IAG 集团是亚太地区许多领先保险公司的幕后老板，每年为数百万客户承保保单，保费总额约为 114 亿澳元。Bianca Wirth 是 IAG 集团的企业安全教育与意识经理。她高度关注开发团队对严格的安全意识和实践的需求，并着手创建一个真正创新的最佳环境，让团队能够学习重要的安全编码技术。

进入：密码游戏

挑战

开发人员的时间往往很紧张，要完成多个交付任务和项目。 然而，与时俱进的安全最佳实践对任何组织来说都是至关重要的，更不用说一个需要保护数百万敏感客户数据免受黑客攻击的组织了。Bianca 和她的团队在加强网络安全措施的道路上设定了明确的目标。他们认为，当务之急是最大限度地减少 IAG 开发的应用程序的攻击面，他们将通过教育开发人员识别和修复关键和高风险漏洞来实现这一目标。冗长的安全编码培训courses 固然存在，但可能费力、乏味，而且会占用有严格交付时限的开发项目的关键员工的时间，从而给整个业务带来压力。在对工作量和运营影响最小的情况下，快速提高开发团队技能的需求变得显而易见。由于开发人员遍布澳大利亚和新西兰，每个人所使用的系统都不尽相同，因此这并非易事。

"今年，我修改了我们的源代码，消除了一个 SQL 注入漏洞。能认识到这一点，我要归功于《代码游戏》。即使只是把安全编码放在首位也是有帮助的。比赛是推动人们尽力而为的好方法......因为让我们面对现实吧，安全并不是每个人最喜欢的话题，所以这是一个让人们参与进来的好方法。 R，IAG 开发人员

实施

Bianca 制定了推出游戏化培训体验的战略，与她的团队和Secure Code Warrior 合作实施tournaments 和培训，以提高内部开发人员的技能。为此，必须制定合理的沟通策略，并满足员工在采用全新平台并充分发挥其潜力时的不同动机和个性：

"我们设计了一个沟通计划，其中包括如何向员工和主要利益相关者传达需要了解的要点、关键信息，以及我们将采取哪些激励措施让他们做出回应。大多数人都非常喜欢游戏化体验。这取决于他们的个性、动机和驱动力。所以，这就是为什么我们要尽量满足人们各种不同的动机。对有些人来说，他们喜欢奖品，而对其他人来说，成就感本身就足够了，" 她说。

Bianca 和 IAG 专业地展示了Secure Code Warrior的游戏化learning platform ，将tournament 转变为被誉为 "代码游戏 "的有趣竞赛体验，员工们被安排在中世纪主题的房子里（配有玩家的品牌商品），在一场与 HBO 制作的游戏同名的战斗中正面交锋。

tournament 甚至被推向了国际舞台，澳大利亚与新西兰的对决即将启动。这为 IAG 提供了一个机会，以确定两国领先的安全冠军，并确保团队共同提高技能。

结果

代码游戏 "实际上是一个专门的培训项目。作为一个互动、有趣的tournament ，它的推出确保了员工以各种方式参与其中，但这项活动的核心实用性依然存在：让开发人员掌握必要的技能，以识别和挫败 IAG 开发的应用程序中的高风险漏洞。

通过确保开发人员和安全团队都以安全第一的心态开展工作，并从一开始就具备识别和修复漏洞的能力，IAG 预计将减少昂贵的渗透测试工作，并减轻执行团队的压力。

除了继续培养这一重要能力外，"编码游戏 "还有助于建立关系，在参与团队之间注入友情和友好竞争意识，同时也帮助个人在看到自己的安全编码能力在tournament 的计分环境中得到衡量时，对自己的编码能力更有信心。

Bianca 表示，该计划得到了内部的大力支持，得到了行政部门的积极响应。这也促成了一项大使计划，让热衷于在组织内部推广该计划和倡导安全的个人可以参与进来：

"这对一些开发人员来说是一次绝佳的曝光机会，也是对他们技能的一次极好提升。他们在自己的工作中也从中受益，这一点非常重要。

代码游戏 "绝非 "单纯的游戏"，也不仅仅是部门经理进行合规性培训的一种更愉快的方式，它提供了一种高留存率、引人入胜的解决方案，能让安全新手迅速成为安全卫士，这对于最大限度地降低大规模违规风险至关重要。

还有来自比安卡本人的终极建议：

"如果你推出任何计划，并期望人们只是使用它，那是行不通的。你需要围绕它设计一个计划，启动并激励人们改变行为。我们建立的基本上是一个开发人员变更管理计划，重点是安全问题。

"我是一个敏捷团队中的高级测试员，这些培训课程激励我学习更多的安全测试知识，并将其视为一个可能的专业"。 A，IAG 高级测试员

快讯 

• 除了游戏化学习，IAG 还将Secure Code Warrior 作为开发人员招聘中的技能测试工具。
• 他们正在将该计划推广到其 100%的开发团队，其中 55% 的开发团队已经开始使用该系统。  
• 他们制定了一套关键的内部衡量标准，使他们能够衡量该计划在最大限度地降低风险和减少成本方面取得的成功。
  ‍

一级金融机构如何创造革命性的安全认证体验

在安全合规方面，游戏能否成为开发人员的心头好？

这家一级银行客户拥有数百万客户，是一家历史悠久、值得信赖的全球金融机构，并致力于创新和跟上数字化转型的步伐，因此利用Secure Code Warrior 作为其组织内真正独特的教育体验的一部分。

他们创建了一项内部技术教育计划，旨在支持数千名员工学习机器学习和网络安全等多个学科的实用前沿技能。

金融服务业目前正处于快速、彻底的转型期，许多公司正在改变其服务产品，以适应新兴技术的快速发展。从本质上讲，它们正在成为以金融为核心的成熟科技公司。我们客户的方法不仅让他们跟上了这一趋势，还取得了比大多数公司更好（更智能）的成果。他们对自己的员工进行了大量投资，以跟上这些重要、新兴领域的发展，因此，他们在金融科技创新和专业知识方面走在了前列。

