。对演示感兴趣吗？在下面预订一个。 

‍

这是一个令人清醒的统计数字，怎么样？ 60%的中小企业在网络攻击成功后的六个月内倒闭*。大型企业损失了数百万（或数十亿！），而品牌的声誉却在不断流失。随着企业越来越多地接受安全编码的做法，一个 "左移 "正在发生。随着DevSecOps的兴起，安全代码正在成为SDLC开始时的重点。为了调查这一趋势的现实影响，Secure Code Warrior 与 Evans Data Corp***委托进行了一项关于开发人员对安全编码、安全代码实践和安全操作的态度的最新研究。

向左转变--在许多层面上的转变  

由于公司意识到事后修复漏洞的成本要高出30倍，因此先发制人的措施已经成为新的黄金标准*。但要使这种措施有效，SDLC中的每个人都必须有安全意识，特别是开发人员。 

第一班 - 那么，现在谁负责？

随着DevSecOps的兴起，企业正在接受安全编码实践。因此，我们的研究强调的第一个转变是将代码安全的责任转移到操作层面。 

当我们问开发者和开发经理，"谁应该对代码安全负最终责任？"时，46%的人说是项目/团队负责人--几乎是那些认为责任应该由应用安全团队承担的人的两倍。 

这清楚地表明，安全责任从传统的应用安全团队向开发团队领导转移。

第二班 - 管理者角色的变化  

实施安全代码培训的压力正从多个方向降落到管理者身上。 

41%的人透露，安全代码培训的组织要求来自于高层领导。对法规遵从性的要求不断增加也是一个因素。 

管理人员在协助从传统开发向DevSecOps过渡方面发挥着关键作用，并且正在成为培训和工具购买决策的关键决策者。

第三班 - 开发人员加紧工作

然而，我们也看到变革的压力自下而上地涌现；24%的管理者透露，他们实施安全编码的做法是由于他们的开发人员的建议和提议。这一点突出了开发人员作为公司安全计划的贡献者所扮演的越来越重要的角色。向DevSecOps的转变，以及其对预防性安全编码实践的新的强调，将开发人员转变为 "第一道防线 "的角色。

第四班 - 改善团队活力  

在实施安全代码实践对软件质量产生实质性影响的同时，它也改变了团队的工作方式，使之变得更好。60%的受访开发者认为，采用安全代码实践增加了他们与其他开发者的沟通--但收获并不限于此。 

在所有接受调查的开发者和管理者中，有一半的人认为安全编码实践导致了开发者和他们的领导之间更多的合作。46%的人声称开发人员和利益相关者之间的合作更多。同时，41%的人指出领导和利益相关者之间的合作更多。

DevSecOps以新的方式将团队、领导和利益相关者聚集在一起，改善软件开发生命周期中不同角色和阶段的合作。 

62%的受访经理声称，安全代码实践有助于提高代码发布的速度。这个单一的事实与所有这些其他的转变相结合，突出了转向DevOps方法的明显好处。但是，正如本文前面所说，为了使这些措施有效，SDLC中的每个人都必须具有安全意识。这一见解对组织如何培训他们的开发人员具有关键意义。团队需要了解最近发现的漏洞，并在他们编码的特定语言：框架中学习。简而言之，他们需要了解如何在他们每天工作的环境中定位、识别和修复代码中的已知漏洞。这样的培训将你的团队从你的第一道风险线变成你的第一道防线。  

作为安全编码变革的推行者，Secure Code Warrior 采取以人为本的方法，帮助您的组织 "向左转"--并将您的整体安全方法从被动变为主动。

如果你想了解更多关于实践的、高度参与的、经过验证的安全代码培训，使管理人员、开发人员和组织的需求相一致，以实现DevSecOps的未来，请现在预订演示。

‍

*60%的小公司在被黑客攻击的6个月内关闭。
https://cybersecurityventures.com/60-percent-of-small-companies-close-within-6-months-of-being-hacked/

**IBM软件集团；尽量减少代码缺陷以提高软件质量和降低开发成本。
https://docplayer.net/11413245-Minimizing-code-defects-to-improve-software-quality-and-lower-development-costs.html

***从反应到预防的转变。应用安全的变化 2021年。 Secure Code Warrior 和 Evans Data Corp.
https://scw.buzz/3169uzS

灵活地管理依赖性

Sensei 的范围功能一直是开发人员的最爱。由于能够扩大或限制配方的应用范围，开发团队已经能够根据其组织内的个别项目和垂直领域定制其使用方法--使开发人员能够个性化他们的体验。

