OWASP アプリケーション・セキュリティ・デー 2019: 安全な開発者の育成

本月早些时候，我有机会在美丽的墨尔本参加了2019年OWASP AppSec Day。这些以开发人员为重点的活动是我在日历上最喜欢的活动之一；它们提供了一个谦卑的提醒，提醒我们这个社区不知疲倦地教育和授权软件工程师和专家在其工作中倡导安全。

嘉宾阵容很轰动--更不用说令人耳目一新的多样性了--即使在这个行业这么多年之后，我也能离开时受到鼓舞，这种感觉很好。Tanya Janca、Toni James和Teri Radichel等人发表了令人难以置信的演讲，而Wireghoul'Eldar Marcussen的现场安全编码挑战考验了整个礼堂，但很高兴看到与会者有如此深刻的安全意识。

今年，Secure Code Warrior 是该活动的白金赞助商。当我回忆起四年前，正是OWASP AppSec Day背后的团队为我们这个刚起步的创业公司提供了免费的展位和宣传，我不得不微笑。这是一个自豪的时刻，看到我们作为一个公司已经取得了多大的成就，也是一个感激的时刻，因为有这样一个由不可思议的人组成的慷慨的社区。

托尼-詹姆斯从开发人员的角度看安全问题

如果说我们在这个世界上需要培养一种东西，那就是同理心。当涉及到使软件更安全的问题时，理解开发者的困境是至关重要的。

我非常喜欢Toni的演讲，我相信它对每个开发者来说都是一针见血的。除了 "写安全的代码 "之外，还有很多故事，我当然相信经过有效安全培训的开发人员是我们对抗漏洞的最好机会，但必须考虑他们的日常挑战。

一个软件开发者的工作可以展示给数以百万计的用户，支持关键的基础设施，并成为我们认为理所当然的服务背后的驱动力。功能建设、执行业务创新和坚持精益交付的最后期限会产生很大的压力，而这是在应用安全团队出现并挑剔他们的辛苦工作之前。Toni谈到了在这种环境下的生活，以及各方良好的同理心如何能带来更好的流程和安全结果。我非常高兴地看到，在弥合开发人员和应用安全团队之间的差距方面取得了如此健康的进展；归根结底，这是一个积极的、蓬勃发展的安全文化的关键因素，而Toni是这个过程中令人难以置信地工作的一个主要例子。

谭雅-扬卡和特瑞-拉迪切尔：安全超级英雄

不是说这是一场竞争，但Tanya Janca和Teri Radichel对会议的贡献是我最喜欢的之一。他们关于DIY云安全评估的10分钟教程暴露了他们惊人的经验、资历和专业知识的广度，同时也暴露了他们分享知识和支持开发者社区的真诚热情和愿望。他们一起提出了现实的和可执行的行动，以确保Azure实施的安全，包括关于设置安全策略和最小特权措施的实用建议。

在谷歌上快速搜索一下，你就会知道他们致力于支持基层的开发者，提供大量的免费资源、指导机会和采访，以促进软件安全的乐趣和参与。他们是我们社区的鼓舞人心的重要支持者；如果他们在你参加的下一次安全会议上发言，你一定会疯狂地错过他们的会议。

大舞台上的客户

看到我们这么多的客户不仅出席，而且还拥有舞台，与观众分享他们巨大的安全知识，这是非常了不起的。

我们设法赶上了Telstra的Andrew Bailey发表了一个重要的演讲，"为DevOps增加 "Sec""。他作为高级软件工程师的丰富经验，现在以应用安全和安全编码为重点，是一个很好的观点。他给出了在SDLC的每个阶段注入安全的端到端提示（当然，包括在一开始就培训更多的开发人员进行安全编码）。

Ken Johnson是GitHub安全团队的一员，我很高兴看到他在会议结束时加入专家小组。他和其他小组成员一起，非常乐意回答观众提出的紧迫问题，包括那些不一定在媒体上得到应有关注的问题。除了一些行业见解外，他还让小组成员讨论了福祉和工作/生活平衡的重要性，这在这个开发者倦怠的时代是非常重要的。

我想对Julian Berton和整个OWASP墨尔本团队的另一个令人难以置信的会议表示衷心的感谢。明年见（有更多贴纸）。