关于安全代码的信息

在网络威胁不断滋生的世界里，您的程序员是否在加倍努力？ 作为安全编码中至关重要的人类要素，开发者是否已准备好在保障互联世界安全中发挥作用？为解答此问题，Secure Code Warrior Data Corp.近期联合开展的研究数据——该研究深入探讨了开发者对安全编码的态度、安全编码实践及安全运营现状。 ‍

开发人员在安全编码方面的能力：认知与现实

在即将出版的《从反应转向预防：应用程序安全的新面貌》一书中，97%的受访开发者认为自己接受过足够的安全编码培训，95%的人承认安全编码培训对他们的职业生涯大有裨益。 但在全盘接受这些结论之前，我们需要深思并提出几个关键问题。 为何代码漏洞依然如此普遍？"既然开发人员接受了如此完善的编码安全培训，为何过去二十年间引发多数安全漏洞的十大软件漏洞仍会反复出现？"  

究竟发生了什么？

开发人员声称自己接受过良好的安全培训，但这是否属于过度自信？一个关键指标是，这种积极的自我评估与开发人员对安全编码难度的认知存在矛盾。 尽管多数开发者声称接受过充分且有用的培训，但绝大多数开发者和开发负责人仍认为实施安全编码实践极其困难。

• 超过91%的开发负责人表示，实施安全编码实践具有挑战性。
• 超过88%的开发人员认为安全编码具有挑战性。作为安全编码中至关重要的"人为因素"，开发人员未能获得所需的安全编码培训，这凸显了加强安全编码培训的必要性，以及需要通过 技能升级 将安全意识融入其思维方式。

为什么实施安全编码如此困难？

为理解开发人员和开发负责人为何认为实施安全代码具有挑战性，我们邀请他们指出实施过程中的主要顾虑。

调查结果显示，28%的人认为学习过程困难，而24%的人则认为学习过程本身枯燥乏味。

这些主要关切存在相互关联的含义。由于学习过程困难重重，亟需开展更具吸引力的培训。同时，鉴于学习过程枯燥乏味，开发人员迫切需要更具针对性的培训，这凸显了开展面向开发人员的成人教育培训的必要性。

« 我想学习一些知识，使其能够持久存在，并能将其恰当地应用于其他场景。这便是Secure Code Warrior》的意义所在。 »
‍
ForgeRock公司高级软件工程师

缺失的环节

作为安全编码变革的推动者Secure Code Warrior 以人为本的方法，使安全编码技能的掌握成为积极而富有成效的体验。 我们通过100%实践性、趣味性与互动性兼备的培训，让开发者深度融入安全编码实践——在编码过程中实时识别并解决安全隐患。这种模式能有效降低成本、缩短发布周期，在漏洞演变为明日头条前将其扼杀于萌芽状态。

但请别轻信我们的话：

« Secure Code Warrior® 门户是一个了解多种技术相关安全漏洞的绝佳平台。它既引人入胜又充满互动性。»
‍
安全测试员，小型零售企业
TVID： 5AC-3CA-F68

Secure Code Warrior
软件工程师，全球500强金融服务公司
TVID： B0D-73D-BE3

而他们所在的领域还有许多其他类似案例。因此，若您希望近距离了解这种全新的安全编码培训方法，并见证它如何将开发者塑造成真正的安全超级英雄，我们非常乐意为您展示。

一直以来，企业都会在十月加倍提高网络安全意识。但到了 2025 年，情况就大不相同了。人工智能辅助软件开发不再是试点项目，而是主流。从最初的自动补全副驾驶员，加速发展成为生成整个应用程序的代理人工智能系统。开发人员不再仅仅是代码的作者，他们还是人工智能生成的输出结果的审核者、编辑和维护者。

这种转变既是机遇也是风险。人工智能带来了更快的交付速度，但同时也放大了风险、合规压力以及对弹性开发人员安全实践的需求。网络安全宣传月不能继续依靠老一套的网络钓鱼提醒和诈骗识别练习。它必须发展成为人工智能感知准备，让企业能够以人工智能的速度确保代码安全。

为什么网络安全宣传月必须不断发展？

二十年来，"网络安全宣传月 "一直沿袭着我们熟悉的模式：关注网络钓鱼和诈骗电子邮件，敦促加强密码卫生，推广多因素身份验证，提醒员工更新软件，并对社交工程提出警告。有些年份会强调安全浏览、勒索软件、数据隐私或远程工作安全。这些都很重要，但都是老生常谈--重复主题的清单，不再反映企业在人工智能驱动的发展世界中实际面临的风险。

为了保持相关性，网络安全宣传月需要超越一般的宣传，转而强调开发人员优先的实践--从安全编码练习到人工智能驱动的代码审查--反映当今软件开发生命周期的现实。

一些成熟的组织已经开始朝这个方向发展，将 OWASP Top 10 培训或以开发人员为重点的视频模块等活动纳入到他们的宣传工作中。不过，即使是这些方法也需要发展。现实情况是，人工智能正在从根本上改变代码的创建、审核和部署方式。意识必须从表面的提醒转变为让企业做好准备，迎接人工智能生成的代码成为新攻击面的未来。

在Secure Code Warrior，我们相信，掌握了正确的人工智能安全技能的开发人员可以为组织提高 10 倍的生产力，但如果没有这些技能，他们可能会产生 10 倍更多的代码、技术债务和漏洞。