而且可以理解的是，它是Sensei's持续创新过程的中心。在一次关于扩大 "范围"（是的，双关语）的创新头脑风暴会议上，出现了一个问题。 

"我试图为......创建一个配方，但从x版本开始，该框架已经废弃了这个功能。我不确定创建一个配方是否有用了。你怎么看？"

当然，这并不是我们第一次犹豫是否要创建一个配方。虽然配方可能被视为提供多余的信息，但我们认为创建适用于所涉及的依赖性的有限版本的东西是有价值的。因此，我们创建了库范围。

库范围使我们能够检查项目中是否存在一个依赖关系，并有条件地应用Sensei 。在团队浏览遗留代码和依赖关系时，这提供了极大的灵活性。

你们中的许多人可能知道在 "常规设置 "下已经有了图书馆范围。那么你问这是什么？我们已经启用了YAML中的库范围，就像搜索一样。这创造了一个更好的用户体验，并且在你创建配方时不会破坏你的流程，否则你将会导航到常规设置，然后再返回来更新元数据。更多的作用域将出现在YAML中，但我们已经从图书馆作用域开始。

因此，让我们通过一个例子进一步深入了解它是如何工作的。

适用于hibernate-jpamodelgen的图书馆范围

设想一下以下情况。 

我们想创建一个Spring Web REST API，使我们能够查询一些数据。根据最佳实践，我们为我们想要查询的实体创建一个模型。接下来，我们为Hibernate ORM添加一个依赖关系，这样我们就不需要摆弄数据库结构了。ORM为我们解决了这个问题。我们还需要创建一个服务，从数据访问层（CRUD库等）向控制器提供数据。最后，我们为我们的API创建一个控制器类，在这里我们将把允许的查询作为端点公开。

为了避免为每个可查询的字段暴露不同的端点，我们选择使用JPA 2规范。为此，我们在控制器中从请求的URL中创建一个规范。这个规范描述了我们正在寻找的实体应该是什么样子的。在 "规范 "类本身，我们实现了 "toPredicate "方法，以表明如何验证该规范。

但是我们在 "toPredicate "方法中遇到了一个问题。为了构建谓词，我们需要知道数据库中要比较的列的名称。但由于我们使用的是ORM，我们没有这些列存在于一个单独的模型中。所以，Hibernate的JPA 2元模型生成器()来了！这将有助于生成元模型。这将有助于为我们要求它处理的实体生成一个元模型。这些元模型允许我们将列名作为属性引用，而不是硬编码。

创建Sensei 配方

现在我们已经生成了元模型，我们想把它们用好。Sensei ，可以帮助任何在项目上工作的人，提醒他们使用元模型，确保列名不在任何地方硬编码。所以，让我们把它付诸实践。

首先，我们看一下`toPredicate`方法。

这个基本的谓词将只比较我们实体的名称。我们可以使用 "and "子句对其进行扩展，但就本食谱而言，这种 "简单 "的检查就可以了。

对于配方的搜索部分，我们想调用根参数的方法`get()`，所以我们从下拉菜单中选择`methodcall`选项。接下来，我们想把搜索限制在名称为`get'的方法调用上，其签名在`javax.persistence.criteria'包的`Path'接口中声明。由于该方法已经被重载，我们还需要告诉搜索，我们的配方只适用于以单个字符串作为参数的变体。为了解决在代码中出现列名的问题，我们希望使用一个`SingularAttribute`类型的参数，与元模型生成器提供的类型相同。

到目前为止，我们创建的配方将在任何使用JPA 2 `Path`接口的代码库上触发，无论该代码库是否被设置为使用Hibernate Model Generator。如果项目中存在这个库，我们想向用户表明应该使用它，所以我们在配方中添加一个库的范围。

最后，我们的食谱现在已经准备好了。

有了这个配方，任何使用字符串值作为参数的`Path#get`的出现都会被标记。从上面截图中突出显示的示例代码可以看出，当列名的字面名称被存储在一个中间变量中时，这个配方仍然有效。

注意 - 我们也可以反转库的作用域来处理库不可用的情况，方法是在作用域前加一个`not`子句。

总结

正如我们在上面的例子中所看到的，这个新功能使我们能够根据项目中存在的依赖关系来应用它们，从而创建更有用的配方。为了进一步加强它的功能，我们包括了比例子中显示的更多的选项，比如不仅要检查依赖关系是否存在，还要对依赖关系的特定版本施加条件。 