为了成功实施该计划，我们的客户和更广泛的团队认为有必要确保他们的开发人员完全精通安全编码，并具有高度的网络安全意识。安全意识经理努力让团队积极参与，从一开始就让他们对安全感到兴奋。

挑战

我们客户的安全意识经理在安全行业工作了很长时间，这让他对大小公司在线应用的爆炸式增长以及数字团队的迅速增加有了前瞻性的认识。他亲眼目睹了随着这种超速发展而不可避免地出现的专业知识孤岛现象，这最终成为许多安全和开发团队面临的问题："在在线应用的早期阶段，开发人员确实考虑过安全问题，并将其应用到软件构建中。然而，在一个日益孤立的环境中，一个团队会开发一个操作系统，然后将其发送给一个安全团队进行分析，分析结果往往是一堆红色标记和如何修复的说明。他说："这样做不可避免地会确保安全，但分析结果和知识却会消失在黑洞中，而且还会反复出现。 

在谈到他在工作中经常遇到的安全问题时，他提到了 "人员挑战"：

软件工程师的工作是构建功能，而安全可能被视为敏捷开发的巨大障碍。他们忙于自己的优先事项，往往把安全问题视为别人的工作。在最极端的情况下，有些人认为 "嗯，什么都还没发生。在数字化日益发展的今天，这种态度必须改变。我们需要让人们认识到分担软件安全责任的重要性，而不是将其视为一种麻烦。

随着我们的数字生活越来越依赖于开发，他看到了墙上的字迹：作为一个社会，我们是黑客的活靶子，而好人的竞争环境却越来越不公平。开发人员需要认真对待安全问题，培养浓厚的兴趣，并成为其组织（乃至任何一家严肃的科技公司）的第一道防线。

于是，他开始颠覆传统的培训方式。

实施

安全意识经理推动了我们客户在软件质量方面设定新标准的整体理念。具体来说，就是软件的内在安全级别是其整体质量和产品可行性的标志。从目前的情况来看，在大多数情况下，安全性与衡量质量的标准并不紧密相关，当然，在评估软件时，也不会像考虑整体用户界面、速度和可用性那样考虑安全性。

"他说："安全必须成为高质量软件的一项不可或缺的要求。"它与可靠性息息相关，而可靠性是大多数企业，尤其是那些业务模式正在快速转型和数字化的企业极为关注的问题。

由于修复已提交代码中的漏洞所需的成本要比从一开始就安全编写代码的成本高出 30 倍，因此在开发团队中 "植入 "可行的安全文化已成为一个关键目标。毕竟，有些漏洞是扫描工具无法发现的，而对付这些漏洞最有效的办法就是建立一支具有安全意识的开发团队。

安全意识经理详细介绍了他在其他形式培训方面的经验，其中许多形式的培训仍然常用于 "征服 "开发人员，让他们为解决日益增长的安全问题做好准备："当开发人员只能通过大量的理论工作来学习安全知识时，或者更糟糕的是：不经常进行的'打勾并继续'合规培训，根本没有足够的实践学习或时间来产生持久的影响。我决心采用更有效的解决方案来改变这种状况，"他说。

高度参与的好处

在精明的安全意识经理及其团队的建议下，我们的客户实施了一项定制的认证计划，Secure Code Warrior 平台是该计划不可分割的一部分。

他们对更有效、更吸引人的开发人员培训解决方案进行了研究，从而成为游戏化的早期采用者，并通过自己的结构化全面课程最大限度地发挥了游戏化的作用和潜力。

他说："至关重要的是，我们要让高参与度的培训成为企业文化的一部分，让学生不断回来继续学习。他说："该系统是一种有意识的方法，旨在培养学生的知识、技能和对安全的价值感，最终使他们能够使用日常使用的真实源代码。

通过确保解决方案的整体性，同时涵盖行业标准的最佳安全实践和内部指导方针，我们的客户能够迅速开展培训，对组织内的软件安全产生积极影响。

结果

我们客户的认证计划是一种成功的、不断发展的培训形式，非常适合其内部技术教育设施等前瞻性举措。以这种有趣、互动和激励的方式推出的深度课程，确保了所有学员都有最佳机会保留知识，并为真正培养安全第一的文化和心态提供支持。游戏化无疑使学习变得轻松愉快，但该计划的核心实用性依然存在：为开发人员提供识别和挫败其应用程序中高风险漏洞所需的技能。

值得注意的是，培训并不是强制性的，而是需要开发人员的积极性。毫无疑问，这需要激励和奖励措施的支持，但更广泛的团队采用该计划则是团队支持和认可该流程的结果。

除了继续培养重要的能力外，该计划还有助于弥合开发团队和 AppSec 团队之间的关系鸿沟，让他们站在同一起跑线上，使用同一种语言，并形成共同利益。

该计划与合规性复选框大相径庭，它已成为持续支持重要员工及其职业生涯的基础，为全球最高速增长的行业之一--网络安全行业提供了可衡量的技能提升。正是这样的培训计划将成为从一开始就提高软件安全性的基准。

快速了解

• 已经完成认证并表示有兴趣成为讲师的学生反响空前热烈。这种自上而下的宣传方式是传播口碑支持、接受度和整体安全意识的有力因素。
• 我们的客户正在向其组织内的 2500 多名开发人员推广该计划，其中 90% 以上的开发人员已经活跃在该系统中。
• 他们利用这种培训来帮助员工实现全面的职业发展，确保他们掌握必要的知识，在日新月异的技术领域发挥自己的技能。