《代码游戏》如何引领IAG集团迈向更安全的编程未来

IAG集团是亚太地区多家主要保险公司的统称，每年为数百万客户提供约114亿澳元的保险保障。比安卡·沃斯担任该集团的企业安全培训与意识主管。她深谙开发团队内部实施严格安全意识与实践的必要性，并着手打造真正创新且高效的环境，助力团队掌握关键的安全编码技能。

游戏代码

挑战

开发人员往往面临耗时长、产出多、项目繁杂的困境。然而，保持安全最佳实践的最新状态对所有组织都至关重要。更不用说那些拥有数百万敏感客户数据档案、需要防范黑客攻击的机构了。Bianca和她的团队在强化网络安全计划的道路上制定了明确目标。他们将最小化INIAG应用程序的攻击暴露面视为首要任务，并决定通过培训开发人员识别和修复关键高危漏洞来实现这一目标。虽然现有的安全编码培训课程确实存在， 这类课程往往艰苦乏味，且在交付周期紧迫的开发项目中抽调核心人员参与，可能给整个业务带来压力。因此亟需在最小化工作负载和运营影响的前提下，快速提升开发团队的技术能力。由于澳大利亚和新西兰各地的开发人员采用的系统各不相同，这项任务绝非易事。

今年我通过修改源代码消除了SQL注入漏洞。对于能意识到这些问题，我必须感谢Game of Codes的贡献。仅是将安全编码置于首位的做法就很有帮助。竞赛是激励人们全力以赴的好方法……坦白说，由于安全并非人人都热衷的主题，竞赛正是吸引人们参与的有效途径。R , IAG开发者

实现过程

Bianca与团队及Secure Code Warrior合作，制定了推出游戏化教育体验的战略，通过实施竞赛活动并开展培训来提升内部开发者的技术水平。为此，必须制定健全的沟通策略，满足员工多样化的动机和个性需求，使其能够充分接纳全新平台并发挥最大潜力。

我们制定了沟通计划，内容包括员工及主要利益相关者需要了解的事项、核心信息，以及为响应这些信息将提供的激励措施。大多数人确实享受游戏化的体验，这完全取决于他们的性格、动机以及驱动他们前进的动力。因此我们努力激励完全不同类型的人群。有些人热衷于奖励机制，而对另一些人而言，成就感本身就是足够的驱动力。"她说道 。

Bianca与IAG专业展示了Secure Code Warrior的游戏化学习平台，将竞赛活动转化为名为"代码之战(Game of Codes)"的趣味竞技体验。员工们被分配到中世纪主题屋（含品牌玩家商品），展开了一场堪称HBO制作水准的激烈对决。

本次锦标赛已进军国际舞台，澳大利亚与新西兰的对决即将拉开帷幕。通过这项赛事，IAG不仅能遴选出两国最顶尖的安全冠军，更能为参赛队伍提供共同精进技术的宝贵契机。

结果

《代码之战》本质上是一项专业培训计划。虽然它以趣味性强的互动式竞赛形式推出，让员工能够通过多种方式参与，但这项练习的核心实用性始终未变——即为开发人员提供识别和防范IAG开发应用程序中高风险漏洞所需的技术能力。

IAG预计，通过让开发人员和安全团队都以安全为首要考虑的思维方式开展工作，不仅从一开始就识别漏洞，更能实现漏洞修复，从而减少耗费高昂成本的渗透测试练习，并减轻执行这些测试的团队负担。

这些核心能力不仅在持续发展，Game of Codes还促进了团队关系建设，在相关团队间培养了战友情谊与良性竞争氛围。同时，在积分制竞赛环境中，参与者通过量化评估，对自身的代码安全能力建立了更强的信心。

比安卡表示，该计划获得了内部的大力支持，并得到了管理层的积极反馈。这也催生了大使计划，该计划允许组织内希望推广该计划并维护其安全的人员参与其中。

对部分开发者而言，这是一次梦幻般的体验，他们得以出色地展示自身技术实力。开发者们通过此项目在自身工作中也获得了切实收益，这点至关重要。

《代码游戏》绝非简单的游戏，更远非部门管理者让合规培训变得更有趣的工具。它提供的是留存率高、参与度强的解决方案，能够迅速将安全新手转变为安全专家。这对于最大限度降低大规模安全漏洞风险至关重要。

而比安卡自己的最终建议如下：

如果只是推出某个程序，却指望人们直接使用它，效果必然不佳。必须围绕该程序设计能引发行为转变并激发动力的方案。我们打造的本质上是聚焦安全领域的开发者变更管理程序。

完成“Game of Codes”培训课程后，我对安全领域产生了更浓厚的兴趣，并在创建自动化测试时开始关注安全问题。作为敏捷团队中的资深测试工程师，这些培训课程让我深入学习了安全测试知识，并认为这是值得深耕的专业领域。A，IAG资深测试工程师

摘要信息

• IAG除游戏化学习外，在招聘开发人员时还使用Secure Code Warrior作为技术测试工具。
• 目前已向开发团队100%成员部署了该程序，其中55%成员已在系统中开展活动。
• 随着时间推移，他们开发了一套关键内部指标体系，用于衡量项目能否在最小化风险和降低成本方面取得成功。
  ‍