Comment le « jeu de code » peut-il guider le groupe IAG vers un avenir plus sûr en matière de programmation ?

IAG集团是亚太地区许多领先保险公司的幕后黑手，每年为数百万客户承保约114亿澳元的保费。比安卡·沃思是IAG集团的企业安全教育和宣传经理。她高度意识到开发团队内部需要严格的安全意识和实践，因此着手创造一个真正创新的最佳环境，让团队可以在其中学习重要的安全编码技术。

输入：密码游戏

挑战

开发人员往往时间紧张，有多个可交付成果和项目正在进行中。但是，保持最新的安全最佳实践对任何组织都至关重要，更不用说拥有数百万个敏感客户数据档案以防止黑客攻击的组织了。比安卡和她的团队在加强网络安全举措的道路上设定了明确的目标。他们确定最小化INIAG开发的应用程序的攻击面积是当务之急，他们将通过教育开发人员识别和修复关键和高风险漏洞来实现这一目标。漫长的安全编码培训课程固然存在，但它们可能很费力、乏味，而且会让关键员工离开交付时间表严格的开发项目，这给整个企业带来了压力。显而易见，需要快速提高开发团队的技能，同时尽量减少对工作量和运营的影响。而且，由于澳大利亚和新西兰的开发人员都在开发不一定相同的系统，这不是一件容易的事。

“今年，我对源代码进行了更改，删除了SQL注入漏洞。因为他们意识到了这一点，所以我把功劳归功于《密码游戏》。即使仅将安全编码放在首位也是有帮助的。竞争是推动人们尽力而为的好方法... 因为让我们面对现实吧，安全并不是每个人最愉快的话题，因此这是让人们参与的好方法。” R，IAG 开发人员

实施情况

Bianca制定了推出游戏化培训体验的策略，与她的团队和安全代码勇士合作实施了锦标赛和培训，以提高其内部开发人员的技能。为此，必须制定健全的沟通策略，并迎合员工在采用全新平台并充分发挥其潜力时所具有的不同动机和个性：

“我们设计了一项沟通计划，包括我们将如何向员工和主要利益相关者传达需要知道的要点、关键信息以及我们给予他们回应的激励措施。大多数人真的很喜欢游戏化体验。这只取决于他们的个性、动机以及驱动他们的动力。因此，这就是为什么我们努力为人们提供完全不同的动机。对于一些人来说，他们喜欢奖品，对于另一些人来说，成就方面本身就足够了，” 她说

Bianca和IAG专业地展示了Secure Code Warrior的游戏化学习平台，将他们的锦标赛转变为一种被誉为 “编程游戏” 的有趣竞赛体验，工作人员被安置在中世纪主题房屋（配有品牌玩家商品）中，进行一场名副其实的HBO同名战斗。

本次锦标赛甚至已经登上了国际舞台，即将举行的澳大利亚对阵新西兰的比赛即将开始。这使IAG有机会确定两国领先的安全支持者，并确保团队共同提高技能。

结果

实际上，《守则游戏》是一项专门的培训计划。它以互动式趣味锦标赛的形式推出，确保了工作人员以各种方式保持参与，但该练习的核心实用性仍然是：为开发人员提供识别和阻止IAG开发的应用程序中高风险漏洞所需的技能。

通过确保开发人员和安全团队都以安全为先的思维进行工作，并从一开始就做好准备，不仅能识别漏洞，还能修复漏洞，IAG预计，昂贵的渗透测试活动将减少，开展渗透测试的团队承受的压力。

除了这种至关重要的能力不断发展之外，Game of Codes还有助于建立关系，在参与的团队之间注入了友情感和友好的竞争力，同时也帮助个人在得分锦标赛环境中对自己的安全编码能力感到更加自信。

比安卡表示，内部对该计划的支持是巨大的，并受到了行政部门的积极欢迎。这也促成了一项大使计划，热衷于推广该计划和捍卫组织内部安全的个人可以参与其中：

“对于一些开发人员来说，这是一个很好的曝光率，也是他们技能的极好提升。他们在自己的工作中也从中受益，这一点很重要。”

Game of Codes 不是 “只是一场游戏”，也不是仅仅是部门经理完成合规培训的一种更愉快的方式，它提供了一种留存率高、引人入胜的解决方案，可以将安全新手快速转变为安全捍卫者，这对于最大限度地降低大规模漏洞的风险至关重要。

还有来自比安卡本人的终极建议：

“如果你推出任何程序并期望人们只使用它，那就行不通了。你需要围绕它设计一个计划，在那里你可以启动和激励行为的改变。我们构建的本质上是一个以安全为重点的开发人员变更管理计划。”

“在完成了 Game of Codes 的培训课程后，我发现自己对安全性更感兴趣，在创建自动化测试时更会考虑安全性。我是敏捷团队的高级测试员，这些培训课程激发了我更多地学习安全测试的知识，并将其视为一种可能的专业领域。” A、IAG 高级测试员

事实速览

• 除了游戏化学习外，IAG还使用Secure Code Warrior作为开发人员招聘中的技能测试工具。
• 他们正在将该计划推广到其开发团队的100％，其中55％的人已经活跃在系统中。
• 他们制定了一套关键的内部指标，使他们能够衡量该计划在一段时间内在最大限度地降低风险和降低成本方面的成功。
  ‍