JFrog與IDC 合作研究顯示：開(kāi)發(fā)人員在軟件安全方面耗時(shí)日益增加，影響企業(yè)競爭優(yōu)勢

流式軟件公司、JFrog 軟件供應鏈平臺的締造者JFrog近日發(fā)布的一項 IDC 調查結果顯示，開(kāi)發(fā)人員在安全相關(guān)任務(wù)（如手動(dòng)應用程序掃描審查、上下文切換和機密信息檢測等項目）上的耗時(shí)顯著(zhù)增加，企業(yè)每年為每位開(kāi)發(fā)人員在此類(lèi)任務(wù)上的投入高達2.8萬(wàn)美元。由 JFrog 贊助的 IDC信息簡(jiǎn)報《DevSecOps 的隱性成本：開(kāi)發(fā)人員的時(shí)間評估 》顯示，50% 的高級開(kāi)發(fā)人員、團隊領(lǐng)導、產(chǎn)品負責人和開(kāi)發(fā)經(jīng)理每周花費在軟件安全相關(guān)任務(wù)上的時(shí)間顯著(zhù)增加，這影響了他們創(chuàng )新、構建和交付新業(yè)務(wù)應用程序的能力。

JFrog Security首席技術(shù)官Asaf Karas表示：“在確保軟件供應鏈安全方面，企業(yè)本就已經(jīng)面臨巨大的挑戰，如果還要使用多種工具，情況就會(huì )變得更加復雜，迫使開(kāi)發(fā)人員在多個(gè)線(xiàn)上工作環(huán)境之間頻繁切換，從而降低工作效率，在增加時(shí)間成本的同時(shí)也導致風(fēng)險增加。IDC的調查為企業(yè)投資于更精簡(jiǎn)的安全流程、工具和培訓提供了有力的論據，這些投資將有助于其開(kāi)發(fā)人員更高效、更有力地保護軟件供應鏈?！?/p>

調查報告中，半數受訪(fǎng)對象表示，他們每周約有19% 的時(shí)間用于處理安全相關(guān)任務(wù)，而且很多時(shí)候是在正常工作時(shí)間之外，這就可能會(huì )導致他們對軟件安全采取被動(dòng)而非主動(dòng)的舉措。IDC 調查的其他主要發(fā)現包括：

●   追影逐跡：消除誤報： 開(kāi)發(fā)人員平均花費3.5小時(shí)手動(dòng)審查安全掃描結果，以排除誤報和重復項。

●   上下文至關(guān)重要： 69% 的開(kāi)發(fā)人員同意或非常同意，他們的安全相關(guān)職責要求他們在各種工具之間頻繁切換上下文，從而降低了工作效率。而由于需要繞過(guò)每個(gè)工具平臺的重新驗證，多工具上下文切換也會(huì )增加令牌的使用。令牌對應用程序開(kāi)發(fā)很有幫助，但也可能被遺忘在工作流中，從而在公司的系統中留下可供攻擊者利用的安全隱患。

●   密鑰管理絕非易事：開(kāi)發(fā)人員將 50% 的時(shí)間用于解析密鑰掃描結果、修改代碼以修復發(fā)現的問(wèn)題，以及更新密鑰管理措施。

●   基礎設施調查：基礎設施即代碼（IaC）用于自動(dòng)配置和管理服務(wù)器、網(wǎng)絡(luò )、操作系統和存儲等 IT 基礎設施，須在每次代碼更改時(shí)對其進(jìn)行掃描，超過(guò) 54% 的開(kāi)發(fā)人員表示他們每周或每月運行一次 IaC 掃描。

●   SAST并非萬(wàn)無(wú)一失：盡管靜態(tài)應用安全測試（SAST）工具已被集成到本地開(kāi)發(fā)環(huán)境中，可在開(kāi)發(fā)人員編寫(xiě)代碼時(shí)提供測試結果，但只有 23% 的開(kāi)發(fā)人員在將代碼部署到生產(chǎn)環(huán)境之前運行 SAST 掃描，這就為惡意代碼的潛入留下了巨大的隱患。

IDC DevSecOps和軟件供應鏈安全研究經(jīng)理Katie Norton表示：“DevSecOps 不僅是企業(yè)的當務(wù)之急，也是構建未來(lái)安全應用程序的基石。然而，如何克服那些效率低下、應用不當的工具帶來(lái)的挑戰，避免它們耗費開(kāi)發(fā)人員的時(shí)間并增加成本，是行業(yè)面臨的一大難題。要想取得成功，IT 和軟件開(kāi)發(fā)團隊的領(lǐng)導者必須將重復耗時(shí)的任務(wù)自動(dòng)化，確保 DevSecOps 工具能以極低的誤報率實(shí)現精準交付，并為開(kāi)發(fā)人員提供持續的應用安全教育和資源，使其能夠時(shí)刻關(guān)注日益嚴峻的威脅態(tài)勢?！?/p>

IDC 信息簡(jiǎn)報的調查對向包括來(lái)自美國、英國、法國和德國的20多家員工規模在千人以上的公司的高級開(kāi)發(fā)人員、團隊管理者、產(chǎn)品負責人和開(kāi)發(fā)經(jīng)理。