游戏化成为提升软件安全水平的关键原因

在我的软件开发与安全职业生涯中，我曾与众多应用程序安全经理、首席信息安全官、首席信息官以及网络安全专家交流过，他们遍布全球各类企业。

无论环境如何变化，团队经验多么丰富，在这个瞬息万变的数字世界中经历了多少岁月，始终存在一个不变的问题：开发团队极少主动参与安全工作。安全至今仍是禁忌话题，它既是团队间的隔阂，也是行业背后的隐忧。

然而，软件安全在我们的普遍认知中，对于继续沿着这条道路前进而言至关重要。为了使安全成为每位开发者工作中不可或缺的部分，我们必须改变讨论方式。我认为实现这一目标的最佳途径之一，是通过游戏化等手段赋予开发者安全相关的权限，使其积极参与其中。

当前的景色

开发者们带着几乎零安全编码实践知识的大学文凭踏入职场，从事的工作极少将安全培训列为优先事项（即便有，通常也只是健康安全合规视频的必修环节——枯燥至极，根本没人会在意安全编码）。他们初次接触安全概念往往是通过审计报告或测试缺陷报告，眼睁睁看着未来版本突然戛然而止，创造力瞬间被扼杀在萌芽状态。由于他们常与安全报告负责人发生冲突，在他们心中"安全"一词已与"挑刺"划上等号。真他妈的。

说实话，软件安全领域存在如此普遍的负面认知，实在令人遗憾。毕竟在我职业生涯中最美好的回忆里，有不少都与学习软件安全相关。在初涉黑客领域的岁月里，我常参加各类会议。在那里，不仅能与同行切磋技艺（坦白说还有点炫耀的成分），更能结识志同道合的朋友——他们和我一样，享受着破坏软件的乐趣。

BruCon、DefCon、BlackHat...这些活动为像我这样的人提供了在友好竞争中展示技能的机会。虽然我绝不承认自己参与过此类反社会活动，但确实有人通过入侵其他参与者的手机，在演示屏幕上展示信息供所有人观看来展示黑客技术。为了改进软件，发现漏洞并加以利用以促使修复，这已成为一种游戏。几年前，我有幸在中东数百名儿童面前讲授网络安全知识。至今仍记得班里有个8岁女孩，她通过游戏学习了密码暴力破解和base64编码技术。

游戏化教学也被应用于编程技能的指导。全球教育机构正采用这种方法，向包括高中生在内的低龄儿童传授编程知识。如今四岁的孩子也定期参与诸如"编程夏令营"等假期项目，还有许多优秀的在线课程能教孩子们用Python等语言编程。我还为四岁的女儿购置了出色的无屏幕编程工具——Cubetto。

然而，尽管存在这样的乐趣和进步，仍存在差距。没有人曾考虑过利用游戏化来教导开发者编写安全代码的可能性。

嗯... 几乎没人了。几年前，我意识到有必要重新激发安全领域的新鲜感，提升开发者参与并开始探索的动力。

游戏化：简单的方法。

我内心怀有强烈的愿望，希望提升开发者在安全方面的知识水平并赋予他们力量，正是这份热情促使我开发了Secure Code Warrior。软件安全至关重要，同时也是真正令人兴奋的领域。

思考的并非只有我一人。

游戏化能让枯燥的任务变得充满乐趣，让人欲罢不能——人们会不断游玩、渴望胜利、追求进步。看看《精灵宝可梦GO》的做法！就连最懒惰的人也会外出寻找幻想生物，而FitBit步数达成目标已成为许多人的日常追求... 当这些目标未能达成、连胜终结、未能获得徽章时，强烈的挫败感便会袭来。

那么，让我们回到安全培训的话题。我们已向众多客户证明，游戏化能够真正改变组织的安防文化，在应用安全团队与开发团队之间架起桥梁，并有助于整体提升软件构建水平。

目前，安全性并非开发者的优先事项。通过在训练方法中融入亲和力强、极具竞争力且引人入胜的元素，不仅能让玩家享受游戏过程，更能激发他们获取更多积分、打破高分纪录、提升精准度，并为挑战队友而不断回归的动力。

我们已经知道，训练成功后将会出现以下情况。

• 开发者可以使用实际代码或自定义语言/框架进行工作。
• 课题简短，涵盖了所有常见的安全漏洞。
• 挑战始终在扩展和更新，因此开发者可以持续投入时间来磨练技能。
• 课题的复杂程度各不相同，因此对高级开发人员和经验尚浅的开发人员都具有吸引力。
• 开发人员及其经理可以查看进度情况，包括已完成的任务、优势与不足、培训所耗时间以及整体准确性等。

某大型客户充分展现了游戏化平台的真正魅力，为开发者准备了主题团队装备，并为游戏胜者提供了丰厚奖品，使赛事成为一场难忘的盛会。自此之后，他们持续举办国际赛事，至今整个团队仍在投入大量时间进行专业训练。

您自身的软件革命由此启程。澳大利亚银行业正以颠覆传统（或枯燥）培训的真正创新方式，率先采用游戏化培训对抗不良代码。快来看看客户在培训中如何突破——晋级更高阶的竞技场。准备好了吗？与我们携手，让团队升级进阶？

我们必须转变思路，努力将安全防护融入每位开发者的日常工作中。我认为实现这一目标的最佳途径之一，是通过游戏化等手段赋予开发者安全相关的权限，使其主动参与其中。