这对企业安全领导者的影响显而易见：

• 代码越多，风险越大：人工智能加快了交付速度，但如果没有监督，它可能会成倍增加漏洞和技术债务，提高企业风险。
• 治理，而不仅仅是合规：各国政府和行业机构正在发出信号，今天的标准是不够的。例如，欧盟的《人工智能法案》已经引入了对人工智能系统透明度、风险分类和监督的要求，为其他地区开创了先例。首席信息安全官应预见到未来的法规，并通过可视性和治理控制来积极应对影子人工智能。 
• 技能差距扩大：开发人员必须具备处理人工智能特定攻击面（如提示注入和不安全的 API）的能力。事实上，《2025 年泰雷兹数据威胁报告》发现，近 70% 的企业将人工智能的发展速度列为首要安全问题，这凸显了采用与准备之间日益严重的不匹配。

首席信息安全官不能再把采用人工智能当作一项附带举措。现在，它已成为企业构建、交付和保护软件安全的核心。

Secure Code Warrior的使命：从认识到行动

在Secure Code Warrior，我们相信意识只是起点。企业需要可衡量的行动来大规模管理开发人员的风险。我们的平台使 CISO 能够将安全编码嵌入组织 DNA，提供降低风险和加强复原力所需的可见性和成果。

• 10,000 多种安全编码课程，涵盖 70 多种语言和框架中的 600 多种漏洞。
• 人工智能挑战赛可模拟真实的人工智能工作流程，让开发人员在审查和保护人工智能生成的代码方面获得真实的练习。
• SCW Trust^Score®基准 为 CISO 提供了开发人员风险状况的客观可见性和可衡量的进展。
• SCW 信托代理：人工智能它将可观察性和治理扩展到人工智能辅助开发，将影子人工智能置于阳光之下，将人工智能生成的代码与真实的风险度量联系起来，并确保负责任的采用。 

这些不仅仅是培训模块，它们还是强大的学习和管理工具，能够降低组织风险，向董事会和监管机构展示应变能力，并提供经过验证的成果--客户的漏洞减少率高达 53%，MTTR 提高了 3 倍。

赛博蒙 2025：人工智能时代

为使网络安全宣传月切实可行，Secure Code Warrior 举办了 Cybermon，这是我们每年十月的活动，旨在将全球意识转化为企业行动。

今年的主题 "人工智能时代"反映了软件开发领域正在发生的巨大变化。网络会议 2025 将于 10 月 6 日开始，使各组织能够：

• 在人工智能驱动的环境中对安全代码审查技能进行压力测试。
• 推出可衡量的游戏化活动，向董事会和监管机构展示进展情况。
• 培养与企业风险管理优先事项相一致的安全开发文化。

Cybermon 帮助 CISO 将意识付诸实施，将其从口号转化为可衡量的全组织影响。

针对首席信息安全官的战略行动呼吁

人工智能驱动的开发不再遥不可及，而是已经到来。代码交付的速度越来越快，风险也在成倍增加，而确保人工智能生成的代码安全的责任现在完全落在了企业领导者身上。

任务是明确的：

• 缩小人工智能安全技能差距。
• 大规模衡量和降低开发人员的风险。
• 通过可视性和治理控制，积极应对影子人工智能，预测未来监管的可能性。 

在Secure Code Warrior，我们致力于帮助 CISO 利用企业级软件安全所需的专业知识、可视性和管理来驾驭这个新时代。借助 SCW Trust^Score®和 Trust Agent：AI等功能，企业可将意识转化为可衡量的企业级复原力。了解有关SCW Trust Agent的更多信息：人工智能辅助SDLC的可见性和治理。

今年十月，让我们超越表面意识，以清晰、自信和坚韧的态度迎接人工智能时代的到来--一次只写一行安全的代码。

‍

网络安全领域再度进入警戒状态，起因是发现软件供应链中存在隐蔽的入侵行为。 该漏洞影响主流Linux发行版自带的XZ Utils数据压缩库，编号为CVE-2024-3094，本质上是由曾被信任的系统维护者蓄意植入的后门程序。 该漏洞在成功利用时可实现远程代码执行（RCE），构成极其严重的威胁，可能对成熟的软件开发流程造成重大破坏。

所幸另一位安全负责人在恶意代码进入Linux稳定版本前发现了该威胁，但仍对已开始在Fedora Rawhide环境中使用XZ Utils 5.6.0及5.6.1版本的用户构成风险，相关机构被紧急要求优先部署补丁。 若未能及时发现，其风险等级将使其成为有史以来最严重的供应链攻击之一，甚至可能超越SolarWinds事件。

虽然依赖社区志愿者维护关键系统的问题早有记录，但在SolarWinds这类高影响事件爆发前鲜少被重视。 尽管志愿者们不懈的工作对维护开源软件至关重要，但这凸显出必须在开发者层面切实加强安全技能和安全意识培养，同时强化对软件仓库的访问控制。

什么是XZ Utils后门及其缓解措施？

3月29日，红帽公司发布紧急安全警报，告知FedoraLinux 4.0及Fedora Rawhide用户：最新版本的压缩工具及"XZ"库中存在恶意代码，该代码似乎是专门设计用于便于第三方进行未经授权的访问。 该恶意代码的植入方式未来可能成为深入研究的课题，但这无疑是威胁行为者——化名"Jia Tan"的攻击者——实施的一场复杂、耐心且持久的社会工程学演练。 该人员耗费无数时间赢得其他管理员信任，在长达两年的时间里持续为XZ Utils项目及社区做出合法贡献，最终通过多个傀儡账户逐步瓦解项目志愿者所有者Lasse Collin的信誉，成功获得"可信维护者"身份：