我们看到这个功能的主要用例是防止配方提供重复的信息，检测与特定版本的依赖关系有关的问题，但也可以执行从一个依赖关系版本到下一个版本的迁移。我们期待着听到你对这项功能的使用。

至于所有的Sensei 功能，关于库的范围的更多信息可以在参考文件中找到。

根据IBM的一项研究，与最初发现和修复漏洞相比，在发布后修复漏洞的成本要高出30倍。考虑到这一点，具有前瞻性的首席信息官正在实施安全编码实践就不足为奇了。这意味着培训和装备开发人员从一开始就编写更安全的代码，使他们成为组织的 "第一道防线"。为了衡量这一趋势的实际影响，Secure Code Warrior ，与埃文斯数据公司*合作，委托进行一项关于开发人员对安全编码、安全代码实践和安全操作的态度的最新研究。这项研究显示，实施安全代码实践对公司在几个不同方面都有影响。下载该白皮书的副本 这里.

以更大的信心和心态安全地进行编码

毫无疑问，实施安全编码实践提高了开发人员的安全意识，使其雇主受益。我们的研究显示，55%的开发人员说，良好的培训增加了他们对自己编码技术的信心，53%的人说，良好的培训让他们在调试和测试自己的代码时更加谨慎。同样有53%的人认为他们在编写代码时更加注意安全问题。

这告诉我们什么呢？它告诉我们，只要稍微提高一下技能，开发人员就可以转变为你的第一道防线。

更智能的工具选择+更高的发布速度

当我们问及管理人员关于安全代码培训的影响时，他们的观点反映了他们的管理职责。43%的经理同意安全代码培训帮助他们的组织在调试和测试代码时变得更加谨慎。47%的人透露，良好的培训使他们能够更有选择地选择提供更多安全性的工具。但也许最重要的是，44%的人表示，安全代码培训和技术帮助节省了时间，加快了软件发布的速度--当市场速度决定一切时，这是一个实质性的优势。

全面提高生产力

当我们询问开发者安全编码对生产力有什么帮助时，超过一半的人认为它有助于提高编码和应用程序的设计质量。  

63%的人说它通过防止反复出现的漏洞减少了返工。70%的人说它有助于消除导致返工或修补的错误。56%的人称，它提高了调试和测试的生产力。我们可以看到在软件开发生命周期的多个阶段都在进行转变。

团队动态和代码质量

安全的代码实践也会对团队的动态产生影响。虽然单个开发人员学会了更安全的编码，但他们的代码并不存在于真空中。他们的代码往往取决于其他人的工作，反之亦然。实施安全编码实践会使开发人员分享和寻求安全编码知识，推动开发人员之间、开发人员和管理层之间以及开发团队和他们的利益相关者之间更好的沟通。

• 60%的受访开发者认为，采用安全代码的做法增加了他们与其他开发者的沟通。
• 45%的人说，与管理层的接触增加了。

这些观点得到了管理人员的响应，尽管是从不同的角度。62%的受访经理人声称，安全代码实践需要他们花更多的时间来管理人员，并帮助提高代码发布的速度。

对于实施安全代码实践的组织来说，沟通的增加对团队的动态产生了过渡性的影响，对代码质量和上市速度产生了积极的影响。

从反应性转变为预防性

最后，安全代码会影响到开发人员和开发经理应用安全措施的方式及其附带的衡量标准。

今天，81%的组织仍然依靠缺陷计数和扫描器指标等反应性指标来确定安全质量。

但这些被动的活动正越来越多地被主动或预防的指标所补充或让位于主动或预防的指标。67%的组织现在将开发人员对OWASP Top 10的认识作为安全准备度的衡量标准。其他越来越多的主动性指标包括。

• 围绕应用安全衡量开发人员的能力
• 使用预先批准的代码
• 遵守监管要求。

90%的开发人员现在注意到了这些预防措施。但是，虽然对安全编码实践的认识和实施正在增长，但要实现其全部潜力还有一段路要走。

今后该何去何从？

作为安全编码变革的推行者，Secure Code Warrior 采取以人为本的方法，帮助您将您的开发人员转变为您的第一道防线--以及您的整体安全方法从被动到主动。我们经过验证的learning platform ，在52种语言：框架特定的类别中提供上下文的实践教育，其挑战是模仿开发人员在现实世界中所面临的。我们从深刻的经验中知道，与基于理论的静态学习的挣扎相比，开发者更喜欢在实践中学习的方法。如果你想看看这对你的团队和他们有信心地发送高质量代码的能力所产生的变革性影响，现在就预订一个演示。

