脚手架学习如何打造安全意识强的开发者

只需花几分钟浏览技术新闻，您就会立即意识到威胁环境正变得多么危险。重大安全漏洞、新发现的漏洞或网络攻击者与犯罪分子积极利用威胁的报道似乎每天都在涌现。几乎所有行业指标和报告都显示网络威胁数量正日益增长，多数专家预测这一趋势将在未来几年持续下去。

为应对这些新型威胁，奋战在前线的IT安全人员正面临人力枯竭与人才短缺的困境。尽管他们薪资丰厚且几乎是所有企业或组织不可或缺的存在，但可流动的安全人才永远供不应求。战略与国际研究中心最近的一项调查显示，82%的IT决策者表示其组织正因网络安全技术人才短缺而陷入困境，71%的人表示这种技术短缺已给组织造成直接且可量化的损失。报告显示，仅在美国，这个拥有约94万就业岗位的领域就有超过52万个网络安全职位空缺。

全球目前约有350万个网络安全岗位尚未填补。这意味着，即便是愿意支付高昂薪资来招聘和留住顶尖专业人才的组织，也难以找到合适的候选人。平均而言，完成招聘所需的时间延长了约21%。若能提升网络安全水平，那么在其他任何岗位上都难以获得如此高的职位。

开发者支持被忽视了太久。

在之前的博客中提到过，开发人员可以被利用来弥补网络安全防御中的诸多关键缺口。只是传统上，开发人员从未接受过网络安全方面的培训。他们的工作成果几乎完全基于部署速度和时间。更进一步说，应用安全团队负责安全工作。

遗憾的是，这并非仅仅改变方向、要求开发人员突然在应用程序和程序中添加安全措施就能解决的问题。即使多数受访者表示愿意接受这些变更且正在实施，要真正实现仍需教育培训。此外，虽然高层管理者的鼓励与支持不可或缺，但首要且往往最大的障碍在于如何实现有意义的学习。

全球范围内数百万高薪且高度安全的IT安全职位至今仍空缺，这绝非偶然。若工作轻松，人人都会涌入该领域。学习应对威胁、消除代码漏洞的方法本就困难重重，而威胁环境更在持续演变。即便对技术娴熟的开发者而言，网络安全培训也往往进展缓慢、效果短暂且影响有限。 尤其当这些要求叠加在原本就超负荷的工作日程上时，情况更为严峻。

打造踏脚石，攀登更高处

采用传统方法教授网络安全技术，犹如脚不离地却要建造超高层建筑。由于学生缺乏掌握网络安全这类复杂领域众多高阶概念所需的基础，这种做法根本行不通。为弥补这一缺陷，可采用以下概念进行支架式学习：

在采用脚手架或“分层”方法提升技能时，通常会将更宏大的主题分解为独立的学习体验或概念。这使学生能够通过适当的练习和指导掌握每个概念，并在每个组成部分获得所需的支持。正如建筑物拔地而起时需逐层搭建物理脚手架，新颖且更高级的概念会层层叠加在已掌握的知识之上。通过这种方式，学生能够达到远超自主学习水平的理解深度与技能掌握程度。

与物理支撑架类似，这种支持在不再需要时会逐步撤除，随着学生日益熟练，对学生的责任也随之加重。

支架式学习主要用于减少学生在尝试困难任务时可能经历的挫败感、恐惧或沮丧等负面情绪与自我认知。但当涉及处理现代网络安全这类极其复杂的概念时，它同样大有裨益。与其将开发者视为孩童，不如说当安全团队的经验可能导致同样的挫败与沮丧时，这种方法便显得尤为重要。 尤其当他们的努力因漏洞修复和新批评而遭到否定时。

当开发者获得理解安全编码基础的工具时（通常从OWASP十大漏洞开始）， 通过OWASP十大漏洞，开发者能亲身体验安全漏洞如何产生、为何危险，以及如何在进入生产环境前解决问题。这有助于积累解决复杂漏洞和实施优质修复的实战经验，从而拓展知识体系。随着能力层级的逐步提升，面对不安全的软件架构或威胁建模等高级安全问题时，这些飞跃将不再令人望而生畏，反而能精准应对。

行业不应期望开发人员成为安全专家。但组织可通过采用支持开发人员的新标准，生产出更高质量的软件。对于拥有高熟练度工程部门的组织而言，额外优势在于：每个阶段或层级的支撑框架都能在学习过程中直接转化为网络安全改进。无需等到培训课程结束，即可见证成效。

学习网络安全是一项艰巨的任务，若没有适当的帮助和指导，几乎不可能完全掌握。借助脚手架学习法并结合安全计划，您几乎可以立即看到成效，从而最大限度地发挥安全计划的作用。改进将几乎立即开始，并随着时间的推移持续提升。

与我们携手，开启打造强大安全开发者的征程。立即查看：

培训课程：
任务：
开发者培训：

... 以及更多！