研究软件工程社区安全文化的特征分析：一项实证研究

《Future Generation Computer Systems》：Characterizing the security culture of the research software engineering community: An empirical study

　　马修·阿姆斯特朗 | 杰弗里·C·卡弗 | 里德·米莱维茨 | 迈克尔·迈内尔 | 迈克尔·费尔德勒
美国阿拉巴马大学，塔斯卡卢萨市

**摘要**
**背景**：研究软件是一类特殊的软件，它支持科学、工程和人文学科各个领域的现代研究。随着计算在研究中发挥核心作用并影响着社会的福祉，研究软件工程（RSEng）应运而生，这一领域通过采用来自更广泛的软件工程领域的最佳实践来应对对研究软件质量日益增长的需求。同时，研究软件日益重要的地位也加剧了人们对软件安全问题的关注，如果这一问题不加以主动解决，情况只会更加严重。了解RSE社区的安全文化——包括他们的行为、能力和价值观——对于有效解决研究软件安全问题至关重要。

**目标**：本研究旨在描述研究软件工程社区的安全文化。

**方法**：我们进行了一项调查，以全面了解开源软件的安全文化。我们调查了104名RSE社区成员对安全的看法、行为、能力、主观规范、治理结构和沟通方式。调查完成后，我们将研究结果呈现给RSE社区，以获取非正式反馈和见解。

**结果**：我们的研究为RSE社区的安全文化建立了一个基准。尽管存在许多共同点，但分析表明RSE社区的安全文化仍需要研究人员进一步关注。在首次向RSE社区展示研究结果时，他们认为这些发现既令人惊讶又有趣，并提供了可能解释差异的见解。基于我们的发现和RSE社区的反馈，我们为RSE及相关专业人士（如软件工程研究和软件安全领域的专家）制定了指导方针，以通过RSE安全倡导者推动研究软件安全的发展。

**结论**：我们得出结论，RSE社区具有独特的安全文化，在培训和支持方面还有改进的空间。这一差距激励未来的研究工作以满足研究软件领域的需求和限制。

**引言**：现代生活的许多方面都得益于几个世纪以来的辛勤科学进步。无论是公共资助还是其他形式的资助，研究都为社会带来了许多积极的好处：新药物的发现、更清洁的能源来源——例如环形交叉路口相比交通灯的优势等。总体而言，研究带来了创新和想法，提高了我们的生活质量，文献将这些收益分为社会、文化、环境和经济方面的好处[1]，[2]。美国联邦储备银行估计，自1950年以来，公共资助的研发项目获得了150%到300%的投资回报[3]。

与整个社会一样，研究人员也越来越依赖称为研究软件的软件来进行研究。没有研究软件，科学进步几乎是不可能的。鉴于研究在社会中扮演着关键角色，确保研究软件质量的做法对于获得可靠的研究结果同样重要[4]。传统上，通常缺乏软件工程培训的最终用户领域的专家一直是这类软件的主要开发者。为了在研究软件开发过程中引入更多软件工程专业知识，研究软件工程师（RSE）的角色（如第2.1节所述）将软件工程活动从最终用户研究人员手中转移到了专门从事软件工程的专家手中，这些专家结合适当的软件工程实践和领域知识来提高研究软件及其所支持研究的质量、可靠性和可重复性[4]。

**提高软件质量并非没有风险**：随着对可重复性、协作和开放科学的日益重视，研究软件变得越来越类似于开源软件（OSS）。因此，它也容易受到类似的攻击[5]，[6]。最近，一些著名研究机构及其研究受到了恶意行为者的攻击或破坏。2020年，几台欧洲超级计算机感染了加密采矿恶意软件，导致计算能力暂时失效[7]。2022年，美国网络安全与基础设施安全局（CISA）和英国国家网络安全中心继续警告称，有高级持续性威胁（APT）组织正在针对参与COVID-19应对工作的研究机构收集大量个人和知识产权数据[8]。AI未来项目预测，随着AI能力的增强，国家支持的间谍活动将增加，目的是窃取敏感数据并破坏控制权，AI既可能是攻击手段，也可能是攻击目标[9]。我们推测，随着研究软件在实验室内外的重要性不断增加，攻击的频率和严重性也会增加。