‍

‍

这个不同寻常的案例生动地说明，技术能力极强的人也常会成为通常针对技术水平较低人群的攻击手段的受害者，这凸显了开展精准、基于角色的安全意识培训的必要性。 若非微软软件工程师兼PostgreSQL负责人安德烈斯·弗伦德的敏锐洞察与机智反应，这个后门程序本可能悄然存在，导致相关版本被撤回。正是他的行动终结了这场本可能成为近年最毁灭性供应链攻击的潜在危机。

该后门本身在NIST漏洞登记册中被正式列为最高严重级别的漏洞。 最初被认为可绕过SSH认证，但深入调查发现该漏洞允许在存在漏洞的Linux系统（包括Fedora Rawhide、Fedora 41、Kali Linux、openSUSE MicroOS、openSUSE Tumbleweed及部分Debian版本）上执行未经身份验证的远程代码。

贾坦似乎费尽心机掩盖了恶意软件包——该软件包在生成过程中被触发构建时，会通过systemd破坏SSHD的认证机制。正如Chapeaurouge所详述，在特定条件下，此干扰可能使攻击者绕过SSHD认证机制，从而获得对整个系统的远程非法访问权限。

微软等公司已发布完整的指导方针，说明如何分析系统以查找该漏洞的实例并减轻其影响。美国网络安全与基础设施安全局（CISA）建议的紧急措施是：相关开发者和用户应将XZ Utils降级至未受影响的版本，例如XZ Utils 5.4.6稳定版。

此类攻击极难预防，尤其当软件采用开源组件时，因供应链安全存在严重局限且透明度不足。 我们曾应对过软件供应链中的意外漏洞，但如今风险已升级为蓄意植入的安全缺陷，其目的在于破坏自由软件的安全性。

若缺乏敏锐的安全意识、扎实的安全知识储备以及一丝偏执的警惕性，多数开发者将无力抵御此类攻击。这几乎要求开发者具备威胁行为者的思维模式。 然而核心考量始终应聚焦于内部管控的源代码仓库（即非开源仓库）。 此类仓库仅应向具备相关且经过验证安全资质的人员开放。应用安全专业人员可考虑实施分支级安全控制，仅允许具备安全经验的开发者对最终主分支进行修改。

志愿维护者是英雄，但维护软件安全需要（应该）整个社区的共同努力。

对于非软件工程领域从业者而言，很难理解一个充满活力的志愿者社区如何以自己的节奏精心维护关键系统，但这正是开源开发的核心特质——它始终是保护供应链安全专业人士面临的关键风险。

自由软件已成为几乎所有企业数字生态系统的核心组成部分。这些值得信赖的维护者（其中多数秉持善意）在追求技术进步与完整性的过程中展现出真正的英雄主义，但让他们孤军奋战实属荒谬。 在以DevSecOps为核心的时代，安全是共同责任，每位开发者都应掌握应对日常工作中可能遇到的安全问题的知识和工具。安全意识与实践能力不应成为软件开发流程中的可选项，安全负责人有责任推动企业层面的变革。
‍

立即在您的组织中建立蓬勃发展的安全文化，借助 课程 课程，在您的组织内部建立Secure Code Warrior。

Il y a un peu plus de neuf ans, j'ai eu plusieurs conversations avec des amis, des membres de ma famille, d'anciens collègues et des investisseurs potentiels au sujet de mon intention de créer une entreprise. Tous nous ont apporté leur soutien, certains sont devenus les anges dont nous avions besoin pour nous frayer un chemin vers l'existence, et d'autres, eh bien, ont fait entendre la voix de la raison, citant des statistiques qui donnent à réfléchir, comme 90 % des startups finissent par échouer, une personne sur cinq succombant à la ferraille au cours des deux premières années.

Jusqu'à présent, le voyage n'a pas été sans obstacles, sans aléas économiques imprévisibles et sans risques importants, mais avec mon cofondateur Matias et une équipe incroyable à mes côtés, je pense que nous pouvons résister à presque tous les aléas qui se présentent à nous.

C'est aujourd'hui notre neuvième anniversaire, et je reste extrêmement fière et reconnaissante de nos réalisations et de notre place durable dans le domaine de la cybersécurité, alors que la situation continue de changer rapidement.

‍

Nouveaux clients, nouvelles opportunités

Il n'est pas facile de croître dans ce climat économique, mais nous continuons à trouver des moyens d'améliorer la rapidité, l'efficacité et d'apporter plus de valeur à notre clientèle en pleine expansion. Bien que nous ayons ajouté une pléthore de logos de niveau 1 à notre liste de clients en 2023, le véritable avantage a été de constater leur volonté d'essayer de nouvelles approches pour sécuriser le développement de logiciels, même dans des environnements existants où cela peut être beaucoup plus difficile à déployer.

Ces grands acteurs du secteur peuvent jouer un rôle déterminant dans le changement que nous devons observer si nous voulons assister à une transformation des résultats en matière de sécurité.

Et en 2023, nous avons été ravis d'observer :

>> 100 % de croissance pour notre tournoi mondial annuel de codage sécurisé Devlympics. Enregistrez la date et faites part de votre intérêt pour notre tournoi 2024, qui débutera le 15 octobre !

>> Plus de 400 000 développeurs utilisent la plateforme d'apprentissage Secure Code Warrior.

>> Les données analysées auprès de 30 % de notre base d'utilisateurs, soit près de 75 000 personnes, révèlent que les développeurs qui apprennent et appliquent des pratiques de codage sécurisées avec Secure Code Warrior introduisent 53 % de vulnérabilités en moins dans leur organisation par rapport à leurs pairs. Génial !

