في مكان ما ضمن منظومة أدواتك، توجد أداة أمان للمطورين بترخيص غير مستخدم. لقد اجتازت عملية الشراء. واجتازت المرحلة التجريبية. CISتمت الموافقة على ذلك. وبعد ستة أشهر، يلجأ المطورون إلى حلول بديلة، أو يكتمون تنبيهاته، أو يواصلون العمل بهدوء كما اعتادوا. هذه ليست مشكلة تدريب أو مشكلة تتعلق بثقافة الامتثال، بل هي مشكلة تتعلق بتبني المطورين لأمن المعلومات، وهي أكثر شيوعًا وأكثر قابلية للتنبؤ مما يرغب معظم قادة الأمن في الاعتراف به.
ماذا يعني تبني أمن المطورين فعلياً
إن تبني المطورين للأمان هو الفجوة بين نشر أداة ما واستخدامها بالطريقة التي صُممت من أجلها، كل يوم، دون أن يضطر أحد إلى فرض ذلك. ماسح ضوئي يعمل في بيئة التكامل المستمر يتم نشر أداة لا يستخدمها المطورون أبدًا، ولا يتم اعتمادها. يتم نشر اكتشاف يتم رفضه فورًا لأن آخر عشرة اكتشافات كانت نتائج إيجابية خاطئة، ولا يتم اعتماده. يبدو اعتماد المطورين الحقيقي لأمن المعلومات أمرًا بسيطًا: يفتح المطورون الأداة طواعيةً، ويتصرفون بناءً على ما تخبرهم به، ولا يبحثون عن طرق للتحايل عليها.
هذا التمييز مهم لأن مقاييس الشراء ومقاييس التبني تقيس أشياء مختلفة تمامًا. قد يُبلغ فريق الأمن عن تغطية نشر بنسبة 100% بينما يكون تبني المطورين للأمن قريبًا من الصفر، وقد يكون كلا الرقمين صحيحًا في الوقت نفسه.
لماذا تفشل برامج أمان المطورين التقليدية في الاستخدام
تفشل معظم أدوات أمان المطورين في الانتشار لنفس الأسباب القليلة، والتي تتكرر في كل مؤسسة تقريبًا حاولت تطبيق إحداها:
- ضجيج كثير، وثقة قليلة. إن أسرع طريقة للقضاء على تبني المطورين لأمن البرمجيات هي ارتفاع معدل الإنذارات الكاذبة. فبعد أن يتابع المطور ثلاث نتائج تبين أنها لا أساس لها من الصحة، يتوقف عن الثقة في النتيجة الرابعة، ويتوقف عن النظر في الخامسة.
- إنها موجودة في مكان لا يتواجد فيه المطورون. A dashboard يجب على المطورين أن يتذكروا أن فتح هو dashboard سوف ينسون الأمر. برامج الأمان التي تتطلب مغادرة بيئة التطوير المتكاملة، وتغيير السياق، والعودة لاحقًا، تضيع اللحظة التي يكون فيها الإصلاح أرخص وأسهل.
- إنه يرصد المشاكل دون اقتراح حلول. إنّ اكتشاف ثغرة "حقن SQL، السطر 42" دون شرح مسار الاستغلال أو اقتراح حل، يُلقي على عاتق المطور عبء البحث، لا المساعدة. وهذا يُشكّل عبئًا كبيرًا على تبنّي المطورين لأمن المعلومات، لأنه يُحوّل كل اكتشاف إلى مشروع بحثي بدلًا من كونه حلًا.cisأيون.
- يقوم بحظر عمليات البناء دون توضيح السبب. أحمر pipeline بدون سياق، يُنظر إلى بوابة الأمان على أنها عائق، وليست إشارة. ويتعلم المطورون النظر إليها كشيء يجب تجاوزه، لا كشيء يجب الاستماع إليه.
- تم تصميمه للمدقق، وليس للمطور. غالباً ما تُظهر الأدوات المصممة في المقام الأول لإنتاج أدلة الامتثال ذلك: تقارير مطولة، ونتائج مليئة بالمصطلحات التقنية، وعدم وجود أي محاولة للتحدث بلغة الشخص المتوقع منه فعلياً التصرف بناءً عليها.
