您希望开发人员在编程时考虑安全性吗？将培训带到您身边。

软件开发生命周期（SDLC）看似平淡无奇；它是一个过程，而我们程序员齐心协力让奇迹发生，将那些社会不可或缺的数字化成果送达万家。

不过……如果你曾参与过软件开发项目，就会明白这通常充满挑战，需要完成无数任务，击败无数难关。这种状态能让人乐在其中一阵子，但疲惫感终究会袭来。软件需求迫使我们所有人——尤其是开发团队——在最佳状态下也得像闪电般工作。

现在想象他们面临另一项不可或缺的任务：对所经手项目元素的安全性负责。最坏的情况下，这可能导致某些人的纸牌屋轰然倒塌，但更现实的情形是安全问题根本不会成为优先事项，那些被视为更紧急的任务反而会越界。 鉴于多数开发者未接受过安全编程培训（尤其当管理者同样忽视安全时），频繁的数据泄露、缺陷应用发布以及安全专业人员因海量缺陷代码而崩溃离职的现象也就不足为奇了。

开发人员需要一位应用安全卫士。

在分析上述情境时，你便能理解为何安全问题在编码过程中会被归入"过于困难"的篮子，最终留给安全团队处理。 过多的相互冲突的截止日期、不足的培训资源，以及在诸多事务缠身时根本无暇顾及安全问题——这些因素共同造就了现状。然而，代码需求量之大已使这种现状难以维系。正是在此背景下，精英开发者得以脱颖而出：他们不仅能掌握新技能，更重要的是——编写出更安全的代码。

然而，必须牢记的是，软件安全管理不仅是开发人员的责任，它仍然是应用安全团队（AppSec）的专属领域（当该团队与注重安全的开发人员协作时，将获得更多喘息空间，而非反复纠正常见错误）。一个有效的DevSecOps流程要求团队所有成员都获得所需的支持和工具，以共同承担安全责任，而正确的培训至关重要。平衡合适的工具组合与培训需求，需要AppSec专业人员具备远见卓识，他们愿意与开发人员紧密合作，激发他们的热情并推动积极变革。

破坏性培训往往弊大于利，任何令开发者反感的做法都注定失败。替代方案是采用集成开发环境（IDE）或与问题跟踪系统集成的解决方案，聚焦于小规模知识传递，在开发者需要时精准提供所需信息。

实际运作方式如下：

及时，而非“以防万一”。

实践性情境化学习无疑是最有效的培训方式，因为它能在知识最需要被吸收的时刻，提供恰到好处的知识点。这种方法有时被称为"及时培训"（JiT），对正在学习安全编程的开发者尤为有益。

源于丰田精益生产理念，iIT培训旨在根据知识需求动态激活，在关键时刻提供情境化支持。 开发人员刚写出的代码似乎存在权限问题？若因此打开后门，允许攻击者远程执行代码会怎样？若开发人员能在需要时即时获取知识，而非翻阅Confluence文档或搜索培训中提及的内容，这种学习体验将更令人难忘。

及时学习是"以防万一"式学习的对立面；尽管后者是传授知识最常见的方式，但效率低下。我们应引导开发者关注安全编程的最佳实践，使其认识到提升专业技能的优势，同时确保他们始终聚焦于当前正在推进的关键目标。

别再让开发人员参加培训了。

我们都知道工作日要做的事情已经够多了，那么开发者有什么动力去教室或转换环境，遵循五个步骤去获取基于静态理论的培训呢？

普遍共识认为，考虑到数据泄露造成的漏洞数量，大多数组织采取的措施并不十分有效。威瑞森2020年数据泄露调查报告指出，43%的数据泄露可归因于网络漏洞。 开发人员未能获得有效培训——无论是高等教育阶段，还是职场技能提升计划中。若培训到位，诸如SQL注入和老派路径遍历等常见漏洞就不会被利用来窃取大量数据，网络安全人才短缺问题也不会失控。

那么，既然我们清楚当前开发人员接受安全培训和熟悉安全知识的环境状况，为何对糟糕的结果感到惊讶？ 若能确保培训体验更流畅、更集成、更少干扰，且可直接在开发者实际工作空间（如Jira、GitHub和IDE）中获取，这将对开发者和组织产生双重（积极）影响。行业亟需推进变革，让安全意识培养变得更简单易行——在当今时代，安全已不再是可有可无的奢侈品。

您准备好保护开发工作流程了吗？

注重安全的开发人员因其专业技能和在编码阶段为组织提供的保护而备受推崇。 安全已非可选项，尤其当我们考虑到《通用数据保护条例》的罚款、PCI-DSS合规规范、NIST治理框架...以及可能面临的巨额集体诉讼风险——正如Equifax遭遇的那样。

一种综合方法或许能成为催化剂，通过更平缓的学习曲线赢得开发者青睐，同时开辟途径开展更深入的课程培训、培养安全倡导者，并激发我们所需的共同责任感——这正是维护全球数据安全所必需的。

立即下载适用于Jira和GitHub的集成工具，并分享您的见解。