L'IA fait la une des journaux et fait la une des journaux, mais nous sommes prêts

Le battage médiatique autour de l'IA, de l'apprentissage automatique et de la technologie des grands modèles linguistiques (LLM) était inévitable l'année dernière, et en à peine douze mois, une vague d'outils de codage et de sécurité basés sur l'IA a commencé à changer la façon dont de nombreux développeurs abordent l'écriture du code.

Les technologies émergentes qui parviennent à capter l'air du temps et qui exigent une adoption massive sont incroyablement puissantes, et les outils de codage assistés par l'IA sont là pour rester. Cependant, comme nous l'avons discuté enfin, cette technologie a plutôt creusé le fossé entre le développement de logiciels sécurisés et l'efficacité. Les développeurs spécialisés dans la sécurité sont plus que jamais demandés, les entreprises étant confrontées à la nécessité de trouver un équilibre entre rapidité, prise en compte du contexte et détection des vulnérabilités, cette dernière tâche étant réalisée de manière optimale par une supervision humaine expérimentée. D'une certaine manière, c'est l'avenir de la programmation en binôme, et les outils eux-mêmes constituent une nouvelle frontière unique en matière de création de logiciels.

Tu peux participez à un défi interactif pour constater par vous-même l'impact des outils d'IA et de LLM sur la sécurité et découvrir l'immense opportunité de mettre l'accent sur le renforcement des compétences des développeurs en matière de sécurité le plus tôt possible. Et nous sommes prêts à établir des partenariats avec des organisations qui recherchent rapidité et efficacité en plaçant la sécurité au premier plan.

Aux côtés des leaders de la cybersécurité pour créer des résultats de sécurité positifs et pilotés par les développeurs

Pendant neuf années, nous avons défendu les ingénieurs logiciels en tant que cœur battant d'un programme de sécurité, et alors que nous entrons dans une décennie dans ce domaine, 2024 s'annonce comme une année révolutionnaire dans notre histoire.

Notre feuille de route produit regorge de nouvelles fonctionnalités incroyables que nous sommes impatients de partager avec vous, et je sais que les responsables de la sécurité seront particulièrement intéressés par ce que nous pouvons les aider à réaliser avec leur cohorte de développement.

Restez à l'affût et merci d'avoir marché avec nous.

L'apprentissage agile pour un code sécurisé dans le SDLC porte ses fruits

Ce blog est le troisième d'une série de trois articles sur les attributs et les avantages d'une plateforme d'apprentissage agile pour le code sécurisé. Dans partie 1 nous avons présenté le concept d'apprentissage agile et la manière dont la plateforme Secure Code Warrior illustre plusieurs principes agiles. Dans partie 2 nous avons exploré comment une plateforme d'apprentissage agile remplace la formation à la sécurité traditionnelle axée sur la conformité.

Une plateforme d'apprentissage agile offre une expérience d'apprentissage qui permet à l'apprenant d'intérioriser et d'utiliser ses nouvelles compétences de manière plus efficace, grâce à une combinaison de formations pratiques et contextuelles véritablement intégrées à leur travail quotidien, dans le cadre du travail. Cette approche de l'apprentissage, telle que SCW l'a appliquée aux développeurs qui acquièrent des compétences de codage sécurisées, distingue le SCW des modalités d'apprentissage traditionnelles et nous distingue. Dans ce troisième et dernier article de la série, nous vous expliquons le retour sur investissement que les organisations peuvent attendre d'une plateforme d'apprentissage agile pour le code sécurisé et comment modéliser les chiffres pour votre organisation.

Impact sur les entreprises

Les organisations qui adoptent une approche agile pour un apprentissage sécurisé du code constatent un impact commercial multiplié par deux à trois grâce à deux leviers : la capacité à Corrigez les vulnérabilités plus rapidement et évitement des coûts de retouche. 

‍

‍

Plus les vulnérabilités sont corrigées tôt dans le SDLC, moins elles peuvent causer de dommages et moins il est coûteux de les corriger. Selon l'expert en sécurité Jim Routh, qui a précédemment occupé les fonctions de directeur de la sécurité chez Aetna et de CISO chez MassMutual, le coût par défaut pendant les phases du SDLC s'élève à plus de 14 000 dollars s'il est effectué en mode maintenance après la mise en production du logiciel. Les coûts peuvent être réduits de moitié s'ils sont abordés pendant les tests et ils peuvent être 14 fois moins chers s'ils sont abordés pendant la phase de codage.

‍

‍

Plus les développeurs sont bien équipés pour corriger les vulnérabilités plus rapidement ou pour les éviter complètement, moins une organisation doit accepter de coûts et de risques dans ses produits logiciels et ses applications internes. Les organisations qui souhaitent investir dans la prévention des vulnérabilités et la qualité des logiciels fournissent aux développeurs une plateforme d'apprentissage agile qui propose des expériences flexibles et de multiples voies d'apprentissage, spécialement conçue pour un impact commercial immédiat.

‍

Des recherches menées auprès de NIST indique que les heures nécessaires pour corriger une vulnérabilité varient, mais les estimations du tableau ci-dessous ont été identifiées dans des scénarios réels avec de grandes entreprises clientes.

‍

‍

Une fois que les équipes ont développé de nouvelles compétences en matière de codage sécurisé, les clients de SCW ont remarqué que leurs développeurs corrigeaient les vulnérabilités 50 à 60 % plus rapidement et produisaient 50 % moins de vulnérabilités à haut risque dans le code de production. L'expérience de chaque organisation varie, mais ces résultats ont été observés dans de grandes entreprises comptant plus de 5 000 développeurs. L'augmentation de la productivité des développeurs a eu un impact sur les résultats financiers.