‍

从反应到预防的转变。应用安全的变化。Secure Code Warrior 和 Evans Data Corp. 2020年
1.https://docplayer.net/11413245-Minimizing-code-defects-to-improve-software-quality-and-lower-development-costs.html

‍

新的研究探讨了高质量安全培训的好处。 

高质量的安全代码培训对你的组织有什么潜在的影响--它是否是一项值得的投资？为了找到一些答案，让我们来看看最近关于开发人员对安全编码、安全代码实践和安全操作的态度的研究中的一些见解，该研究由Secure Code Warrior 与 Evans Data Corp*进行。

当开发人员和他们的经理被问及培训如何改变了他们的编码方式时，每个群组的回答略有不同。这些差异与他们如何对待自己的工作以及他们在软件开发生命周期中的角色相一致。但总的来说，基本的主题是，高质量安全代码培训的影响是压倒性的积极。 

55%的开发者透露，良好的培训增加了他们对自己编码技术的信心，而53%的开发者表示，良好的培训让他们在调试和测试自己的代码时更加谨慎。 

最重要的是，53%的人认为他们在编写代码时更加注意安全 - 导致更少的漏洞和更少的返工。 

管理人员实现更快的软件发布

虽然43%的管理者同意安全代码培训帮助他们的组织在调试和测试代码时变得更加谨慎，但前两个变化反映了管理者的责任。47%的人透露，良好的培训让他们在工具选择上更有选择性，可以提供更多的安全性。而44%的人表示，安全代码培训和技术有助于节省时间和加快软件发布。

安全编码对生产力的影响

当涉及到提高生产力时，安全编码实践可以产生强大的效果。在被问及安全编码如何有助于提高生产力时，超过63%的开发者透露，编写安全/高质量的代码可以通过防止重复出现的漏洞来减少返工。70%的开发人员说，质量培训可以消除后来导致返工或修补的错误。 

安全编码对开发生命周期的影响

随着开发人员和他们的经理将安全编码实践纳入他们的开发生命周期，他们的培训对现实世界的影响可以被衡量。 

看起来改进是全面的，从SDLC的开始就提高了生产力。超过一半的受访开发者声称，良好的培训提高了生产力，应用设计、编码、调试和测试。

调试和测试阶段受到的影响最大，56%的开发人员表示他们在这些活动中变得更有效率。虽然更好的扫描和测试工具可能缩短了这一阶段的开发时间，但安全编码实践促进了使用和重复使用被证明没有代码漏洞的经过审查的代码，以及设计应用程序的安全意识方法。通过在开发生命周期中 "从左边开始 "的安全方法，开发人员可以在调试阶段节省时间。

尽管44%的开发者透露，他们甚至在部署方面也变得更有成效，但在更下游的部署方面受到的影响较小。这是与安全编码实践相关的发布速度提高的结果。

一条行之有效的改善培训之路

毫无疑问，高质量的安全代码培训会带来很多好处。问题是，你如何判断安全代码培训的质量？ 

为了找到答案，我们询问了开发人员他们想要什么。75%的开发者更喜欢结构化的在职培训。他们更喜欢边做边学的方法，而不是枯燥乏味的基于理论的静态学习。当涉及到阻止漏洞时，开发人员处于战斗的最前线。 因此，他们希望培训注重实际应用--这是目前大多数培训项目所严重缺乏的。

作为安全编码变革的推行者，Secure Code Warrior 采取以人为本的方法，帮助您建立以人为本的防御。我们经过验证的learning platform ，在50多种语言：框架中提供上下文的实践培训内容，并模仿开发人员在现实世界中面临的挑战。所有这一切都通过在漏洞成为明天的新闻之前预防漏洞来减少成本和发布时间。

如果你想看看它对你的团队和他们更快地交付安全代码的能力的潜在影响，现在就预订一个演示。

如果说有这样一个神圣的时机，那么必须说拜登政府通过他们的行政命令（EO）宣布，解决美国政府加强联邦网络的计划，以及改善全国的网络安全标准和最佳实践。这一战略是在最近的两次破坏性网络攻击之后制定的：除了Colonial Pipeline天然气基础设施攻击之外，还有SolarWinds公司正在进行的供应链破坏。

