为什么游戏化是提升软件安全性的关键

应用安全经理、首席信息官、首席信息官、网络安全专家——在我从事软件开发和安全工作的职业生涯中，我曾与许多来自全球各类企业的从业者交流过。

无论你们的情况如何不同，团队经验如何丰富，在这个瞬息万变的数字世界里时间如何流逝，始终存在一个不变的问题：你们很少能让开发团队对安全问题产生积极态度。安全至今仍是禁忌话题，是团队冲突的根源，更是整个行业的头号痛点。

然而，软件安全对我们的整体思维方式而言至关重要，我们不能继续沿用这种方式。我们必须努力改变讨论方向，让安全成为每位开发者工作生活中不可或缺的一部分。我认为实现这一目标的最佳途径之一，就是通过游戏化等方式增强开发者的安全意识并加强与他们的互动。

当前景观

开发者从大学毕业时，对部署安全代码的实践知识知之甚少。他们从事的职业中，安全培训很少被列为优先事项（即便被提及，通常也只是健康安全合规视频的附带内容——这些视频枯燥乏味，以至于没人会因此开始关注安全编程）。 他们初次接触安全领域时，往往遭遇审计报告或测试漏洞报告——这些报告会突然搁置即将发布的版本，并立即成为压倒性优先级，彻底打断他们的创造性思维。他们与安全报告负责人争执不休，以致"安全"一词在他们脑海中成了"批评"的代名词。真恶心。

说实话，软件安全领域存在如此普遍的负面认知，实在令人惋惜。毕竟，我职业生涯中最美好的回忆，恰恰与学习软件安全知识息息相关。 我初涉黑客领域的岁月，是在各类技术会议中度过的。这些场合不仅让我得以与同行切磋技艺（说实话，也有一点炫耀的成分），更让我乐在其中——结识那些与我同样痴迷软件开发、志趣相投的伙伴们。

BruCon、DefCon、BlackHat……这些活动让我们这类人得以在友好的竞技中施展所长。 虽然我绝不会承认自己参与过这类不合群的活动，但有些人甚至通过入侵其他参与者的手机，将他们的信息公之于众——在演示屏幕上展示给所有人看——来展示自己的黑客能力。这变成了一场游戏：发现漏洞、利用漏洞、修复漏洞，从而改进软件。 几年前，我有幸在中东地区面向数百名儿童讲授网络安全知识。至今仍记得学员中一位八岁女孩，她在游戏中学会了密码暴力破解和Base64编码技术。

游戏化也被用于传授编程知识。全球教育机构正采用这种方法，向幼儿乃至高中生教授编程。如今四岁的孩子已能定期参加CodeCamp等假期项目，还有许多出色的在线课程教导儿童使用Python等语言编程。 我甚至为四岁的女儿购置了出色的无屏幕编程工具Cubetto。

尽管乐趣与进步并存，却存在一个缺口。没有人想到可以利用游戏化来教导开发者编写安全的代码。

嗯……几乎没人。几年前我意识到，我们必须重新让安全工作充满吸引力，真正激励开发者们积极参与并开始尝试。

游戏化：通往未来的捷径。

我内心深处怀有强烈的渴望，希望帮助开发者成长并传授安全知识，正是这份热情促使我Secure Code Warrior 。软件安全至关重要，同时也能带来真正的兴奋感。

我的思想并非孤立存在。

游戏化能让最平凡的任务变得充满乐趣，促使人们持续游戏、追求胜利、不断进步——看看《精灵宝可梦GO》的成功模式就知道了！ 它甚至能让最懒的人离开沙发，外出寻找虚拟生物；就像FitBit让许多人把完成步数目标当作日常任务...当目标未达成、连胜未延续、徽章未获得时，那种真实的失落感油然而生。

此外，让我们回到安全培训的话题。我们已通过众多客户案例证明，游戏化是真正改变组织安全文化的关键。我们致力于在应用安全团队与开发团队之间架设桥梁，并全面协助他们开发更高标准的软件。

目前安全并非开发者的首要考量。通过在训练方法中融入友好、竞争和引人入胜的元素，您能激励他们不仅参与"游戏"，更会反复回归以获取更多积分、刷新最高纪录、提升精准度并挑战队友。

我们已经知道，成功的训练大致是这样的：

• 开发者可以使用真实代码并在其自己的语言/框架中工作
• 挑战简短且涵盖所有常见安全漏洞
• 挑战将持续扩展和更新，使开发者能够随着时间推移不断提升自身能力。
• 这些挑战具有不同程度的复杂性，因此无论对经验丰富的开发者还是经验尚浅的开发者都极具吸引力。
• 开发人员及其经理可以追踪进度，包括他们克服的挑战、个人优势与不足、培训投入时间以及整体准确率。

我们的一位重要客户在平台推广过程中展现了游戏化平台的真正魔力。他们为开发团队配备了主题团队装备，为获胜者准备了丰厚奖品，将竞赛打造成难忘的盛会。此后他们持续举办国际赛事，整个团队至今仍坚持投入大量时间进行专业培训。

您的软件革命之旅由此启程。澳大利亚银行业正引领一场变革，通过游戏化培训对抗低质量代码。这种颠覆性的创新方法彻底改变了传统（或枯燥）的培训模式。看看我们的客户如何通过高级竞赛 提升团队实力。您准备好与我们共同进化团队了吗？

我们必须努力改变这种对话，让安全成为每位开发者工作生活中不可或缺的一部分。我认为实现这一目标的最佳途径之一，就是通过游戏化等手段增强开发者的安全意识并加强与他们的互动。