اختبار مطوري برامج الأمان: هل سيفتحونه مرة ثانية؟
إليك معيارًا مفيدًا لتقييم أي برنامج أمان للمطورين قبل شرائه: هل سيفتحه المطور غدًا دون أي داعٍ؟ ليس لأن سياسة ما تلزمه بذلك، بل لأنه قدم له فائدة بالأمس. معظم الأدوات التي لا تلقى قبولًا لدى المطورين في مجال الأمان ستفشل في هذا الاختبار منذ اليوم الأول، وكان الجميع يشك في ذلك قبل توقيع العقد.
تشترك الأدوات التي تمرر البيانات في بعض السمات المشتركة. فهي موجودة داخل المحرر، وليس خلفه. loginيشرحون النتائج كما يفعل مهندس خبير في مراجعة الكود، وليس كما يفعل تقرير الامتثال. يقترحون حلاً محدداً، وليس مجرد تشخيص. والأهم من ذلك، أنهم غالباً ما يكونون على صواب، بحيث لا يضطر المطور إلى التحقق من كل تنبيه قبل الوثوق به.
ما الذي يدفع عملية التبني فعلياً؟
إن ضمان تبني المطورين لأمن المعلومات بشكل صحيح لا يتعلق بتدريب أفضل أو بفرض تفويض أكثر صرامة. بل يتعلق الأمر بعدد قليل من مصممي البرامج.cisأيونات:
- قابل المطورين في أماكن عملهم الحالية. الأمان مُدمج في بيئة التطوير المتكاملةأطلقت حملة pull requestويتم استخدام واجهة سطر الأوامر. أما الأمان الذي يتطلب وجهة منفصلة فلا يتطلب ذلك.
- اشرح، لا تكتفِ بالإشارة. إن اكتشافًا مصحوبًا بشرح بلغة بسيطة لمسار الاستغلال يحول التنبيه الغامض إلى شيء يمكن للمطور التفكير فيه والتصرف بناءً عليه على الفور.
- اقترح الحل، وليس المشكلة فقط. إن خاصية المعالجة التلقائية التي يمكن للمطور مراجعتها وقبولها في ثوانٍ تحترم وقته بطريقة لا يفعلها تقرير الأخطاء أبدًا.
- حافظ على نسبة الإشارة إلى الضوضاء عالية. إن التصفية العدوانية للنتائج الإيجابية الخاطئة ليست مجرد ميزة إضافية، بل هي العامل الأهم في تحديد ما إذا كان اعتماد المطورين لأمن المعلومات سيستمر بعد الشهر الأول.
- احتفظ بالكتل الصلبة لما هو مهم بالفعل. Guardrails ذلك الذي يعطل عملية البناء بسبب كل مشكلة منخفضة الخطورة، مما يدفع مطوري القطارات إلى الاستياء من البوابة. Guardrails إن حظر المشكلات الحرجة والقابلة للإصلاح فقط يدرب المطورين على الثقة به.
كيف تتعامل شركة Xygeni مع تصميم برامج أمان المطورين
إضافة Xygeni IDE يعمل هذا النظام حيث يتواجد المطورون بالفعل، داخل بيئة التطوير المتكاملة (IDE)، ويقوم بفحص التعليمات البرمجية التي يكتبها المطورون والذكاء الاصطناعي باستمرار أثناء كتابتها، دون الحاجة إلى أي توجيهات. وعندما يعثر على ثغرة، يشرح مسار الاستغلال بالكامل بلغة بسيطة ويقترح حلاً يمكن للمطور مراجعته وتطبيقه، بدلاً من تركه ليكتشف ذلك بنفسه بالاعتماد على مُعرّف CVE فقط.
فرز الذكاء الاصطناعي يطبق نفس ترشيح النتائج الإيجابية الخاطئة عبر SAST, أسرار, IaCويتم رصد اكتشافات البرامج الضارة على مستوى المنصة بأكملها، وبالتالي تتم معالجة مشكلة الضوضاء التي تعيق تبني المطورين لأمن المعلومات في أماكن أخرى قبل أن تصل أي اكتشافات إلى قائمة مهام المطورين. guardrails تطبيق السياسة في pipeline على مستوى عالٍ، ولكن بشكل انتقائي، يتم التركيز على المشكلات الحرجة والقابلة للإصلاح بدلاً من التعامل مع كل اكتشاف على أنه يُعطّل عملية البناء. هذا التمييز هو ما يمنع المطورين من تعلم كيفية تجاوز هذه العقبة.
