一些首席信息安全官正在将安全技能短缺转化为机会

当我本周前往旧金山参加 RSA 时，我正在为与 CISO 进行大量讨论做准备。这可能会让你感到惊讶，但是现在与许多首席信息安全官的对话并不愉快。

他们知道安全风险正在增加，但许多人看不到改善安全的机会，而是认为他们的组织比以往任何时候都更有可能成为数据泄露或网络安全攻击的受害者。

在我的定期CISO对话中，最常见的主题之一是他们对网络安全技能短缺问题的担忧。

“我们的安全团队不够大，无法容纳我们的工程团队或公司的规模。”

“我们的安全团队不断被海外公司偷猎，这些公司提供丰厚的薪水待遇以及工作和探索其他大陆的机会。”

“我们的安全专家忙于灭火，无法保持技能发展”。

这一主题得到了多份研究报告的支持，其中包括2017年Ponemon Institute的一项调查，该调查显示，“缺乏称职的内部员工” 是2018年CISO所有其他形式的网络安全问题之首。

这种关键的安全技能差距不太可能在短期内消失，尤其是在澳大利亚这样的市场，最聪明的人才经常移居海外，移民法使外国安全专家进入该国变得越来越困难。

澳大利亚技能短缺的有趣之处之一是，缺乏招募熟练专家的能力使人们积极关注国家安全技能建设。正如本杰明·富兰克林应该说的那样，“逆境中会有机会。”澳大利亚政府、教育机构、企业和初创企业正在制定计划，在当地培养一系列安全技能。

安全技能逆境无疑带来机遇的一个领域是内部和外包开发团队内部安全编码技能的发展。鉴于世界上大多数重大安全漏洞都可归因于编码错误，而且平均漏洞损失为360万美元，因此软件安全绝对是安全挑战的重要组成部分。应用程序安全预算中最大（且不断增加）的支出之一是被动的应用程序安全识别和补救，通常是年复一年地出现相同的旧错误。

授权开发人员从一开始就编写安全代码，这为首席信息安全官提供了从安全困境中抓住一些主动控制的机会，也就有机会 “为安全和开发团队带来快速、简单和可衡量的改进”。

这并不意味着用开发人员取代安全专家，但它确实意味着让开发人员参与安全问题，让安全成为他们日常思维的一部分，并教他们以一种有趣、有效和高效的方式安全地编码。结果将是，稀缺的安全专业知识可以更好地用于发现和修复真正具有挑战性的复杂错误，而不是处理同样的旧漏洞。

对于一些首席信息安全官来说，这听起来可能好得令人难以置信，或者很难实施，但事实是，这两者都不是。在 Secure Code Warrior，我们看到越来越多的首席信息安全官抓住了这个机会，并在此过程中改变了安全和开发团队的工作生活。

澳大利亚银行是领导全球软件开发人员培养强大安全思维和技能的首席信息安全官群体。早在2016年和2017年，澳大利亚银行就是这种方法的早期采用者。该国排名前六的银行现在积极鼓励和参与其开发团队，通过我们的在线、自定进度、游戏化学习环境来培养安全的编程技能。银行还定期审查实时指标和报告，以验证其开发人员和团队的长处和短处。

该方法带来了切实而积极的成果，包括减少了常见漏洞的发生，提高了开发人员的安全意识以及改善了安全与开发团队之间的关系。投资于教导开发人员安全编写代码的公司将减轻其现有安全人才的压力，并减少他们因软件不安全而面临的风险。

如果你是一名首席信息安全官（或熟悉的首席信息安全官），对组织内部的安全状况感到沮丧，我鼓励你考虑一种直截了当的方法来获得一些积极而切实的安全改进分数。让您的开发人员能够以相关、积极和有趣的方式安全地学习编码。您的安全和开发团队将对此表示感谢，您还将消除产品创新和开发的成本和延迟。我敢打赌，这将为许多积极的安全对话铺平道路_...

授权开发人员从一开始就编写安全代码，这为首席信息安全官提供了从安全困境中抓住一些主动控制的机会，也就有机会 “为安全和开发团队带来快速、简单和可衡量的改进”。