虽然这些事件无疑在政府的各个层面引起了涟漪，但这一指令标志着网络安全的未来是一个令人兴奋的时刻。看来我们终于开始认真对待从头开始保护我们的数字存在，没有比现在更好的时机来推动更好的标准和更高质量的软件了。

该条例涉及功能网络安全的许多方面，但首次具体概述了开发人员的影响，以及他们需要具备经过验证的安全技能和意识。多年来，我们一直在屋顶上大声疾呼，这是打击经常绊倒我们的常见漏洞的前进方向，而政府授权与这种方法保持一致是网络防御广泛成功的途径。

各组织--以及联邦部门--应如何应对这一命令？让我们来解读一些主要类别。

勾兑 "是不存在的。 

长期以来，我们一直指出大多数类型的网络安全培训对开发者来说是无效的。这些培训往往过于笼统，没有以一种能够吸引和激发预期结果（阅读：更安全的代码）的方式进行，而且触及的频率太低。更糟糕的是，很多公司满足于 "打勾 "的培训：这种方法提供最低限度的、"一劳永逸 "的基础知识，以满足操作要求，并在开发人员的名字旁边打上勾。这些教育策略使每一个CISO都如坐针毡，掰着手指希望他们的公司不会成为下一个零日漏洞的受害者。它们根本无法减少漏洞和创造更高质量的代码。 

在拜登任务的第4节中，明确规定了一个组织需要证明他们的开发人员显示出有记录的、经过验证的安全合规性。

‍

"准则应包括可用于评估软件安全的标准，包括评估开发人员和供应商本身的安全做法的标准，并确定创新的工具或方法，以证明符合安全做法。”

这其中有一个小问题：目前没有专门针对开发人员的行业标准认证。能够对开发人员的安全编码技能水平进行基准测试，并与courses 和评估一起提高这些技能是最基本的，使公司能够设定目标并实现合规。当开发人员可以在一个实际的、实践的环境中展示核心能力时，这可以以一种有意义的、值得信赖的方式进行评估和认证。这是我们在Secure Code Warrior ，我们努力创建一个系统，可以利用可靠的认证，可根据他们的技术堆栈和组织要求进行定制。 

这些技能是很有价值的，而且它们不能被自动化。认证可以将开发人员转变为一支有安全意识的力量，可以保护代码库免受阴险的威胁。 

‍

对开发者工具（以及一般的工具）的关注。

除了围绕验证安全编码实践的准则，EO对安全的自动化和工具方面做了相当深入的研究。 

从安全的角度来看，有太多的代码被生产出来，人类无法单独处理，而自动化--作为广泛的技术堆栈的一部分--是每个安全程序的主要部分，它应该是这样的。然而，并非所有的工具都是平等的，也没有 "一种工具可以统治它们"，可以在每种编程语言中发现每一个漏洞。一个伟大的安全计划需要一个细致入微的方法，特别是当它涉及到针对开发人员的工具和服务时。

EO的第3节概述了对供应商创建有资格被联邦政府使用的软件的期望，以及围绕开发过程中的工具使用的指导性准则。

‍

"(iii) 采用自动化工具或类似程序，以维护可信的源代码供应链，从而确保代码的完整性；
(iv) 采用自动化工具或类似程序，检查已知和潜在的漏洞并加以补救，这些工具应定期运行，或至少在产品、版本或更新发布之前运行。”

开发者技术栈中的安全工具是快速提高安全最佳实践的方法之一，确保发布的产品有最好的机会在最后期限前完成，而不是被安全漏洞和其他显示的问题所阻碍。然而，问题是，开发人员仍然需要上下文学习，以最好地利用最强大的工具。对于他们来说，理解什么是被标记的，为什么它是危险的，以及如何补救是至关重要的，这将导致工具在一开始就能识别更少的错误。 

最好的工具将与开发人员的环境相结合，协助他们产生更高质量（和更安全）的代码，并确保安全保持在首位。 

‍

确保供应链的安全。

我最喜欢EO中的一个部分是确保软件供应链安全的全面计划。考虑到SolarWinds的活动，这并不令人惊讶，但这是一个重要的亮点。

"联邦政府使用的软件的安全性对于联邦政府履行其关键职能的能力至关重要。商业软件的开发往往缺乏透明度，没有充分关注软件抵御攻击的能力，也没有足够的控制措施来防止恶意行为的篡改。迫切需要实施更加严格和可预测的机制，以确保产品安全地运行，并符合预期......联邦政府必须采取行动，迅速提高软件供应链的安全性和完整性，优先解决关键软件的问题。”

