培养研究软件工程师成为安全领域的专家：安全意识培训的工作室设计与评估

《Future Generation Computer Systems》：Preparing research software engineers to become security champions: Development and evaluation of a security awareness workshop

　　

马修·阿姆斯特朗 | 杰弗里·卡弗 | 里德·米莱维奇

阿拉巴马大学，35487，塔斯卡卢萨，AL，美国

摘要

背景：

研究软件在支撑科学进步方面发挥着至关重要的作用，这最终以多种方式影响了我们的现代生活方式。随着科学研究越来越依赖于高质量的研究软件，这类软件成为恶意行为者的更有价值的目标，从而加剧了安全担忧。研究软件工程师（RSE）是负责开发研究软件的软件专业人士，他们将软件工程的最佳实践与领域专业知识相结合来打造高质量的研究软件。然而，由于发表研究的压力以及RSE背景的多样性，目前研究软件缺乏专门负责安全工作的倡导者，通常被称为“安全 champion”。由于他们在研究软件开发中的影响力和责任，研究软件工程师完全有能力在开发过程中推动安全工作，但往往缺乏必要的安全知识或信心来做到这一点。

目的：

本研究旨在识别并尝试一种针对研究软件工程师的安全教育干预措施，以提高他们的安全信心。

方法：

我们与10名研究软件工程师共开展了两次安全意识研讨会。在每次研讨会之前、之后以及两个月后，我们对参与者进行了调查，以衡量他们在识别安全问题、评估解决这些问题的好处以及与其他研究软件利益相关者沟通方面的信心变化。

结果：

我们的研究结果表明，参与研讨会显著提高了他们在所有目标技能领域的信心。

结论：

我们认为，“RSE安全基础”研讨会是培养RSE安全倡导者的重要第一步。我们的研究结果为未来提高RSE的安全意识、信心以及他们的安全技能和行为提供了依据和动力。

引言

研究软件在现代生活中扮演着被严重低估的角色。作为科学进步的基础，研究软件生态系统推动了创新，提高了我们的生活质量，深化了我们对宇宙的理解，并维护了繁荣与和平[1], [2], [3], [4], [5]。计算技术对科学和工程的每个阶段都产生了深远的影响，正如Cerf所指出的：“我们已经进入了一个计算成为现代社会主要驱动力之一的时代”[6]。Dongarra则强调了持续的资金支持如何促成“持久的发现引擎”，并将计算技术视为与理论和实验并列的科学探索的第三支柱[7]。鉴于研究软件的重要性，尤其是在开源生态系统背景下，它需要质量保证，因为社区软件工具和库在长时间内是相互依赖且被广泛使用的[8], [9], [10]。

自从“研究软件工程师”（RSE）这一术语被提出以来的十五年里，RSE在推动软件开发实践和提高科学计算领域软件质量方面发挥了重要作用[12]。这些研究软件专业人士与领域专家并肩工作，而后者历史上很少或完全没有接受过正规的软件开发培训[13], [14], [15]，他们致力于提高研究软件开发的效率和可持续性[16], [17], [18]。展望未来，关于研究软件的需求以及RSE需要发展哪些知识和技能来满足这些需求，还有许多未解之谜[19], [20], [21], [22], [23]。Goth等人的研究表明，研究软件开发的多样化需求将要求RSE朝不同的专业化方向发展（如数据管理、性能优化或人工智能）[23]。因此，我们应该探索RSE学科的多种发展途径。

在这项研究中，我们关注了一个相对较少受到重视但实际上在当前生态系统中日益重要的领域：软件安全。正如我们所确定的，研究软件（1）现在在塑造社会未来方面发挥着不可或缺的作用；（2）其开发过程高度协作化、分布式且相互依赖——这两点都使研究软件成为恶意行为者的目标。正如Milewicz等人警告的那样，攻击（如数据泄露和/或勒索、破坏计算资源，甚至引入错误以篡改结果）最终可能削弱人们对研究软件的信任以及研究人员自由合作的能力[24]。虽然过去研究社区可能认为他们的软件项目过于小众或价值不高，不足以引起恶意行为者的关注，但鉴于生成式人工智能的兴起，实施有针对性的复杂攻击的成本正在急剧下降[25], [26]。因此，现在迫切需要保护研究软件的供应链，社区必须积极应对这一问题。