Réduction des coûts opérationnels : corrigez les vulnérabilités plus rapidement

Pour comprendre l'impact financier d'un processus de développement logiciel plus sécurisé et comment un investissement dans une plateforme d'apprentissage agile aide les développeurs à corriger les vulnérabilités plus rapidement, utilisez le modèle ci-dessous et remplacez les variables en bleu par vos propres chiffres :

 Point de référence :

‍

Bénéfice supposé de la plateforme d'apprentissage agile sur le MTTR (Mean Time To Remediate)

‍

Valeur de prévention : réduction des coûts de retouche

Une plateforme d'apprentissage agile aide les développeurs à écrire du code sécurisé dès le départ. Le modèle permettant de déterminer cet impact financier est présenté ci-dessous.

‍

L'approche d'apprentissage agile fait la différence

La plateforme d'apprentissage agile SCW pour le code sécurisé est supérieure aux approches alternatives de formation à la sécurité des développeurs. Les clients de SCW ont obtenu des résultats exceptionnels, qui varient bien entendu en fonction des coûts individuels et des indicateurs de vulnérabilité propres à leur situation particulière. Un grande société de services financiers, Envestnet, a constaté que les développeurs formés au SCW corrigeaient 2,7 fois plus de vulnérabilités que leurs pairs. En outre, un groupe de 1 200 développeurs formés au SCW a augmenté les taux de correction dans leur file d'attente de 120 %.

Comme pour tout investissement dans une solution d'entreprise, il est important d'évaluer votre situation particulière. Notre équipe peut collaborer avec vous pour évaluer votre situation actuelle et élaborer une analyse de rentabilisation personnalisée. Si vous souhaitez évaluer vous-même l'impact, utilisez les modèles décrits dans ce blog et jetez un œil à un récent webinaire destiné aux clients avec Sage, la société de logiciels de comptabilité et ERP basée au Royaume-Uni, d'une valeur de 2 milliards de dollars, qui évoque une réduction de 82 % du MTTR dû aux vulnérabilités dans le cadre d'un programme robuste visant à créer une culture de sécurité.

À propos de Secure Code Warrior

Secure Code Warrior donne à vos développeurs les compétences nécessaires pour écrire du code sécurisé. Notre plateforme d'apprentissage est la solution de codage sécurisée la plus efficace car elle utilise des méthodes d'apprentissage agiles permettant aux développeurs d'apprendre, d'appliquer et de conserver les principes de sécurité logicielle. Plus de 600 entreprises font confiance à Secure Code Warrior pour mettre en œuvre des programmes de sécurité d'apprentissage agiles, fournir rapidement des logiciels sécurisés et créer une culture de sécurité axée sur les développeurs. Prêt à en savoir plus ? Demandez une démonstration.

时间就是金钱，那我们为何要浪费它呢？

工程总监们——是时候面对现实了。您的开发人员每天实际编写代码的时间有多少？不，我们并非要他们承认整天穿着睡衣吃薯片看Netflix。但请思考这个问题：您认为团队每天投入到真正有价值的工作上的时间究竟有多少？

现在，看看你们开发人员每周花在编码上的时间。其中有多少用于重构现有代码、查找和修复缺陷或处理技术债务？很可能相当多。

我们深有体会。当今软件开发生命周期中，开发者常因面临无法逾越的挑战和存在的缺陷而陷入停滞，这种无力感令人沮丧。

• 平均而言，软件开发团队在代码发布前会重构约26%的代码。
• 开发人员平均每周耗费13.5小时处理技术债务。这意味着每年有超过700小时用于修正过去的错误。
• 开发人员每周花费四小时处理"低效代码"。按年计算，这将造成850亿美元的机会成本损失。
• 41%的开发人员表示，在他们的组织中，功能和安全性具有同等重要性。
• 63%的开发人员认为编写安全且无漏洞的代码非常困难。

来源： Stripe报告，增长系数; 2022年开发者安全现状调查

回想一下上次进行代码审查时，应用安全团队指出代码存在安全隐患的情景。请注意团队在修复这些漏洞时遭遇的突发停滞。 他们很可能不得不钻进"兔子洞"寻找可行解决方案，随后又耗费更多时间梳理中断前的进度，才得以着手修复问题。

Rapport Stripe, 发展系数 报告：Stripe，增长系数

这永无止境的停顿与修改循环不仅令人分心，更摧毁了生产力，打击了士气。

存在一种更佳方式，既能安全编码又能节省时间

我们都希望一天能有更多时间来推进工作。但有时，我们只需找到更聪明的工作方式，而非更拼命地利用现有时间。

与其浪费时间寻找解决方案，耗费数小时翻阅可能并非自己编写的代码来检测缺陷和漏洞，不如从一开始就写出更优质的代码，这样不是更简单吗？

当今技术已陷入僵局，工程负责人正竭尽所能地削减成本。 软件许可、非必要开支甚至员工薪资都成为考量因素。但若非得如此呢？软件开发流程中的低效问题虽难以量化，却最终会造成更高成本且更难纠正。

通过开发人员主导的安全机制，开发人员能够在软件开发生命周期（SDLC）的每个阶段管理安全问题，从而提升效率和生产力。

减少修复漏洞代码所耗费的时间，远不止是单纯的成本节约措施：这是对开发部门进行再投资的良机。节省下来的时间可用于开发创新功能或对应用程序进行重大改进。那些曾因无法推进工作而沮丧的开发人员，将因获得创造附加值的机会而重燃干劲。