尽管研究和研究软件具有巨大价值，但在研究软件安全方面的研究仍然存在显著差距。由于项目规模、任务范围、开发者背景和安全资源的差异，确保研究软件的安全是一个重大挑战。因此，我们旨在通过描述RSE社区的安全文化并将其与OSS社区的安全文化进行比较来着手填补这一差距。为了实现这一比较，我们复制了之前在OSS社区进行的安全文化调查[10]。如第2.2节所解释的，安全文化是一群人内部影响的结果[11]。通过描述RSE的安全文化，我们可以了解RSE如何看待安全问题，从而识别未来工作需要改进的领域，包括知识、信心和态度等方面。

除了描述RSE的安全文化外，我们还评估了RSE社区对标准软件安全方法（即威胁建模）的了解和看法。威胁建模是指对软件或整个系统进行建模，以识别潜在的安全漏洞（即威胁）并制定有效的对策[12]。通过一系列案例研究收集RSE的反馈，我们希望了解RSE社区对学习更多“左移式”安全知识的开放程度，并促进研究软件领域未来的安全研究。虽然还有其他威胁建模的替代方案，但我们选择了威胁建模，因为它是一种低成本且对软件安全至关重要的强化安全的活动[12]。

**研究问题**：
RQ1：RSE社区的安全文化是什么？
RQ2：RSE社区的安全文化与开源社区的安全文化相比如何？
RQ3：RSE社区成员对在开发过程中采用威胁建模的看法是什么？

这是首次针对RSE或研究软件安全文化的研究。本研究的主要贡献包括：（1）对RSE社区安全文化的新型描述；（2）对RSE和OSS开发者安全文化的实证比较；（3）为内部和外部利益相关者提供通过RSE安全倡导者改进RSE安全文化的建议。调查问卷和原始数据可在线获取[1]。

**背景信息**：本节提供了关于研究软件和研究软件工程师、安全文化、威胁建模以及安全倡导者的背景信息。

**方法论**：本节描述了调查内容，包括体现安全文化的维度、参与者招募、伦理考虑以及分析方法。

**结果**：我们收到了104份回答。但由于调查软件中的错误，我们未能收到某些问题的所有回答，例如机构类型或专业经验。我们认为这些缺失值的影响很小，因此没有通过统计分析来尝试填补这些数据。以下部分将在讨论分析结果之前描述调查结果。

**社区反馈**：在分析调查数据后，我们将安全文化调查结果呈现给RSE社区成员以获取非正式反馈。在这一部分，我们讨论了如何向RSE社区成员展示我们的发现以及他们提供的反馈。

**讨论**：调查为我们提供了关于RSE社区安全文化的宝贵见解，以及它与OSS社区的比较，还了解了RSE社区成员在开发过程中愿意进行威胁建模活动的程度。本节首先回答了三个研究问题，然后提出了改进RSE安全文化的方法。

**有效性的威胁**：本节讨论了影响调查有效性的内部、外部和 construct 威胁。

**未来工作**：本次调查的结果为未来关于研究软件安全的工作提供了动力。调查显示，RSE社区重视安全，但缺乏支持它的能力或社区组织。未来的工作应重点加强社区的安全文化，并提供专门支持RSE在研究环境中的资源。例如，可以与其他调查RSE社区的研究人员合作，创建更多的RSE数据集。

**结论**：研究软件对于推动各领域的研究至关重要。确保研究软件的安全性不可忽视。该调查成功描述了RSE社区的安全文化。数据分析表明，RSE社区的安全文化与OSS社区的安全文化存在显著差异。尽管安全资源和培训有限，RSE社区仍然非常重视安全。此外，我们的发现还表明……

**作者贡献声明**：
马修·阿姆斯特朗：撰写——审阅与编辑、初稿撰写、可视化、验证、软件、资源管理、方法论研究、调查、正式分析、数据整理、概念化。
杰弗里·C·卡弗：撰写——审阅与编辑、初稿撰写、项目管理、方法论研究、概念化。
里德·米莱维茨：撰写——审阅与编辑、初稿撰写、监督、方法论研究、概念化。
迈克尔·迈内尔：声明无已知可能影响本文工作的财务利益或个人关系。

**致谢**：桑迪亚国家实验室是由桑迪亚国家技术与工程解决方案公司（NTESS）管理和运营的多任务实验室，该公司是霍尼韦尔国际公司的全资子公司，根据合同DE-NA0003525为美国能源部国家核安全管理局（DOE/NNSA）服务。本书面作品由NTESS的员工编写。该员工而非NTESS拥有该作品的版权、标题和利益，并对该作品负责。