为什么脚手架式学习能增强开发者的安全意识

只需浏览几分钟科技新闻，您就会迅速意识到威胁形势正变得何等严峻。如今似乎每天都有重大数据泄露事件、新漏洞被曝光，或是网络攻击者与犯罪分子正积极利用严重威胁的报道。 几乎所有行业指标和报告都显示网络威胁数量正持续攀升，多数专家预测这一趋势将在未来数年持续加剧。

面对这些新威胁，负责信息安全的基层人员已精疲力竭且人手不足。尽管薪资水平较高，且几乎所有企业或组织都离不开他们，但安全人员永远供不应求。 战略与国际研究中心近期调查显示，82%的IT决策者表示其机构存在网络安全人才短缺问题，71%的受访者指出这种短缺已给机构造成可量化的直接损失。 仅在美国，报告显示网络安全领域就有超过52万个职位空缺，而该领域从业人员总数仅为94万人。

全球目前约有350万个网络安全职位空缺，这意味着即使那些愿意支付高额薪资来招聘和留住顶尖专业人才的机构，也难以找到合适的候选人。 平均而言，填补一个网络安全职位所需的时间比其他职位多出约21%，即便这些职位最终能被填补。

开发者的激活请求被忽视得太久了

我们在许多之前的博客中指出，开发人员可能需要弥补网络安全防御中的某些关键漏洞。问题在于，传统上开发人员从未接受过网络安全培训。他们的职业表现几乎完全基于开发速度和部署时效，而安全工作则被交由更远端的AppSec团队负责。

遗憾的是，这并非简单地改变节奏，要求开发人员突然开始加强其应用程序和程序的安全性。 即使他们愿意做出这些改变——调查显示其中许多人确实如此——他们仍需要培训才能实现目标。他们同样需要高层管理者的鼓励与支持，但能否获得实质性培训才是首要障碍，往往也是最关键的障碍。

全球数百万个薪资优厚且高度安全的网络安全职位长期空缺绝非偶然。若此类工作轻松易得，人人都会投身其中。掌握抵御威胁、消除代码漏洞的技能本就困难重重，而威胁形势更在持续演变。 即便对技术素养较高的开发人员，试图通过静态培训来传授网络安全知识也难以奏效——这类培训内容迅速过时且难以记忆，效果微乎其微，尤其当这些要求被叠加在他们本已超负荷的工作日程上时。

搭建脚手架以到达更高处

采用传统方法教授网络安全技能，犹如试图在双脚始终不离地面的情况下建造摩天大楼。这种做法行不通，因为学生缺乏掌握网络安全这类复杂领域众多高级概念所需的基础知识。为弥补这一缺陷，可采用支架式学习法。

在采用阶梯式或分层式技能提升方法时，更广泛的主题通常会被分解为独立的学习体验或概念。这确保学生能够通过适当的练习和指导掌握每个概念，同时为每个组成部分提供必要的支持。 新颖且更高级的概念会逐步叠加在已掌握的知识之上，如同建筑施工中随楼体升高而搭建的脚手架。通过这种方式，学习者能够达到超越自主学习能力的理解深度与技能掌握水平。

正如实体脚手架一样，这种支撑也会在不再需要时逐步撤除，随着学生能力提升，教师对他们承担的责任也日益加重。

脚手架式教学法主要用于减轻学生在尝试困难任务时可能产生的负面情绪和自我认知问题——尤其当他们因缺乏指导而感到挫败、畏难或气馁时。 但面对现代网络安全这类极其复杂的概念时，这种方法同样大有裨益。这绝非将开发者视为孩童的处理方式，而是在他们与安全团队协作时——尤其当辛勤付出换来的是漏洞修正和新一轮批评时——这种方法能有效缓解同样令人沮丧挫败的体验。

当开发人员掌握理解安全编码基本原理的工具（通常从OWASP十大安全漏洞开始）时，他们能够亲身体验安全漏洞如何产生、为何危险，以及如何在代码投入生产前进行修复。 在此基础上，他们可通过攻克更复杂的漏洞并积累实际修复经验来深化知识体系。 安全层级将逐步扩展，当涉及到高级安全问题（如不安全的软件架构或威胁建模）时，这些进展便不再令人望而生畏，反而能被精准应对。

作为行业，我们不应指望开发人员成为安全专家，但组织可以采用新标准来帮助开发人员生产更高质量的软件。 更值得一提的是，对于正在提升工程能力的组织而言，随着团队不断学习成长，流程中的每个环节或每个基础架构层级都将直接转化为更强的网络安全防护能力。无需等到课程结束才能看到成效。

了解网络安全知识颇具挑战，若缺乏适当的指导与帮助，几乎不可能真正掌握。采用配套结构化培训的安全方案能助您充分发挥其价值，其效益几乎立竿见影。改进措施将即刻启动，并随时间推移持续优化。

开始与我们共同培养安全领域的高效开发者；探索：

课程
Missions


开发者培训...还有更多！