开发人员认为，对其工作负荷影响最大的负面因素包括：工作量过载、优先级变更导致代码被拒或时间浪费，以及缺乏足够时间修复低质量代码。 若再叠加知识匮乏与零散的漏洞修复方案，您将面临时间进一步流失、成本持续攀升的风险。

来源： 2022年开发者安全状况调查

技术正以惊人的速度发展。 因此，为开发人员配备必要的工具以跟上步伐、避免落后至关重要。赋予开发人员从一开始就安全编码的知识，并能快速修复漏洞，这将使您的团队在解决代码重构问题和长期管理技术债务方面占据优势。

企业若想加速发展、保持敏捷并把握新兴趋势，必须更好地调动现有开发人才的潜力。激励开发人员更注重安全，不应仅是成本与绩效的问题。 提升技能并将在SDLC每个阶段融入安全意识，不仅是团队的胜利，更是每位开发者的职业成就。掌握安全编码技能的开发者将在未来几年备受青睐——因为安全编码能让他们减少未来需要解决的问题。

从左侧开始并非仅仅意味着快速行动，而是让开发人员能够在不牺牲速度的前提下共同承担安全责任。当实施得当，安全开发人员通过减少导致返工的漏洞、保持软件发布速度并确保代码质量，从而提升生产力，同时不会阻碍创新进程。

更智能、更快速、更安全的编码

Secure Code Warrior 以安全为导向的开发者文化，赋予他们编写安全代码所需的技能。我们的旗舰学习平台提供基于技能的实用课程、missions 情境化工具，帮助开发者快速学习、发展并应用技能，从而高效编写安全代码。

Chaque développeur doit se poser une question, que vous soyez diplômé ou vétéran. Et la réponse est importante. Cela est devenu encore plus important dans un monde agile, car cela aura un impact direct sur votre réussite en génie logiciel et sur votre valeur pour votre prochain employeur.

C'est la question d'un million de dollars. En fait, c'est une question de plusieurs millions de dollars !

Êtes-vous déterminé à m'aider à coder en toute sécurité ?

Le coût moyen d'une violation de données s'élève désormais à 3,6 millions de dollars américains. La probabilité que votre entreprise soit piratée cette année est d'une sur quatre. Compte tenu de ces faits, je partage la frustration de nombreuses personnes face au fait que les développeurs ne terminent pas leurs études universitaires avec des compétences en matière de codage sécurisé et de sécurité intégrées à leur ADN.

Pourquoi ? Le génie logiciel est encore une profession relativement jeune. L'accent a été mis sur l'enseignement aux utilisateurs de la manière de créer du code rapidement, de le rendre élégant et fonctionnel, mais en mettant très peu l'accent sur la sécurisation du code. Le rythme de l'évolution des méthodologies, des technologies, des langages et des opportunités ne fait qu'exacerber ces principales lacunes en matière de compétences.

Nous n'allons pas modifier le système universitaire rapidement. Les développeurs comme les entreprises doivent donc s'attendre à ce que les développeurs acquièrent des compétences de codage sécurisé sur le tas. Dans certaines professions, vous pouvez apprendre en faisant des erreurs, mais pour d'autres, ce n'est pas une option. Il en va de même pour la cybersécurité.

Les faits montrent que nous n'avons pas non plus obtenu de très bons résultats en matière de formation en cours d'emploi à la sécurité des développeurs. La plupart des principales failles de sécurité dans le monde sont dues à des erreurs de codage qui permettent aux pirates informatiques d'obtenir des privilèges sur les réseaux informatiques, ce qui leur permet d'accéder à des données précieuses et de les récolter. Rapport d'enquête sur les violations de données de Verizon (DBIR) 2017, montre que 30 % de toutes les violations sont directement causées par des faiblesses dans la sécurité des applications Web et cette conclusion est constante dans le rapport DBIR depuis 2013.

Le Enquête mondiale 2017 sur les compétences DevSecOps publié en août 2017, a confirmé ce que nous savions déjà : alors que 65 % des professionnels DevOps pensent qu'il est très important de connaître DevSecOps lorsqu'ils entrent dans l'informatique, 70 % estiment ne pas recevoir la formation nécessaire dans le cadre d'une formation officielle pour réussir dans le monde DevSecOps d'aujourd'hui.

Près de 40 % des responsables du recrutement interrogés ont indiqué que les employés les plus difficiles à trouver étaient les développeurs haut de gamme polyvalents possédant des connaissances suffisantes en matière de tests de sécurité. 70 % des personnes interrogées ont déclaré que la formation en matière de sécurité qu'elles avaient reçue n'était pas adaptée à leurs postes actuels. En fait, moins de 4 % ont déclaré en avoir eu la moindre opportunité.

Je l'ai constaté de mes propres yeux lorsque j'ai passé près de dix ans à travailler avec plusieurs équipes de hackers professionnels. Avec une régularité tragique, nous avons fait irruption dans de grandes entreprises, des start-up et des ministères, en trouvant toujours les mêmes faiblesses.

C'est pourquoi les développeurs doivent s'exprimer lorsque vous êtes embauché. Si votre employeur potentiel ne prend pas au sérieux votre formation à la sécurité des développeurs, vous devriez réfléchir au type d'entreprise que vous envisagez de rejoindre.