这项裁决将影响到任何希望与美国政府做生意的软件公司，但它应该作为各地的标准来应用。第三方供应商（更不用说使用第三方组件的开发者）对其安全措施缺乏透明度，这使得评估、验证和宣布网络安全最佳实践得到履行变得异常困难。我们必须分析我们使用的供应商和他们编写的软件。这些行动可能被视为 "额外的一英里"，但它们应该是网络安全最佳实践的黄金标准所固有的。

充满信心的航运安全代码长期以来一直是我们行业的一个痛点，但这是一个完美的机会，可以评估当前的流程，并带领人们向加固的软件和云基础设施发起挑战，让那些落后的人羡慕不已。现在就与我们交谈，了解你如何利用 Courses 评估和开发人员工具来认证你的下一个安全意识的开发人员团队。

‍

在我们这个超级连接的世界里，几乎每个组织都有一个共同的致命弱点。 一个单一的漏洞，只要他们的代码中有一个可利用的漏洞，就会引发客户数据被盗、声誉受损和重大经济损失。围绕安全编码的组织协调从未像现在这样重要，但实现它说起来容易，做起来难。 因此，在2020年，Secure Code Warrior 与埃文斯数据公司合作，对开发人员和管理人员对安全编码、安全代码实践和安全操作的态度进行主要研究*。

在这个网络安全至关重要的环境中，项目成功的传统关键绩效指标正在被重新定义--但还不够快。

当我们询问开发人员和管理人员关于软件开发过程中最关键的优先事项时。

• 76%被提名的应用程序性能 
• 62%的人挑选了特征和功能
• 而有50%多一点的人选择了安全代码
  

今天，我们可以看到，安全并不是一个关键的优先事项。 

但展望未来，情况发生了巨大的变化。当被问及衡量项目成功最重要的未来优先事项时，79%的开发人员同意安全编码将变得更加重要。事实上，开发人员认为安全是重要性将增加最多的KPI。 

但是，即使对安全编码的认识在不断提高，对其采用也有顾虑。对于开发人员和管理人员来说，处理漏洞和对代码负责足以让他们夜不能寐。我们的研究*显示，这两个群体都有相同的基本担忧，这表明需要更好的安全编码实践培训。 

围绕安全编码实践的关注点和障碍

开发人员的头号担忧是 "包括复制以前漏洞的代码"。由于开发人员是根据他们的代码质量来判断的，这一点并不令人惊讶。没有哪个开发者愿意成为不安全的代码的来源--或者需要返工并拖累其团队的代码。 

开发人员的第二大担忧是处理同事带来的错误。满足截止日期和对代码负责也在名单上名列前茅--学习安全代码是具有挑战性的，这也反映了开发人员对当前培训方法的不满。

另一方面，管理者更多的是采取自上而下的观点。他们最关心的是要对坏的代码或复制以前的漏洞的代码负责。 毕竟，如果他们的团队产生了糟糕的代码，那么责任就由经理来承担。 

学习过程具有挑战性这一事实排在第三位--这并不是安全编码实践的唯一障碍。 

45%的人认为利益相关者和管理层之间缺乏沟通是一个重要的路障。42%的人感叹新员工缺乏安全编码技能。 同时，40%的人提名培训时间和资源不足。

目前的安全代码培训方法无法提供--管理人员意识到需要一种新的方法。   

谁对安全代码的实践负责？ 

就其本质而言，安全编码的做法意味着在SDLC中更早地考虑安全问题。它意味着从一开始就积极地在软件的编写过程中建立安全，而不是留到以后。换句话说，就是 "左移"。这种 "左移 "是安全编码实践的本质。这意味着，最终，一个组织中的每个人都应该对安全代码负责。但现在，只有15%的开发人员同意。 

然而，虽然大多数开发人员仍然认为安全是别人的问题，但一小部分但越来越多的群组不仅积极拥抱安全编码，而且在他们的组织内倡导安全编码。29%的受访开发者同意在他们的工作场所存在这样的能手。问题是这些安全编码的拥护者仍然太少了。 

创建更多的安全推行者 

开发经理意识到需要识别和创建新的安全冠军，并提高一般开发人员的安全编码技能。 

许多经理在招聘新的开发人员时也很重视安全编码技能，并重视已经成为他们团队一部分的开发人员的安全编码经验。

83%的受访经理人说他们要求开发人员学习或采用安全编码实践。大约四分之三的受访经理表示，他们为开发人员提供激励措施，让他们参与安全代码培训。 这些激励措施包括从正式认可到更大的责任到更高的薪酬。 

