村が必要だ：コミュニティ精神がより安全な開発環境をどう生み出すか

“需要一个村庄” 这句话是 古老的非洲谚语，涵盖了许多不同的非洲文化、方言和地理位置。尽管用来传达这一智慧之珠的语言可能有所不同，但人们的情绪却是一样的：它需要整个社区的意见，才能创造一个安全、积极和有启发性的环境，将子孙后代培养成全面发展的成年人。

这可能看起来像是一把漫长的弓箭，但实际上，开发者社区正是基于这一原则蓬勃发展了数十年。计算机背后的反社会、“孤狼” 极客的概念与大多数陈规定型观念一样：夸大其词，并不是学习我们运作方式的最佳方式。有来自各行各业的各种类型的开发人员，而且我们所做的每件事都具有社区意识。

早在互联网成为常态之前，我们就在公告板上分享技巧，解决彼此的问题，争论最佳实践（当然，站在我这边，也在努力打破常规）。这种情绪没有改变。互联网现在是另一回事，桥下有更多的巨魔，噪音也更大，但是可以快速跳到像这样的地方 Reddit 和 堆栈溢出 会给你立刻的帮助意愿、友情和丰富的信息。

但是，我们都可以帮助支持的一件事是与经历相同情况的人们建立的真实联系。当你在现实世界中互动时，会有新的意义层，促进 “IRL” 社区可以加速知识共享、阐明知识并以奇妙的方式扩大视野。

开发者社区如何支持安全？

像这样的组织 OWASP 在安全社区做得非常出色，拥有大量有关漏洞、新闻和关键警报的免费资源。线下，OWASP 分会遍布世界各地的城市，定期举办活动让人们聚集在一起，讨论安全问题，分享提高软件安全的技巧。它真的很棒，对我来说，这就是开发社区的全部目的。

这些社区，无论是在线社区还是面对面社区，都帮助解决的一件事是开发人员之间的技能和知识差距。许多经验丰富的开发人员非常乐意传递信息，帮助他人入门或为他们指明正确的方向（任何优秀的绝地武士都知道他们需要时不时地帮助学徒）。

因此，当我们与他们合作举办诸如安全编程锦标赛之类的活动时，这总是一种真正的享受。到目前为止，我们已经为澳大利亚、英国、印度和美国的聚会提供了支持，我希望还会有更多的聚会。

OWASP 锦标赛聚会是什么样子？看看这段在伦敦标志性的 BBC 演播室举行的 OWASP 锦标赛的视频：

这些活动无疑有助于提高认识，当组织内部支持这些基层举措、引入成熟的安全编码培训以及承诺以积极的安全文化运作时，这种势头就可以在组织内部得到利用。

怎么做 游戏化 锦标赛有助于培养更安全的开发者吗？

OWASP 聚会围绕社交、共享知识和与各种具有安全意识的个人讨论想法而建立。但是，对于那些不熟悉安全（或尚未对安全感兴趣）的人来说，这些事件可能不会被注意到。

当组织在提高安全意识和激发开发者群体的真正兴趣方面发挥积极作用时，可以产生积极的延续效应，即在内部灌输对安全知识的终身追求——我们需要获得的那种知识 大家 更认真地对待安全编码。

典型的训练方法很少能起到很大的激励作用（比如在日常工作任务堆积如山时坐在教室里，或者努力保持清醒地观看无休止的视频），但是激发竞争感、乐趣感和游戏化过程可以使学习变得不那么麻烦。游戏化学习方法使技术知识（有时甚至是枯燥的）知识更易于消化，将其分解成更小的部分 情境相关，令人难忘，鼓励重复学习。Secure Code Warrior 建立在可访问性的基础上，使开发人员能够逐步补充以前的学习内容，从而体现出他们的创造力和解决问题的总体本能。

评估有助于使每个人都步入正轨并确定需要改进的地方，但是安全编程锦标赛可以作为组织安全意识和积极变革的催化剂，也是参与者展示自己强大技能的一种方式。毕竟，当你看到锦标赛排行榜的实时更新时，你就会有动力继续争取更多积分，真正炫耀自己的安全能力。

成功的锦标赛是什么样子？

我们与OWASP会面的目的始终是投资于安全社区的持续健康状况，帮助他们推广这样的概念，即学习安全知识实际上可以带来乐趣。

要吸引开发人员，帮助他们在与志同道合的人交往的社交环境中磨练和发挥自己的技能，安全编程锦标赛不费吹灰之力。它们有助于打破围绕 “安全” 概念可能存在的人造墙，这可能是因为在工作或教育中不太愉快的经历。

一场真正精彩的锦标赛通常包括以下内容：

• 在组织中大张旗鼓；让开发团队以外的人知道发生了什么以及为什么
• 不受判断的环境，为各级开发人员提供支持
• 一些特别的福利；点一些食物和饮料，给它一个主题并鼓励自我表达
• 奖励和认可；美国开发者喜欢纪念品，获胜者的丰厚奖品也是一种奖励：请记住，在这个过程中，你未来的安全卫士可能会被发掘出来
• 社区意识和友情意识。

我们正在成为一个 DevSecOps 世界，随着安全性终于从软件开发项目一开始就成为人们关注的焦点，开发人员需要尽早参与有效的培训。从编写代码的那一刻起，它们就是保护组织免受漏洞侵害不可或缺的一部分，在蓬勃发展的安全文化中，每个人都可以更轻松地休息。