La deuxième question que vous devriez vous poser est de savoir comment ils prévoient de le mettre en œuvre. Sera-t-il pratique et interactif ? Il est peu probable que la formation à la sécurité des développeurs sur les vulnérabilités à l'aide de slidewares, de vidéos, d'animations cliquables ou de discussions abstraites vous aide directement dans votre codage. Est-ce qu'ils veilleront à ce que vous soyez constamment tenu au courant des dernières vulnérabilités ? Existe-t-il une guilde ou une communauté de sécurité auprès de laquelle vous pouvez apprendre ? Existe-t-il des spécialistes de la sécurité auxquels vous pouvez vous adresser si vous avez besoin d'aide ?

Un engagement en faveur de vos compétences en matière de codage sécurisé nécessite un apprentissage continu grâce à des défis pratiques dans des cadres de codage spécifiques et en vous confrontant à différentes vulnérabilités dans de multiples scénarios. Vous ne pouvez tout simplement pas en apprendre davantage sur les injections SQL par le biais d'un seul exemple. Vous devez être exposé à de nombreux exemples de types différents pour apprendre à reconnaître ces modèles de codage dangereux.

L'un de nos clients a demandé à ses développeurs de relever un seul défi (5 minutes) par jour pendant deux mois. Il a testé leurs compétences avant et après la période de formation et a observé une augmentation de 60 % de la capacité de codage sécurisé par rapport à un groupe de centaines de développeurs. Cela signifie moins de ressources consacrées à la détection et à la correction des bogues de sécurité plus tard dans le cycle de vie et d'importantes économies à long terme. Cela signifie que les pirates informatiques n'utiliseront pas votre code pour compromettre les données de votre entreprise.

Selon une étude d'IDC, il y avait 11 millions de développeurs professionnels dans le monde en 2014. En 2015, Burning Glass a découvert que pas moins de 7 millions de professions exigeaient des compétences en programmation et que les emplois en programmation augmentaient en moyenne 12 % plus rapidement que le marché.

Il existe de nombreux emplois dans le domaine des logiciels. Prenez donc position et choisissez des employeurs qui s'engagent à prendre soin de leur sécurité, de la vôtre et de celle de leurs clients. Par extension, choisissez des entreprises qui investissent en vous.

Chaque développeur doit se poser une question, que vous soyez diplômé ou vétéran. Et la réponse est importante. Cela est devenu encore plus important dans un monde agile, car cela aura un impact direct sur votre réussite en génie logiciel et sur votre valeur pour votre prochain employeur.

C'est la question d'un million de dollars. En fait, c'est une question de plusieurs millions de dollars !

Êtes-vous déterminé à m'aider à coder en toute sécurité ?

拙劣代码的代价 

技术的飞跃使开发人员比以往任何时候都更容易以更快的速度交付代码。这对创新来说是令人振奋的，但当涉及到提高软件的质量和安全性时，却令人生畏。如果要保持代码交付的速度，证明额外的工具、培训计划和提高开发人员技能的投资是合理的，这似乎是一个 "不错的选择"，而不是一个关键的业务功能。  

运送代码的速度可能变得更快，但不幸的是，运送安全的代码并不容易，这使得企业比以往更容易受到威胁。在全球范围内，网络犯罪的成本是惊人的，而且正在迅速增加。事实上，在2020年，网络犯罪的成本约为1万亿美元。平均而言，数据泄露的成本为435万美元--包括现有客户和潜在客户的业务损失，以及处理检测、升级和返工的资源。 

尽管有这些天文数字的成本，超过一半的组织没有要求开发人员每年进行正式的安全代码培训。

安全专家们都知道，在寻找和修复漏洞时，感觉就像在玩打地鼠的游戏。即使你已经有了一个带有修复策略的安全计划，也总是有机会改进。大多数组织发现，当他们的灾难恢复或备份能力受到考验时，他们的安全方法并不像他们曾经想象的那样强大。如果加强你的组织对网络攻击的恢复能力是你的首要任务之一，那么把留给你的开发人员的视角转移到你的计划之内，以继续改善你的安全态势。一个熟练的、被授权的开发者团队，从一开始就构建安全的代码，并有足够的知识来快速定位和修复漏洞，是你减轻风险的最经济的手段。   

谈到开发者教育，一个误区是它只是企业的成本，甚至是一种保险政策。安联公司DevSec意识宣讲员Klaus Klinger认为，"整个事情必须从管理层的头脑开始。投资于开发人员的培训不是一项损失的投资，而是对质量、生产力和公司声誉的投资"。

在这个领域，投资回报率往往难以量化，但最终企业应该考虑的是他们的安全态势如何帮助他们降低风险，简化方法，并为他们的开发团队节省时间和生产力。 

如何量化网络安全成本的投资回报率？

当涉及到投资回报率时，重要的是要在两个不同的框架内考虑它：减轻风险的成本节约与你的安全培训的影响。

让我们考虑一下这个太常见的例子：一个漏洞或漏洞导致一个电子商务网站被迫离线数天，而其团队正在寻找问题和如何修复它。未能补救的成本可以量化为中断期间的收入损失、被盗凭证的影响、客户信任的丧失（导致长期的销售减少），以及修复问题时的整体生产力损失。 