很明显，开发经理是在组织层面上采用安全编码实践的关键影响者--并且有助于发现安全推行者。  

但是，当谈到创造更多这样的冠军时，是什么促使开发人员学习安全编码？我们的研究表明，他们把它看作是提高生产力和效率的手段。 

那么，为什么开发人员不推动更安全的代码培训呢？是什么阻碍了他们向日益增长的组织需求看齐？ 

开始解决调整的解决方案

开发人员不想坐在那里听讲师讲课--他们想亲手操作，亲自尝试。他们希望把重点放在实际应用上--这是目前的培训项目所严重缺乏的。当被问及如何改进公司提供的培训时，30%的受访者表示，他们希望培训能注重实际应用，特别是真实的工作场景。 

目前的培训实践无法实现这一点。需要一种新的方法--作为变革的推行者，Secure Code Warrior ，采取以人为本的方法，帮助组织重新调整安全编码。我们的网络安全 Courses提供有指导性的学习途径，包括模仿开发人员在现实世界中所面临的动手、"游戏化 "的编码挑战。 

这种培训是针对语言：框架的，不同于一般的培训，一般的培训往往是听完就走。 

当涉及到重新调整文化时。 Tournaments可以用来衡量编码员的安全技能，为未来的技能发展建立一个基线，并在你的开发团队中发现潜在的安全冠军。

如果你想知道更多关于安全代码培训的信息，使管理人员、开发人员和组织的需求一致，以实现安全编码的未来。 现在预订演示.

*从反应到预防的转变。应用安全的变化。 Secure Code Warrior 和 Evans Data Corp. 2020年

不安全的代码给公司带来了数以百万计的损失--那么是什么阻碍了采用安全编码的做法？ 

在一个几乎一切都依赖软件的世界里， 确保代码的安全是至关重要的。品牌声誉和财务生存能力都依赖于此。尽管如此，在安全编码方面仍有许多问题--在充分和有效地采用安全编码方面也有许多障碍。现在比以往任何时候都更需要一种新的工作方式。因此，在2020年，Secure Code Warrior 与埃文斯数据公司合作，对开发人员和他们的经理对安全编码的态度、安全代码实践和安全操作进行了主要研究*（下载白皮书 这里).

现在，组织发现很难实施安全的代码实践。开发人员和管理人员都发现处理漏洞和对代码负责的问题特别令人担忧。

很明显，需要更好的培训和支持安全代码实践的计划。当我们询问开发人员和他们的经理关于他们对安全编码的关注时，这种需求变得很明显。我们的研究*表明，这两个群体都有相同的基本关切。但由于他们的角色不同，他们对这些问题中哪些是最紧迫的有不同看法。  

开发人员的头号担忧是 "包括复制以前漏洞的代码"。由于开发人员是根据他们的代码质量来判断的，这一点并不令人惊讶。没有哪个开发者愿意成为不安全的代码的来源--或者需要返工并拖累其团队的代码。 

开发人员的第二大担忧是处理同事带来的错误。满足最后期限的要求和对代码负责也在名单上名列前茅--学习安全代码是具有挑战性的事实也是如此，这再次反映了对安全代码培训的新方法的需求。 

另一方面，管理者更多的是采取自上而下的观点。 

作为团队管理者和领导者，他们最关心的是对代码负责。如果一个团队产生了糟糕的代码，那么责任就在其经理身上。 

复制以前漏洞的代码排在第二位。学习过程具有挑战性的事实排在第三位。由于目前的安全代码培训方法无法实现，管理人员意识到需要一种新的方法。

采用安全编码做法的障碍

当我们询问经理们在他们的组织中采用安全编码做法的障碍时，有两件事非常突出：沟通和培训。 

45%的人认为利益相关者和管理层之间缺乏沟通是一个重要的路障。42%的人哀叹新员工缺乏安全编码技能。 同时，40%的人提名培训时间和资源不足。 

在整个组织中成功地采用安全代码实践，存在着与流程和人力资源相关的障碍。 

但是，尽管有这样棘手的问题，你仍然可以取得进展。新员工缺乏安全编码技能以及培训和资源不足的问题比较容易解决。 

当涉及到阻止漏洞时，开发人员处于战斗的前线。但是，他们是否得到了支持、工具和培训，以维持他们在安全交易中的角色？

基于他们的担忧，简短的回答是 "不"。 

事实是，正确的培训不应该让人觉得是在讲课。 

作为安全编码变革的推行者，Secure Code Warrior 采取以人为本的方法，积极吸引开发人员学习和建立他们的安全编码技能。我们经过验证的Learning Platform ，为开发和安全团队提供了他们喜欢的工作流程中的背景和高度相关的学习。它使他们不仅能够发现漏洞，而且能够从一开始就防止它们发生。

