软件开发行业亟须提升开发人员的安全意识

市场竞争激烈,快速提供高质量的可靠的程序代码是软件开发企业的致胜法宝,然而,未经过充分检测便得以快速交付的软件会带来新的问题,就是软件代码的安全性不够,甚至漏洞百出。

如果说在传统的内部网络部署实施的软件即使存在明显的安全问题,也不会带来太大风险的话,人们尚会理解。但在基于互联网的云计算时代,快速地将不够安全的Web系统上线则是在为将来埋下一颗不定时地雷。

一项调查表明:中小型软件开发企业的多数产品及大型软件开发公司的小项目都没有采用适当的安全保障措施来确保安全控制目标的实现,即便是基于网站的应用程序也是如此。

昆明亭长朗然科技有限公司的软件安全顾问Richard Yu称:“多数Web应用系统的开发项目初期并没有让信息安全专业管理人员参与,所以在项目初期的需求分析时即缺乏安全需求的输入,到随后的系统功能规划和设计开发时就更无法保障结果满足安全控管目标。”

软件开发协会的一次软件开发风险分析称:软件开发市场上常见的现象是不断增加产品的功能特性,在软件系统得以实施的后期,安全问题出现后再进行修复的成本异常高昂,因为这时已经很难将安全控制功能推进软件之中。

只有少数行业的关键应用软件的开发会让专业的安全人员进入,多数的软件开发人员并不会意识到安全的重要性,实际上,安全实践应该成为软件开发的一个组成部分,就像软件质量保证实践一样进行必要的渗透测试,而且同样还需要不断的改进安全控管功能。

亭长朗然公司的安全分析师James Dong表示:“几乎所有快速开发的中小型应用软件在安全方面都是失败,其中的重要原因并非赶进度这么单纯,实际上,没有多少软件用户能意识到软件的安全问题,更没有多少用户了解软件的安全问题,如果再没有专业的安全人员积极参与,程序开发人员根本不会去关心如何开发出安全的软件。”

由此,我们看来,要想提高软件系统的安全性,将安全特性内置于软件开发的整个生命周期之中,需从源头抓起,首先要加强软件用户和开发人员的基本安全意识,再提升开发人员的安全技能,要想打造与国际接轨的软件外包产业,获得重视安全的国外大客户的订单,特别要注意先向程序开发人员灌输基本的信息安全意识

software-development-security-training

如何向无意愿的人们推销信息安全

不可否认的是,今天各类型的组织要取得持续的成功,保障组织赖以生存和发展的信息系统和信息数据的安全非常必要。

然而要实现这些安全保障的总体目标并不容易,随着云计算和移动应用的日渐普及,对信息系统的安全控管面临技术和商业双方面的挑战,全球供应链,网上交易,社交网络,移动办公等等让信息数据四处分散,这令传统的中央控管式安全架构力不从心。

当然,创新的安全控管技术也不断问世,让组织的安全管理层可以选择来部署,以便应对不断演化的安全威胁。然而,这些技术控管措施可能并不全面和完整,而且终究需要组织内外的相关人员来认识、理解和接受才能发挥效力,这就需要我们各类组织的信息安全管理层考虑人员的信息安全意识问题。

即使您的目标受众对信息安全一无所知,他们中的大多数可能也不愿意听您苦口婆心的布道,这并不是他们的错,人之初,性本善。

我们需要在沟通的内容、方法和方式上进行改变,没办法,员工的安全意识培训是企业内部沟通的重要组成部分,谁都不想看见“台上念着稿子,台下昏睡一片”的悲惨场景,是吧。

在内容的创作方面,有几点要注意:1.要紧紧围绕组织的安全方针政策,安全内容应该为组织的成功服务,在商业化组织讲保护国家机密简单就是在浪费人们的生命;2.接合组织的商业流程和安全控管标准和体系,比如如果使用了Lotus Notes作为公司的邮作系统,则不要在邮件安全培训的内容中出现Microsoft Outlook的安全使用技巧;3.内容设计让学员在工作内外都有所收益,尽管安全意识教育的目标是保护组织的成功,但组织的成功和员工个人的成功是一致的,信息安全的基础知识,基本理念和方法往往是通用的,了解和掌握这些可以帮助到学员保护好自己、家人、朋友甚至未来的事业。

光有内容并不够,有效的安全意识计划重在沟通,说信息安全意识靠“宣灌”并不太恰当,沟通是双向的,是需要互动的,否则就是说天书、放广播电视,再好的内容在那些对安全没有兴趣的人们眼中,也有强奸民意、恶意洗脑之嫌。

要让目标受众乐于同安全培训专家人员进行沟通,愿意了解您要说什么,得给他们一点甜头儿,没办法,对于多数人来讲,这个世界上比接受安全培训更好玩儿的、更重要的事情多着呢。这不需要太多投入,安全预算中的半个百分点拿来做安全意识培训活动参与奖,就会让员工们趋之若鹜。

如果您看着员工们来了,就大骂他们个个是菜鸟,不懂基本的安全常识,给组织造成了重大的损失,那他们也不会给面子,拿了奖品立马走人,或者还有可能留下来捣乱让培训活动搞不下去。所以,吸引他们来之后,要留住他们,要让他们在安全方面有所收获,您和组织也就有了安全培训方面的成绩。

要让安全意识培训丰富多彩,不枯燥,不乏味,您需要多种多样的沟通方式,标语、手册、彩页、海报、电脑壁纸、屏保、日历、手机座、圆球笔、小茶杯、鼠标垫等小礼品必须要有,但这些传统的招数已经不再新颖,也不足够,我们需要来点互动式的社交活动、Flash、情景剧、闯关争霸赛、挑战类安全小游戏等等。

我们在此分享一部信息安全战争游戏,用于帮助员工认识组织所面临的各类信息安全威胁,它们包括但并不限于:火灾等自然灾害、黑客攻击、网络钓鱼、网络诈骗、信息窃贼、商业间谍、内鬼、叛徒……

当然,您不用担心员工会沉迷于游戏,而不再为组织创造价值,因为信息安全教育游戏不是靠卖游戏装备来赢利。

相信,担当组织信息安全管理重任的您,在信息安全意识教育内容的设计制作和培训沟通的方法方式上做了改变之后,会改变那些信息安全的落后份子,吸引他们的眼球,并让他们理解和接受组织的安全策略和基本的安全理念,进而帮助您和组织取得漂亮的成绩!