베스트 오브 더 브런치: AppSec의 리더들이 지혜를 공유하다

在我作为应用安全专家的职业生涯中，我很幸运地遇到了一些行业中最令人难以置信的人才，并与他们建立了联系，每个人都在帮助保护和加强世界上不断增加的代码网络。在我旅程的这个阶段（有了更多的知识和更少的头发！），我经常被要求与软件安全的未来之星交谈，这是我喜欢的工作。然而，我也明白，对于那些希望站在高处并成长为自己角色的人来说，作为一个领导者和导师是多么重要。

最近，我和我的一些团队在伦敦举办了一个早午餐活动。 Secure Code Warrior我们举办了一个早午餐活动，目的是让一些AppSec的超级明星们聚在一起交流，发表见解和吃一两块糕点。在60多位受邀者面前，他们作为专家小组的一员传授了他们丰富的专业知识，让大家对应用安全的未来感到兴奋。

该小组讨论了一些热点问题，如如何充分利用企业的应用安全预算，以及观众提出的一些卷曲的问题，提供了一些真正的晨间魔法，无疑将帮助安全经理、专家和他们的开发人员在其组织内建立可行的计划。

我们有幸邀请到以下领导人参加小组讨论：工具与人。你的应用安全预算是否足以解决这两个问题？

• 文森特-吉尔伯特，法国兴业银行CISO
• C̩dric Levy-B̩ncheton, CEO,Cetome
• Reena Shah，M&G保诚公司安全与隐私文化和意识主管
• 培生公司全球应用安全总监Lee Thurlow
• 刘易斯-布拉姆菲特，布拉姆菲特实验室常务董事。

每位演讲者都分享了他们对应用安全工具的看法（剧透：由于许多组织产生了如此多的软件，选择能够执行你所需要的每项功能的工具可能是一个雷区。毕竟，没有一个单一的工具可以涵盖所有的功能）。)

Reena Shah还提出了一个有趣的观点。在短短的几年里，我们看到大型组织内对AppSec的看法有了积极的转变，使得一个关键的因素开始形成--对人的投资以维护安全的最佳实践和文化。

"我认为它正在发生变化。当我四年前开始工作时，当涉及到安全文化和意识时，试图获得预算和团队真的很困难。而我现在发现，这不再是我的挑战了。我很容易说，"这是我需要的预算，这些是我需要的人，以减少风险。我看到了一个巨大的转变，我认为这是因为董事会--和C-Suite--正在理解提供资金以协助我们减少安全事故是多么重要。她说。

你现在就可以观看完整的小组讨论。

对我来说，看到AppSec的未来强调对前线开发人员的正确培训和知识，使他们能够形成坚实的防御，以应对那些仍在抬头的老旧漏洞，真是令人耳目一新。

工具提供了一个层面的支持，但实际上--现在是我们面对事实的时候了。我们只是需要停止重复同样的错误。

关闭AppSec的错误循环

作为Leaders in AppSec早午餐会的一部分，我还发表了关于我们如何解决同样的安全漏洞一次又一次出现这一代价高昂的持续问题的演讲。工具可能会发现它们，但它们在防止它们方面做得并不多。开发人员需要得到正确的培训，以便在一开始就阻止它们的引入。

而且，我们开发人员是一个有趣的群体。当涉及到参与和保留时，有些培训比其他培训更有效。你可以在这里观看我的演讲全文。

对安全培训的强调，以及开发人员和AppSec之间的普遍意识和积极文化，对攻击者来说就像氪石。那些小的后门开口被关闭，那些容易进入我们的数据的方法被扼杀，而安全的超级英雄们正在共同努力，使安全成为软件质量的同义词。

缓慢地，但肯定地，我们正在走向成功。