这实际上可以归结为一个成本/效益分析。你要评估的关键领域是你公司的安全成熟度，你公司的风险接受程度，以及你的代码中需要维护或改进的地方。

人们经常关注错误的指标来确定成功和价值。也许我们应该少关注项目初始投资的回报，而是要衡量项目本身的影响 。 

证明影响的措施

为了建立投资回报率，你必须建立可衡量的目标。这首先要评估你的开发人员的安全编码知识，了解他们在哪些方面需要增长技能。 

一个起点是衡量参与度，以帮助你做出战略决策，即如何建立更丰富的培训项目。最重要的是--衡量影响。首先，在你开始在每个团队进行培训计划之前，通过代码分析、bug赏金或经典的漏洞测试，看看在软件开发生命周期中被发现的弱点数量。要知道你的培训计划是否达到了预期的效果，最简单的方法之一就是测量被引入到代码库中的漏洞的总体减少情况。

‍

评估投资回报率的首要问题。‍

1.我们是否简化了我们的方法？

你是向问题投掷更多的工具，还是从根本上解决问题？在你的技术堆栈中增加更多的工具会产生一种 "瑞士奶酪 "的方法来寻找和修复漏洞。它们还增加了运营成本，而对许多漏洞的源头--代码却没有什么影响。尽管扫描和测试工具绝对应该是你武器库的一部分，但它们不应该是你的最后一道防线。‍

2.我们是否提高了效率和生产力？

花费在详尽的代码审查和从AppSec发回的代码的重做上的时间会导致生产力的重大损失。通过授权并让开发人员团队亲身参与安全代码培训来减少消防演习，应该是评估你的安全计划的积极影响的良好基准。‍

3.我们是否降低了风险？

寻找和修复一个漏洞就像解决一个大难题，有时需要几天、几周甚至几个月的时间才能完成一个强大的解决方案。赋予开发者在源头上拥有修复的权力，可以让AppSec专注于风险监控和加强组织的安全态势。

4.我们是否在提高速度（但仍然保持质量）？

快速发送代码并不总是一件好事。偷工减料和在代码中引入漏洞会在未来造成许多麻烦，并积累技术债务。短期思维在这里不是答案。人们可以通过从一开始就保护他们的代码来减少风险，这样问题就不会在未来变得复杂。
‍

建议跟踪的指标。  

• 参与度--你为培训预算了多少时间，开发人员如何参与？他们是否完成了courses 、评估，并参与了tournaments ？ 
• 技能--优势领域在哪里？你确定哪些领域需要改进？ 
• 漏洞的减少--你是否注意到在代码审查期间漏洞的明显减少？你是否看到AppSec回来的返工减少了？ 
• 生产率--补救一个问题需要多长时间？你是否注意到随着漏洞的减少，生产力或速度有所提高？ 

通过左移创造价值

违规行为和漏洞每年都在迅速增加。重要的是开始积极主动地建立一个整体的安全方法--首先从你的代码开始。这将有助于。 

• 通过投资于你最有价值的资源--你的员工来降低复杂性，而不是把钱扔在那些只能解决部分问题的工具上。 
• 通过限制通常由AppSec在代码部署后发现的返工或修复，来提高效率和整体效益。 
• 降低风险，实现合规性，避免昂贵的罚款，失去客户的信任，或者更糟糕的是--数据泄露的代价。 

避免短期思维和快速修复。它们只能导致技术债务和更多的成本。通过利用提高技能的力量，使你的开发人员成为防止漏洞和网络犯罪的最佳防线，并看到自己的影响和成本节约，从而进行长期规划。

‍

随着数据泄露事件及其造成的损失持续攀升，全球代码产出量已远超安全专家的管控能力。企业亟需掌握安全编码技能的开发者，而开发者也深知这些技能对职业发展至关重要。 然而现有的安全编码培训却令他们失望。开发者究竟需要怎样的安全编码培训？为解答此问题Secure Code Warrior Data Corp*近期联合开展的研究数据，该研究深入剖析了开发者对安全编码的态度、安全编码实践及安全运营现状。（下载白皮书 此处）。

关于开发人员期望的培训类型，答案非常明确。75%的开发人员更倾向于在职结构化培训，认为这是最有效且最令人满意的学习方式。至于培训内容应包含哪些要素，开发人员提出了非常明确且具体的要求：

• 65%的人表示需要针对语言特定漏洞的培训
• 65%的人希望在OWASP前十名中接受更深入的培训
• 许多人还希望强调合规安全框架，特别是NIST（58%）、CIS（52%）和PCI DSS标准（50%）。
• 78%的人希望在培训过程中获得来自同行的非正式指导和建议。
  

然而，尽管开发者更倾向于结构化课程而非非结构化学习，课程的授课方式至关重要。当然，这又引出了另一个关键问题：

开发者更喜欢怎样学习？

开发者们不愿坐着听讲师授课，他们渴望亲自动手实践。 他们希望着重实践应用，而这正是当前培训项目严重欠缺的环节。当被问及企业培训如何改进时，30%的受访者明确表示希望培训聚焦实践应用，特别是真实工作场景的演练。

开发人员培训需要采用以人为本的方法，提供包含实践性与语言特异性编码挑战的引导式学习路径——这些挑战需融入框架的"游戏化"特性。 基于角色的游戏化培训能让开发者深度参与，其可配置的学习模块使企业能够针对特定漏洞开展开发者专项培训。

要了解如何通过结构化、基于技能的学习路径将软件安全融入开发流程——这些路径能提供开发人员所需的培训， 立即申请演示 。

« 互动式模拟能帮助您发现代码中的安全漏洞，激发您的批判性思维，引导您寻找解决方案或多种解法。我以全新视角审视了代码，这种实践过程带给我无穷乐趣！»
‍金融服务软件工程师‍

从被动应对到主动预防：应用程序安全的新面貌 Secure Code Warrior Evans Data Corp. 2020