为什么游戏化是提升软件安全性的关键

在我自己的软件开发和安全职业生涯中，我曾与许多人交谈过——他们担任着应用安全经理、首席信息安全官、首席信息官、网络安全专家等职位，在世界各地的各类公司工作。

在这个不断变化的数字世界中，无论团队所处的境况如何不同，经验多么丰富，或是经历了多少时间，始终存在一个不变的问题：他们很少能在安全问题上积极参与开发团队。安全依然是禁忌话题，是团队间冲突的根源，更是行业背后彻头彻尾的痛点。

然而，软件安全对我们的整体思维方式至关重要，我们不能继续沿用旧路。必须努力改变对话方式，让安全成为每位开发者工作中不可或缺的部分。我认为实现这一目标的最佳途径之一，就是通过游戏化等方式赋予开发者安全方面的自主权，并与他们积极互动。

当前的格局

开发人员离开大学时几乎没有交付安全代码的实践知识，他们从事的工作岗位很少将安全培训列为优先事项（如果有的話，它通常是关于健康和安全的强制性合规视频的一部分，这些视频太乏味了，没有人会关心安全编码）。通常，他们首次接触安全领域是在审计或测试错误报告时——这份报告突然中断了即将发布的版本，瞬间成为他们创造性思维的头等大事。他们发现自己与负责安全报告的人员发生争执，因此在他们心中，“安全”成了“批评”的代名词。哈哈哈。

老实说，这种对软件安全的负面看法如此普遍，真是太可惜了。毕竟，我职业生涯中最美好的回忆与学习软件安全有关。我早期的黑客时代都在参加会议，在这些会议上，我不仅可以与同行测试自己的技能（说实话，可以稍微炫耀一下），而且还能与和我一样喜欢破坏软件的志同道合的人会面玩得很开心。

BruCon、DefCon、BlackHat...这些活动为像我这样的人提供了在友谊赛中施展技能的机会。虽然我从未承认参与过这类反社会活动，但有些人甚至会通过入侵其他参与者的手机，在演示屏幕上展示他们的信息让所有人看到，以此彰显自己的黑客实力。它变成了一场游戏——发现漏洞、利用漏洞、修复漏洞，从而改进软件。几年前，我有幸与数百名中东孩子面对面交流，向他们传授网络安全知识。至今仍记得班里有个八岁女孩，她在玩游戏时竟学会了密码暴力破解和base64编码。

游戏化教学也应用于编程技能的培养。全球各地的教育机构正通过这种方法向幼龄儿童传授编程知识，甚至延伸至高中阶段。如今，年仅四岁的孩子常参与诸如CodeCamp的节日活动，还有众多优质在线课程能教导孩子们使用Python等语言编程。我甚至为四岁的女儿购置了神奇的无屏幕编程工具——库贝托。

然而，尽管存在所有这些乐趣和进步，差距依然存在。没有人想到过利用游戏化来培训开发人员如何编写安全代码的可能性。

好吧... 几乎没有人。几年前，我意识到我们需要再次激发安全灵感，真正激励开发者参与进来并开始行动。

游戏化：简单的前进方向。

我内心深处有提升和增强开发人员安全知识的动力，正是这种激情促使我Secure Code Warrior。软件安全至关重要，而且确实令人兴奋。

我并不孤单。

游戏化能让最平凡的任务变得更有趣，也能让人们保持足够的参与度，让他们渴望继续游戏、赢得胜利并不断进步——看看宝可梦走过的路就明白了！它甚至能让最懒散的人离开沙发，到户外寻找虚构生物；又或者像FitBit那样，将达成步数目标变成许多人的日常追求... 若这些目标未能达成，连胜纪录终结，徽章未能获得，便会产生一种真实的失落感。

因此，让我们回到安全培训的话题。我们已向众多客户证明，游戏化是真正改变其组织安全文化、在应用安全团队与开发团队之间架设桥梁、并全面助力他们构建更高标准软件的关键所在。

目前，安全性并非开发人员的首要任务。通过在训练方法中加入友好、竞争性和引人入胜的元素，你激励他们不仅“玩”，还要持续参与以赚取更多积分、打破高分纪录、提升准确性，并挑战队友。

我们已经知道成功的培训是这样的：

• 开发人员能够使用真实代码和自己的语言/框架进行工作
• 挑战很短，涵盖了所有常见的安全漏洞
• 挑战不断扩展和更新，因此开发人员可以随着时间的推移持续提升技能。
• 挑战的复杂程度各不相同，因此无论是资深开发人员还是经验不足的开发人员都会参与其中。
• 开发人员及其经理能够查看进度，包括他们完成了哪些挑战、他们的长处和短处、花在培训上的时间及其总体准确性。

我们的一位最大客户在推出游戏化平台时展现了其真正的魔力：为开发者提供主题团队装备，为游戏获胜者提供惊人的奖品，并真正让他们的锦标赛成为值得纪念的一天。此后，他们举办了国际比赛，直至今日，整个团队仍在进行严格的训练。

你自己的软件革命由此启程。澳大利亚银行业正引领游戏化培训浪潮，以颠覆传统（或枯燥）的培训模式对抗不良代码——看看我们的客户如何通过下一级锦标赛重塑团队。你准备好与我们携手提升团队等级了吗？

我们必须努力改变对话方式，使安全成为每位开发人员工作中不可或缺的一部分。我认为实现这一目标的最佳途径之一，是通过游戏化等方式赋予开发人员安全方面的自主权，并与他们建立互动。