لا شيء من هذا يُغني عن حقيقة أن المطورين عادةً ما يكونون مجرد أداة ضغط، وليسوا المشتري الاقتصادي، في enterprise AppSec decisأيون. أ CISيوقع المسؤول عن المشروع على العقد؛ ويهتم نائب رئيس قسم الهندسة بما إذا كانت الأداة ستسبب أي مشاكل لفريقه. لكن اعتماد المطورين لأمن المعلومات هو ما يحول هذا العامل إلى قوة دافعة: فالأداة التي يستخدمها المطورون فعليًا تسد ثغرات أمنية حقيقية، بينما الأداة التي يتجنبونها لا تسد أي ثغرات، بغض النظر عمن وافق على طلب الشراء.
قياس التبني، وليس مجرد النشر
إذا كنت ترغب في الحصول على تقييم دقيق لمدى تبني المطورين لأمن المعلومات داخل مؤسستك، فإن تغطية النشر ليست المقياس المناسب. وتشمل المؤشرات الأفضل ما يلي:
- كم مرة يفتح المطورون الأداة دون أن يُطلب منهم ذلك؟
- ما هي نسبة الحلول المقترحة التي يتم قبولها مقابل تلك التي يتم رفضها؟
- ما إذا كان الوقت اللازم للمعالجة يتناقص بالفعل، وليس فقط ما إذا كانت النتائج مسجلة.
- سواء طلب المطورون الأداة في مشروع جديد، أو انتظروا حتى يُطلب منهم تثبيتها.
يُظهر لك عدد التراخيص ما اشتريته. وتُشير هذه الأرقام إلى ما إذا كان تبني المطورين لأمن المعلومات قد تحقق بالفعل.
الأسئلة الشائعة
ماذا يعني مصطلح "تبني المطورين لأمن المعلومات"؟
إنها الفجوة بين نشر أداة أمنية واستخدامها فعلياً بالطريقة المصممة لها، طواعيةً، يومياً، دون رقابة. ويمكن أن يتعايش انتشار واسع النطاق مع تبني المطورين المنخفض لأمن المعلومات، وغالباً ما يحدث ذلك.
لماذا يتجاهل المطورون أدوات الأمان حتى بعد التدريب؟
لا يُصلح التدريب أداةً تُنتج الكثير من الإنذارات الكاذبة، أو تعمل خارج نطاق عمل المطور، أو تُشير إلى مشكلة دون اقتراح حل. هذه مشكلات تصميمية وليست نقصًا في المعرفة، ولن يُغير أي قدر من التدريب من المشكلة الأساسية.
ما هو العامل الأهم في تبني المطورين لأمن المعلومات؟
الثقة في الإشارة. بمجرد أن يفقد المطورون ثقتهم بصحة أي اكتشاف، يتوقفون عن اتخاذ أي إجراء بشأنه، حتى الاكتشافات المهمة. وعادةً ما يكون التصفية الفعّالة للنتائج الإيجابية الخاطئة هي الحل الأمثل والأكثر تأثيرًا.
كيف يختلف برنامج أمان المطورين عن أدوات أمان التطبيقات التقليدية؟
أفضل برامج أمان المطورين تتعامل مع المطور باعتباره المستخدم الأساسي، وليس مجرد هدف للامتثال: فهي تعمل داخل بيئة التطوير المتكاملة، وتشرح النتائج بلغة بسيطة، وتقترح حلولاً، بدلاً من إنتاج تقرير ليقوم شخص آخر بتفسيره لاحقًا.
يجب أ CISهل يهتم المطورون بمدى تبنيهم لأمن المعلومات إذا كانوا هم من يشترون الأداة؟
نعم، بشكل مباشر. إن أداة تتمتع بتغطية امتثال قوية ولكنها تفتقر إلى تبني المطورين لأمن المعلومات لا تقلل المخاطر فعليًا، بل تُنتج تقارير فقط. إن تقليل المخاطر هو... CISلا يتحقق الشراء إلا إذا استخدم المطورون الأداة.
