SEC11-BP01 應用程式安全訓練
提供可讓組織內建置人員接受安全開發和操作應用程式等常見實務的訓練。採用著重安全的開發方法，有助於減少只能在安全審查階段偵測到問題的可能性。
預期成果： 軟體的設計與建置應考慮安全層面。組織中的建置人員如果接受過從威脅模型開始的安全開發方法訓練，其所生產軟體的整體品質與安全都能獲得改善。這種方法能縮短遞送軟體或功能所花費的時間，因為其必須在安全審查階段之後重新作業的機率較低。
就這項最佳實務的目的而言，安全開發與所編寫的軟體，以及支援軟體開發生命週期 (SDLC) 的工具或系統相關。
常見的反模式：
-
一直等到安全審查階段，才開始考慮系統的安全屬性。
-
將所有的安全性決定工作全部留給安全團隊。
-
未在 SDLC 溝通如何做出與整體安全期待或組織政策相關的決定。
-
太晚參與安全審查程序。
建立此最佳實務的優勢：
-
可在開發生命週期初期更清楚了解組織對於安全的要求。
-
可以更快識別、修復安全問題，進而加快功能交付速度。
-
改善軟體和系統的品質。
未建立此最佳實務時的風險暴露等級：中
實作指引
提供組織內建置人員的訓練。一開始上威脅模型
實作步驟
-
一開始安排建置人員上威脅模型
相關課程，奠定良好基礎，並有助於進行考量安全層面的訓練。 -
提供存取 AWS 培訓 和認證
、產業，或 AWS 合作夥伴訓練的權限。 -
提供有關組織安全審查程序的培訓，明確劃分安全團隊、工作負載團隊和其他相關人員之間的責任分配。
-
發布關於如何達到您的安全要求的自助式指南，包含程式碼片段和範本（如有提供）。
-
定期取得建置人員團隊安全審查程序與訓練體驗方面的意見回饋，並使用該意見回饋進行改善。
-
使用演練日或錯誤修復日活動，協助減少問題數量，並提升建置人員的技能水平。
資源
相關的最佳實務：
相關文件：
相關影片：
相關範例：
相關服務：
