为什么脚手架式学习能培养出自信满满的开发者

浏览科技新闻短短几分钟后，威胁形势正变得多么危险便会显而易见。似乎每天都有重大数据泄露、新漏洞或网络攻击者与犯罪分子发起的严重活跃威胁的报道涌现。 几乎所有行业报告和数据都显示网络威胁数量正持续攀升，多数专家预测这一趋势将在未来数年持续加剧。

面对这些新威胁，一线IT安全人员疲于奔命且人手不足。尽管他们薪资丰厚且对任何企业或组织都几乎不可或缺，但安全人员永远供不应求。 战略与国际研究中心近期调查显示，82%的IT决策者表示其组织面临网络安全技能短缺问题，71%的受访者称这种短缺已对组织造成可量化的直接损害。 报告指出，仅在美国，网络安全领域就有超过52万个职位空缺，而该领域从业人员总数仅约94万。

目前全球约有350万个网络安全职位处于空缺状态，这意味着即使那些愿意支付高额薪资来招聘和留住顶尖人才的机构，也难以找到合适的候选人。平均而言，填补网络安全职位所需的时间比其他职位多出约21%，即便最终能成功填补。

开发者授权功能长期被忽视

我们在许多之前的博客中注意到，可以借助开发人员来填补网络安全防御中的某些关键漏洞。问题在于，传统上开发人员从未接受过网络安全培训。他们的工作表现几乎完全取决于开发速度和实施周期，而安全问题则被推给后续的AppSec团队处理。

不幸的是，这不仅仅是改变话题，要求开发人员突然开始为他们的应用程序和软件添加安全功能那么简单。 即使他们愿意做出改变——调查显示许多开发者确实如此——仍需接受培训才能实现。他们同样需要高层管理者的激励与支持，但首要障碍（往往也是最大的障碍）在于能否获得实质性的学习机会。

全球数百万个高薪且高度安全的IT安全职位长期空缺，这背后存在深层原因。若这份工作轻松简单，所有人都会蜂拥而至。学习如何抵御威胁、消除代码漏洞本就困难重重，而威胁形势更在持续演变。 试图教授网络安全知识——即便对象是技术相对精通的开发人员——若采用快速过时且难以记忆的静态培训方式，不仅效率低下，成效也微乎其微。尤其当这些培训要求叠加在他们本已超负荷的工作日程上时，更难产生积极影响。

搭建脚手架以到达更高处

用传统方法教授网络安全技能，就像试图不离地就建造摩天大楼。这是不可能的，因为学生缺乏掌握网络安全这类复杂领域众多高级概念所需的基础。为弥补这一缺陷，可以采用脚手架教学法。

当采用阶梯式或分层式方法提升技能时，更广泛的主题通常会被分解为独立的学习体验或概念。这确保学生能够通过适当的练习和指导掌握每个概念，为每个组成部分提供必要的支持。 新颖且更高级的概念会与已掌握的内容相互叠加，如同建筑施工中随楼体升高而搭建的脚手架。通过这种方式，学生能够达到更高层次的理解与技能掌握水平——这远超其独立学习所能企及的境界。

正如物理支架一样，这种支持在不再需要时会逐渐撤除，随着学生掌握的知识日益增多，他们承担的责任也随之加重。

脚手架式教学法主要用于缓解学生在尝试困难任务时可能产生的负面情绪与自我认知——当他们因缺乏帮助而感到挫败、畏难或气馁时。但面对现代网络安全这类极其复杂的概念时，这种方法同样具有重要价值。 这种方法绝非将开发者当作孩童对待，反而在他们与安全团队协作时尤为有效——这种协作往往同样令人沮丧且挫败，尤其当开发者辛勤工作换来的却是错误修正和新一轮批评时。

当开发人员获得理解安全编码基础的工具（通常从OWASP十大安全风险开始）时，他们能够亲身体验安全漏洞如何产生、为何危险以及如何在代码进入生产环境前修复这些问题。 在此基础上，他们可通过处理更复杂的漏洞并积累实践经验来深化知识体系，掌握实施有效解决方案的技巧。安全防护层将逐步构建完善，当面对软件架构缺陷或威胁建模等高级安全问题时，这些进展将使挑战不再令人望而生畏，反而能精准应对。

作为行业，我们不应指望开发人员成为安全专家，但组织可以采用新标准来培训开发人员，使其能够产出更高质量的软件。对于从事工程工作并提升技能的组织而言，额外优势在于：随着他们不断学习，流程中的每一步或每个支撑层级都将直接转化为网络安全的提升。 无需等到课程结束才能看到成效。

学习网络安全知识颇具挑战，若缺乏恰当的指导与帮助，要真正掌握它几乎是不可能的。采用循序渐进的安全培训计划能助您充分受益，其成效几乎立竿见影。改进措施将即刻见效，并随时间推移持续优化。

与我们携手，为开发者打造坚实的安全基础；了解更多：

课程
任务
开发者培训

...还有更多！