为什么游戏化是提升软件安全性的关键

在软件开发和安全领域的工作生涯中，我接触过众多应用安全负责人、首席信息安全官、首席信息官以及网络安全专家——他们来自全球各地的各类企业。

无论身处何种境地，无论团队经验如何丰富，无论在这个瞬息万变的数字世界中经历多少岁月，一个问题始终如影随形：他们极少能有效引导开发团队积极参与安全工作。安全仍是禁忌话题，是团队间的冲突根源，更是整个行业的真正难点。

然而，软件安全的重要性远超我们当前普遍的认知水平。我们必须努力扭转局面，让安全成为每位开发者职业生涯中不可或缺的一部分。我认为实现这一目标的最佳途径之一，就是通过游戏化等手段让开发者承担起安全责任并积极参与其中。

当前的景观

开发人员从大学毕业时，对安全编码的实践知识知之甚少。他们进入的工作岗位中，安全培训很少被列为优先事项（即便被列入，通常也只是强制性的健康安全合规视频内容——这些视频枯燥乏味，以至于没人会真正关注安全编码）。 他们初次接触安全领域，往往是遭遇审计或测试报告突然中断未来版本开发，瞬间扼杀了他们的创造力。他们与安全报告负责人产生分歧，于是"安全"一词在他们心中便与"挑刺"画上了等号。真恶心。

软件安全领域普遍存在这种负面认知，实在令人遗憾。毕竟，我职业生涯中最美好的回忆，恰恰与学习软件安全密不可分。 我接触黑客技术的最初岁月，是在各类会议中度过的。在那里，我不仅能与同行切磋技艺（说实话，也有一点炫耀的成分），更能与志同道合的伙伴们尽情畅谈——这些热衷破解软件的同好们，其热情程度丝毫不亚于我。

BruCon、DefCon、BlackHat……这些活动让像我这样的人得以在友好的竞赛中施展所长。我绝不会承认参与过这类反社会活动，但有些人甚至会通过入侵其他参赛者的手机，并将他们的信息公之于众——在展示屏幕上供所有人观看——来炫耀自己的黑客本领。 寻找漏洞、利用漏洞、修复漏洞，以此改进软件——这已成为一种游戏。 几年前，我有幸接触数百名中东地区的孩子，为他们传授网络安全知识。至今仍记得班上一名八岁女孩的身影——她一边玩游戏，一边学习暴力破解密码和base64编码技术。

游戏化教学同样被用于教授编程技术。全球各地的教育机构正采用这种方法，为学龄前儿童乃至高中生传授编程知识。如今，年仅四岁的孩子已能定期参与"编程夏令营"等假期项目，更有众多优质在线课程教导儿童学习Python等编程语言。 我甚至为四岁的女儿购置了这款超棒的无屏幕编程工具——Cubetto。

然而，尽管乐趣与进步并存，仍存在一个缺口。没有人想到可以利用游戏化手段来培养开发者编写安全代码的能力。

嗯……几乎没人。几年前，我意识到我们必须为安全领域注入新的灵感，真正激励开发者参与进来并开始行动。

游戏化：最简单的解决方案。

我怀着坚定的决心致力于帮助开发者掌握安全知识，正是这份热忱促使Secure Code Warrior。软件安全至关重要，而且它确实充满魅力。

我并非唯一这么想的人。

游戏化能让最平凡的任务变得更有趣，并让玩家保持足够的动力持续游戏、赢取奖励并不断进步。看看《精灵宝可梦GO》的玩法就知道了！它让最懒惰的人也从沙发上起身，外出寻找虚构生物，或是发现FitBit如何设定每日步数目标... 若目标未达成，连胜中断，徽章未能获得，人们便会产生真实的失落感。

让我们回到安全培训的话题。我们已向众多客户证明，游戏化对真正改变其组织的安全文化至关重要——它能促进应用安全团队与开发团队的协作，并帮助他们整体上打造符合更高标准的软件。

目前，安全性并非开发者的首要考量。通过在训练方法中融入友好、竞争和互动的元素，您不仅能激励他们"参与游戏"，更能促使他们反复练习以获取更多积分、刷新最高纪录、提升精准度，并挑战团队其他成员。

我们已经知道，成功的培训是这样的：

• 开发人员能够使用真实代码并在其自己的语言/框架中工作
• 挑战简短且涵盖所有常见安全漏洞
• 挑战不断扩展和更新，以便开发者能够随着时间推移持续提升技能。
• 这些挑战的复杂程度各不相同，因此无论对经验丰富的开发者还是经验尚浅的开发者都极具吸引力。
• 开发人员及其主管可以查看所取得的进展，包括他们克服的挑战、自身优势与不足、投入培训的时间以及整体准确性。

我们的一家重要客户在部署游戏化平台时展现了其真正的魔力：他们为开发者提供了主题团队装备，为游戏优胜者准备了丰厚奖品，更将赛事打造成了难忘的一天。此后他们持续举办国际竞赛，整个团队至今仍保持着高强度的训练。

您的软件革命之旅由此启程。澳大利亚银行业正引领潮流，通过游戏化培训对抗劣质代码——这种颠覆传统（或枯燥）培训模式的创新举措堪称行业典范。看看我们的客户如何通过顶级编程大赛实现突破。您准备好与我们携手提升团队实力了吗？

我们必须努力改变现状，让安全成为每位开发者职业生涯中不可或缺的一部分。而我认为实现这一目标的最佳途径之一，就是通过游戏化等手段让开发者承担起安全责任并参与其中。