让安全实践在敏捷团队落地

随着安全得到越来越多的关注，一些跟安全相关的理论（比如BSI）脱颖而出，尽管这些理论提出来已经有一段时间，却很少看到其在开发团队被成功地应用。我们知道微软曾在十多年前就提出了SDL，却没能在业界推广开来，并不是人们不认可微软这种“从软件生命周期保障安全”的理念，而是考虑到其落地实施的难度，很多企业知难而退，那么这些安全理论对我们的软件安全真的有帮助吗？安全实践能落地吗？

很幸运地，我有机会在一个成熟的敏捷开发交付小组中经历了“从完全没有安全实践到BSI”的过程，我们也曾遇到过很多困难，但最终得到了客户的认可，并成功把安全实践推广到了整个团队，所以想跟大家分享一下我们是如何将安全在敏捷团队落地的，希望能给大家一些帮助。文中会拿Web系统举例，但一些落地的实践同样适用于非Web系统。

为什么安全理论很难落地?

结合对一些团队的了解，原因大多来自以下三个方面：

1.认为安全不重要

2.认为安全太难，需要很广很深的领域知识，只有专业人员才能做到

3.不知道应该用什么样的流程来做安全

那么针对第一点，因为我本身也是交付团队的一员，我观察到的大多数软件开发团队，不管是业务分析师、开发人员、测试人员、体验设计师还是项目经理，都很少有人真正把“安全”作为非常重要的一件事情，尤其是在交付压力比较大的情况下，我们都会舍弃对于安全的投入，而花时间在更容易可视化出来的用户功能上。安全，很多时候就像灭火器，如果不发生火灾，我们甚至都感觉不到它的存在。那么，安全，真的重要吗？

换位思考一下，如果我们是用户，面对以下两种选择，我们会选择哪一种？

系统A：设计非常完美，功能缺陷几乎没有，性能也很棒，但是没有做任何跟安全相关的防护，用户的敏感信息很容易泄露；

系统B：设计比较差，有一些功能缺陷，性能也差一点点，但是采取了特别多的安全措施，能够保障用户的数据安全性；

相信几乎所有人都会毫不犹豫选择B系统，除非这是一个完全没有用户敏感数据、完全不需要安全保障的系统（那这样的系统又有什么用？），所以只要我们把自己放在产品使用者的角度，而不是产品制造者的角度，就能很容易地理解和认可安全对于软件系统来说是比功能更重要的一个因素，安全是软件的灵魂。

那么对于很多已经深刻认识到安全重要性的团队，为什么依然很难将安全理论落地呢？原因大多来自前面提到的第二点和第三点，一是从技术上认为安全是一个很难的领域，需要专业的安全人士；二是从流程上不知道该如何开展；从这两个角度出发，“安全”需要巨大的投入，所以很多团队望而却步。那么安全真的这么难落地吗? 接下来我会简单介绍一些Web安全知识，然后通过我所在团队的落地过程给大家一个答案。

如何让安全在敏捷团队落地

什么是Web安全？

所谓Web安全问题，就是攻击者可以通过非正常的手段，获得Web系统访问权限，从而破坏网站行为，盗取甚至修改用户数据的一系列问题。

原文转自：http://www.infoq.com/cn/articles/let-safe-practices-land-in-the-agile-team