软件公司如何培养安全文化

规范会影响个人的行为，因此从一开始就为安全价值观设定清晰的愿景至关重要。安全措施永远不应成为亡羊补牢之举，但要将它们融入到软件公司的 DNA 中，每个人都要全身心地践行这些原则。领导者一旦确定了安全价值观，就应当有效、持续地传达相关的安全措施并以身作则，从而将这些措施转化成规范。

为客户提供安全保障是（而且始终是）Amazon Web Services（AWS）的重中之重。要做到这一点，还要建立共同的所有权并达成理解，从而在整个开发生命周期中帮助实现设计安全。AWS 的全球服务安全副总裁 Hart Rossman 解释了专门组建的安全团队如何帮助解决这个问题：“首先，我们专注于帮助客户在 AWS 上安全地进行构建、部署和运营。但我们还会在内部关注安全事宜，因此，我们会帮助亚马逊员工提高现场安全标准。” 当每个人都努力践行公司的核心价值观并具备适当的安全知识时，他们就能更好地发现并响应不断变化的安全需求。

正如 Simon Sinek 曾经说过的那样，“如果不了解人，就不可能了解业务。” 情商（EQ）是软件公司领导者的一项关键素质，可以帮助建立蓬勃发展的团队和以人为本的环境。这项能力可以理解和管理您的情绪，并以健康和卓有成效的方式影响他人的情绪。这是因为当团队感到安全并被看见时，他们可以贡献自己的最佳创意、支持进行安全创新以及获得更高的工作满意度。

鉴于安全人才短缺，建立心理安全感尤为重要，据报道，全球网络安全职位的空缺率为 28%。拥有情商的软件领导者不仅有助于吸引和留住人才，还能更好地增强个人学习和贡献的能力，同时防止他们过度疲劳。

AWS 的 EPIC 领导力计划探讨了 EQ 素质，并指导领导者如何利用同情心、目标、灵感和人际关系等素质来推动转型。事实证明，在将安全需求转化为业务成果时，EQ 安全讲习会将人们的信心提高了 42.8%。借助这些基本的员工技能，软件公司可以与个人互动、鼓励整个组织的全体员工各抒己见，并优化安全实践方面的协作。

上报并不意味着失败。如果得到积极的增强，上报可以成为一个能够帮助做出高质量、高速度决策的强大工具。AWS 鼓励进行无过失上报，因为这样就提供了一个共享学习成果的机会。当个人由于上报问题或想法而得到赞扬时，他们可以与更广泛的团队合作，以便集中精力共同降低安全风险。这样既有助于营造平静的环境，又能在真正关键的时刻以更快速、更具影响力的方式解决问题。

通过评估这些情况并寻求反馈，还有助于持续改善安全成果。团队应当质疑为何出现问题，并研究如何才能更快速地发现问题。通过鼓励个人成为每个服务团队的安全守护者，也可以强化反馈机制并提高安全意识。

以自己的方式与董事会打交道的安全领导者更有能力推动业务成果。通过定期分享相关的更新，可以让高管们了解情况并参与其中，但这需要主动了解他们的挑战和目标。因此，沟通至关重要。然而，一项研究发现，58% 的首席信息安全官难以以高级领导层能够理解的方式传达技术信息。

通过将安全计划转化成对业务的影响，安全领导者可以实现协调一致。例如，当讨论安全自动化时，与介绍技术细节相比，重点介绍节省成本和开发人员的时间而带来的好处更能引起高管们的共鸣。此外，当持续衡量安全实践的有效性时，安全专业人员可以利用引人入胜的数据和轶事，让董事会持续参与这一进程。

尽管安全文化不可能在一夜之间建立，但随着时间的推移，从实现更快速、更明智的决策到帮助整个组织解锁安全知识，倡导这些原则的软件公司可以获得巨大的优势。

使用这种可重复的思维模式，AWS 可以帮助客户建立以安全性、同情心和信任为基础的安全领导力和实践。在不断变化的环境中，投资于情商等习得技能发挥着重要的作用，可以帮助各个团队高效地应对安全问题和获得弹性。