2019 年 OWASP AppSec 日：培训育安全开发人员

本月早些时候，我有机会参加 2019 年 OWASP 应用安全日 在美丽的墨尔本。这些以开发人员为中心的活动是我在日历上最喜欢的活动之一；它们谦卑地提醒了社区不懈地努力教育和增强软件工程师和专家的能力，使他们能够在工作中捍卫安全。

嘉宾阵容轰动一时——更不用说令人耳目一新的多样化了——即使在该行业工作了这么多年，我也能留下灵感，这真是太棒了。诸如此类 Tanya Janca， 托尼·詹姆斯 和 泰瑞·拉迪切尔 进行了令人难以置信的演讲，而 Wireghoul“Eldar Marcussen的现场安全编码挑战考验了整个礼堂，但很高兴看到与会者有如此深刻的安全意识。

今年，安全代码勇士是该活动的白金赞助商。我不得不微笑，因为我回忆起就在四年前，正是OWASP AppSec Day背后的团队通过免费展位和促销来帮助我们自力更生的初创公司。看到我们作为一家公司取得了多大的成就，这是一个自豪的时刻，也是对这样一个由不可思议的人组成的慷慨社区的存在表示感激的时刻。

托尼·詹姆斯：从开发者的角度看安全

如果说我们需要在这个世界上更多地培育一件事，那就是同理心。而且，在全面提高软件安全性方面，了解开发人员的困境至关重要。

我真的很喜欢 Toni 的演示，而且我敢肯定，每位开发者都能立即感受到它的相关性。这个故事不仅仅是 “编写安全代码”，虽然我当然相信经过有效安全培训的开发人员是我们对抗漏洞的最佳机会，但必须考虑他们的日常挑战。

软件开发人员的工作可以向数百万用户展示，为关键基础设施提供支持，并成为我们认为理所当然的服务背后的推动力。功能构建、执行业务创新和坚持精益交付的最后期限会带来很大的压力，而那是在AppSec团队大放异彩并仔细研究他们的辛勤工作之前。托尼谈到了这种环境中的生活是什么样子，以及各方充分的同理心如何带来更好的流程和安全结果。我很高兴看到在弥合开发人员和AppSec团队之间的差距方面取得了如此健康的进展；归根结底，这是积极、蓬勃发展的安全文化中的一个关键要素，而Toni是这一过程运作得非常出色的典型例子。

Tanya Janca 和 Teri Radichel：安全超级英雄

并不是说这是一场比赛，但是坦雅·扬卡和泰瑞·拉迪切尔对会议的贡献是我最喜欢的。在他们的 DIY 云安全评估教程开始十分钟后，他们展示了他们惊人的经验、资格和专业知识，同时也暴露了他们分享知识和支持开发者社区的真诚热情和愿望。他们共同提出了确保Azure实施安全的切实可行的操作，包括有关设置安全策略和最低权限措施的实用建议。

谷歌的快速搜索将告诉你所有你需要了解的关于他们致力于支持基层开发者的信息，并提供大量的免费资源、指导机会和访谈，以宣传软件安全的有趣和引人入胜的一面。他们是我们社区中鼓舞人心的、至关重要的拥护者；如果他们在你参加的下一次安全会议上发表演讲，你一定会生气地错过他们的会议。

大舞台上的客户

看到这么多客户不仅出席，而且拥有舞台并与观众分享他们丰富的安全知识，真是太棒了。

我们设法抓住了 澳洲电信的安德鲁·贝利发表了一场重要的演讲，“将 “Sec'to DevOps”。他作为高级软件工程师的丰富经验，现在专注于应用程序安全和安全编码，这是一个值得强调的绝佳视角。他提供了在SDLC的每个阶段注入安全性的端到端技巧（当然，包括一开始就通过培训更多开发人员进行安全编码培训）。

肯·约翰逊是其中的一员 GitHub的安全团队，我很高兴看到他在会议结束时加入专家小组。他和其他小组成员非常乐意回答听众的紧迫问题，包括那些未必得到媒体应有的关注的问题。除了一些行业见解外，他还让小组讨论了幸福感和工作/生活平衡的重要性，这在这个开发人员精疲力尽的时代非常重要。

我要衷心感谢朱利安·伯顿和整个OWASP墨尔本团队举办又一次精彩的会议。明年见（还有更多贴纸）。