这种实践培训是一个提高技能的机会--对于那些认真制止漏洞并与团队其他成员合作以产生更高标准的代码的开发人员来说，这种职业发展只有积极意义。

如果你想了解更多--并看到对你的团队 "从左到右 "的能力的潜在影响，并在不影响安全的情况下更快地发送安全代码。 现在预订演示.

*从反应到预防的转变。应用安全的变化。 Secure Code Warrior 和 Evans Data Corp. 2020年

现在，只有15%的开发者同意安全代码实践应该是每个人的责任。在一个安全威胁不断增加的世界里，这根本不够好。有些事情必须要做。创建一个健康的AppSec文化的关键之一是了解起作用的关键影响因素（和影响者！）。因此，在2020年，Secure Code Warrior 与埃文斯数据公司合作，对开发人员和管理人员对安全编码、安全代码实践和安全操作的态度进行主要研究*。

当涉及到安全编码实践的重要采用时，某些角色具有越来越大的影响力和发言权，这可以帮助迫使其他人学习和采用最佳实践。 

其中第一个是开发经理，劝说不喜欢AppSec的开发人员采用安全编码的思维方式。开发经理意识到，他们和他们的团队需要增加和改善他们的安全编码技能组合。42%的受访经理对新员工缺乏安全编码技能感到遗憾。

第二种是 "安全冠军"。虽然大多数开发人员仍然认为安全是别人的责任，但有一小部分人却在不断增长，他们接受安全编码，并向他们的同伴倡导安全编码。25%的受访开发者同意有合适的人领导安全编码的变化。

虽然这些拥护者可能只是一个开发人员或高级开发人员，但他们可以对推动组织走向主动安全态势产生巨大的影响。

但首先，让我们看一下开发经理在这方面的作用。 

83%的受访经理人说他们要求开发人员学习或采用安全编码实践。大约四分之三的受访经理表示，他们为开发人员提供奖励，让他们参与安全代码培训。  

• 67%的人为开发者提供了承担更大责任的可能性，作为对学习安全编码做法的认可。 
• 47%的人说，他们提供了更高薪酬的潜力。 

许多经理在招聘新的开发人员时，会重视安全编码技能，并重视已经成为他们团队一部分的开发人员的安全编码经验。

很明显，在组织层面上，开发经理是采用安全编码实践的关键驱动力--并且有助于在他们的开发者队伍中发现安全卫士。  

识别安全推行者 

提高开发人员参与安全代码培训和意识计划的关键之一是在他们目前的开发人员队伍中确定安全推行者或拥护者。 

一些开发经理已经这样做了--55%的受访者说他们对在特别活动中表现出色的开发人员进行表彰。 

作为安全编码变革的推行者，Secure Code Warrior ，了解特别活动和比赛的力量，以激发组织的开发人员的最佳状态。这就是为什么我们将Tournaments 作为我们Learning Platform 的核心支柱。 

提高安全意识和所有权

通过一系列的挑战、时间限制、排行榜和奖品，tournaments ，产生一种嗡嗡声，使安全编码变得很酷，促进安全意识和所有权。 

当谈到衡量安全代码培训的效果时，65%的受访开发经理表示，定期的技能评估推动了他们组织对安全编码的关注。Tournaments ，可以用来衡量编码员在一个活跃但安全的环境中的安全技能，并迅速建立未来技能发展的基线。这种游戏化的培训提供了相关编程语言和框架的上下文实践经验，其挑战模仿了开发人员在现实世界中面临的挑战。

在整个tournament ，开发人员获得积分，并观察他们爬到排行榜的顶端。观察排行榜有助于管理层发现其开发团队中潜在的安全冠军。

如果您想了解更多关于通过游戏化的培训来培养安全代码技能和意识，从而吸引开发人员并确定安全拥护者。 现在预订演示.

‍

*从反应到预防的转变。应用安全的变化。 Secure Code Warrior 和 Evans Data Corp. 2020年