为什么游戏化是提升软件安全性的关键

应用安全经理、首席信息安全官、首席信息官及网络安全专家：在我从事软件开发与安全工作的职业生涯中，我曾与众多来自全球各类企业的从业者进行过交流。

无论您的处境如何不同，团队经验如何丰富，或在这个瞬息万变的数字世界中浸淫多久，始终存在一个恒久不变的难题：您极少能让开发团队积极参与安全事务。安全仍是禁忌话题，是团队间的冲突根源，更是整个行业的真正痛点。

然而，软件安全的重要性远超我们当前普遍的思维模式所能容忍的程度。我们必须努力改变这种认知，让安全成为每位开发者工作中不可或缺的一部分。我认为实现这一目标的最佳途径之一，就是赋能开发者，通过游戏化等手段与他们互动，共同推进安全议题。

当前形势

开发人员从大学毕业时，对安全交付代码的实践知识知之甚少，他们从事的工作中，安全培训很少被列为优先事项（即使被列为优先事项，通常也只是强制性健康与安全合规视频的一部分——这些视频枯燥乏味，根本无法激发人们对安全编码的兴趣）。 他们初次接触安全领域，往往是审计或测试报告中某个漏洞突然叫停了新版本发布，瞬间将安全问题变成阻碍创意的紧急事项。当开发者与安全报告方产生分歧时，"安全"一词便成了"挑刺"的代名词。真令人作呕。

说真的，这种对软件安全的负面认知如此普遍，实在令人遗憾。 毕竟，我职业生涯中最美好的回忆，都与学习软件安全相关。作为黑客的最初岁月，我常参加各类会议——在那里不仅能与同行切磋技艺（说实话，也稍稍炫耀一番），更乐在其中地结识志同道合的朋友，他们和我一样享受创造软件的乐趣。

BruCon、DefCon、BlackHat……这些活动为像我这样的人提供了在友好竞赛中施展技能的机会。虽然我绝不会承认自己参与过如此不合群的活动，但有些人甚至会炫耀自己的黑客本领——偷走其他参与者的手机，并将他们的信息展示在演示屏幕上供所有人观看。 这逐渐演变成一场寻找漏洞（利用并修复）的游戏，旨在推动软件优化。 几年前，我有幸在中东地区面对数百名儿童讲授网络安全知识。至今仍记得班上一名八岁女孩的身影——她边玩耍边学习暴力破解密码和base64编码技术。

游戏化教学也被用于培养编程技能。全球教育机构正采用这种方法，向包括初中生在内的低龄儿童传授编程知识。 如今四岁的孩子已能定期参加CodeCamp等圣诞编程活动，还有众多优质在线课程教导儿童学习Python等编程语言。我甚至为四岁的女儿购置了出色的无屏幕编程工具Cubetto。

然而，尽管乐趣与进步并存，仍存在一道鸿沟。没有人想到可以利用游戏化来培训开发者编写安全代码。

好吧……几乎没人。几年前，我意识到我们必须让安全工作重新变得鼓舞人心，真正激励开发者参与进来，开始尝试。

游戏化：最简便的实现路径。

我怀着强烈的愿望，致力于推动和培养开发者掌握安全知识，正是这份热情促使我创建了Secure Code Warrior。软件安全至关重要，而且能带来真正的兴奋感。

我并非独自思索。

游戏化能让最平凡的任务变得更有趣，并让人们保持足够的参与度，渴望继续游戏、赢取奖励并不断进步。 看看《精灵宝可梦GO》的魔力吧！它让最懒惰的人也从沙发上起身，奔向户外追寻虚构生物；再看FitBit如何成为许多人每日达成的目标——若未能完成步数目标、中断连续记录或错失徽章，人们会产生真实的失落感。

因此，让我们重新聚焦安全培训。我们通过众多客户案例证明，游戏化是真正转变组织安全文化、在应用安全团队与开发团队之间架设桥梁、并帮助他们打造更高水平软件的关键所在。

目前，安全性并非开发者的首要考量。当你在训练方法中加入友好、竞争且富有吸引力的元素时，不仅能激励学员"参与游戏"，更能促使他们持续累积积分、刷新高分纪录、提升精准度，并挑战队友。

我们都知道，成功的培训大致是这样的：

• 开发人员可以使用真实代码并基于其自身语言/框架进行开发。
• 挑战简短且涵盖所有常见安全漏洞
• 挑战不断扩展和更新，以便开发者能够随着时间推移持续提升自己的技能。
• 这些挑战的复杂程度各不相同，因此对资深开发者和经验较少的开发者都极具吸引力。
• 开发人员及其经理可以查看进度，包括已完成的挑战、个人优势与劣势、培训投入时间以及整体准确率。

我们的一位重要客户在平台发布时展现了游戏化平台的真正魔力：他们向开发者赠送主题装备，为游戏优胜者提供丰厚奖品，将赛事打造成难忘的一天。此后他们持续举办国际竞赛，至今整个团队仍在投入大量时间进行训练。

您的软件革命由此启程。澳大利亚银行业正引领游戏化培训浪潮，以颠覆传统（或枯燥）培训的创新方式对抗错误代码。看看我们的客户如何通过高级别竞赛实现突破——您准备好与我们携手让团队升级了吗？

我们必须努力改变讨论方向，让安全成为每位开发者工作生活中不可或缺的一部分。我认为实现这一目标的最佳方式之一，就是赋能开发者，并通过游戏化等手段与他们互动开展安全工作。