分析美国和日本产业中公共和内部安全开发指南的使用

文献标题

Analyzing the Use of Public and In-house Secure Development Guidelines in U.S. and Japanese Industries

文献信息

• 主题领域: 软件开发中的安全性，软件工程中的人因研究
• 关键词: 软件安全，公共指南，内部指南，安全编程，HCI开发，调查

研究背景与问题

• 发现的问题或挑战:

  1. 现有研究主要关注公共的、安全开发指南使用的情况，但少有涉及企业内部构建的安全开发指南。
  2. 缺乏对如何在工业领域中实施安全开发指南的推荐实践的验证。
  3. 主要研究多以单一国家（如美国）为调查对象，对比研究较少，尤其是考虑到开发模式和文化差异（如日本的外包开发模式更为普遍）。

• 重要性: 随着软件网络攻击日益频繁，如何提高开发人员对安全开发指南的使用和执行是提升软件安全水平的关键。公共指南与内部指南的结合使用尚不明确，同时针对不同国家/地区的属性差异也缺乏全面分析。

• 研究动机: 本文试图通过行业调查，理解公共与内部安全开发指南在实际软件开发中的应用现状，以及不同特征的开发项目和国家开发文化对其实施的影响。

解决方案

• 提出的方法/解决方案:

  1. 通过在线调查问卷的形式，收集870名美国和日本软件开发专业人员的定量和定性数据（美国396人，日本474人）。
  2. 重点分析：
     • 公共和内部安全开发指南的使用频率与原因。
     • 现有研究中提出的实施安全开发指南的推荐实践的可行性。
     • 日本和美国开发人员在指南使用上的差异。

• 创新之处:

  1. 首次系统性地研究了内外部安全开发指南的结合使用情况及其作用差异。
  2. 将指南在不同国家和开发环境中的实际应用状况相比较，揭示了文化、项目规模和组织结构对指南应用的影响。

• 实施步骤与技术:

  1. 问卷设计: 根据文献研究和访谈设计问题，包括指南类型、使用情况、可用性、以及推荐实践的可操作性。
  2. 数据收集: 针对美国和日本的开发者与经理人进行在线调查，确保多样化的受众池。
  3. 数据分析:
     • 使用SPSS进行定量数据分析（回归分析，卡方测试）。
     • 对开放式问题的定性回答进行主题分析以归纳模式。

研究成果

• 具体成果:

  1. 内部指南在工业领域中被广泛采用（美国参与者使用率为87.1%，日本为85.9%）。
  2. 内部指南比公共指南更常被公司强制使用（特别是在美国）。
  3. 同时使用公共和内部指南的参与者更倾向于感觉指南的可用性较高。

• 实验或评估结果:

  1. 小规模项目（如团队人数少于5人）和外包开发项目的参与者认为实施安全开发指南的推荐实践更加困难。
  2. 拥有CSO（首席安全官）或CISO（首席信息安全官）的企业更容易实施推荐实践。
  3. 日本参与者对安全开发指南的评价更为保守，而美国的新手开发者则较为乐观。

• 优势:

  1. 丰富的数据提供了详细的公众和内部安全开发指南的实际应用对比。
  2. 在指导行业改进安全开发指南操作性方面具有实际意义。

• 局限性与未来方向:

  1. 局限性:
     • 调查未细致分析具体的公共指南内容，仅聚焦于指南的类型和一般特性。
     • 数据中可能存在社会期望偏差（如参与者倾向于报喜不报忧）。
  2. 未来方向:
     • 通过访谈等定性方法挖掘内部指南的开发和使用过程细节。
     • 研究轻量化、易于实施的指南操作策略以适应资源有限的开发环境。
     • 比较更多国家和地区的开发文化对指南操作性的潜在影响。