鉴于RSE在研究开发中的影响力，我们认为他们可以成为提高研究软件安全性的有效力量。虽然我们不期望RSE取代经过培训的安全专家，但他们完全有能力担任安全倡导者的角色。作为开发过程中的安全倡导者，这些团队成员通常也是开发人员，他们充当开发团队与安全专家之间的联络人[27]。具备基本的软件安全知识后，安全倡导者必须能够识别安全问题，并与开发人员和安全专家沟通，制定可行的安全解决方案，最重要的是，他们必须具备安全意识[28]；

提高RSE的安全意识可以增强他们的信心和安全性，为RSE安全倡导者创造机会，最终提升研究软件的安全性[29]。我们的工作旨在开发并尝试一种针对研究软件工程师的安全教育干预措施，以提高他们的安全信心。最初，我们通过开发者安全基础（DSE）[30]研讨会和《安全开发手册》[31]找到了安全教育的内容，这些资源侧重于提高安全意识，包括威胁评估、收益分析和沟通等简单活动。尽管这些材料最初是为一般的软件工程利益相关者设计的，但我们修改了研讨会的议程、交付方式和数据收集流程，使其更具简洁性，便于分享和复制，并能够衡量参与者在安全活动方面的信心变化。通过举办名为“RSE安全基础”的研讨会，我们希望回答以下研究问题：

• •
  问题1：研讨会能否提高RSE进行威胁评估的信心？
• •
  问题2：研讨会能否提高RSE进行收益分析的信心？
• •
  问题3：研讨会能否提高RSE在安全沟通方面的信心？

据我们所知，我们的这项工作是首个针对RSE进行安全意识教育的尝试。通过回答这些问题，我们证明了RSE可以成为安全倡导者，而且这种基于研讨会的方法可以有效提高他们的安全意识、行为和知识。

章节摘录

背景

在本节中，我们回顾了关于研究软件安全的现有文献，并介绍了安全倡导者的概念，以及为鼓励RSE具备安全意识并采用基本安全实践而提供培训的理论依据。

方法论

在本节中，我们解释了研究的设计和方法论。我们将讨论参与者的招募、调查设计和分发、研讨会设计、访谈过程以及分析计划。

结果

本节展示了我们的调查数据和访谈结果。共有14名RSE参加了我们的“RSE安全基础”研讨会，但只有10人完成了所有三项调查。在这些人中，我们采访了5名参与者。首先，我们报告了总体发现，然后按研究问题领域（威胁评估、收益分析和沟通）整理了结果。在每个研究问题领域结束时，我们收录了与5名参与者访谈的相关引文和评论。

讨论

在本节中，我们回顾了研究结果，并探讨了改进研讨会形式的机会。

有效性的挑战

我们的研究设计、参与者群体和数据收集限制了研究结果的适用范围。尽管我们的结果具有显著性，但它们应被视为为研究软件工程师培养安全倡导者计划的初步尝试。在INTERSECT研讨会上，我们为参与者提供了原始研讨会提供的示例项目，如第3节所述。这个示例项目是一个虚构的货币管理移动应用程序……

结论

这项研究是朝着为研究软件工程师培养安全倡导者迈出的第一步。文献表明，通过提高安全意识和自我效能，信心是有效开展安全倡导工作的核心。因此，我们试图识别并尝试一种针对RSE的安全教育干预措施，以提高他们的安全信心。在我们的研究中，我们对现有的安全意识研讨会进行了修改，使其更快捷、更易于融入繁忙的研发流程

CRediT作者贡献声明

马修·阿姆斯特朗：写作——审阅与编辑、撰写初稿、可视化、资源整理、项目管理、方法论研究、数据分析、概念化。杰弗里·卡弗：写作——审阅与编辑、撰写初稿、监督、项目管理、方法论研究、概念化。里德·米莱维奇：写作——审阅与编辑、撰写初稿、监督、项目管理、方法论研究、数据分析、概念化。

利益冲突声明

作者声明他们没有任何已知的财务利益或个人关系可能会影响本文所述的工作。

致谢

桑迪亚国家实验室（Sandia National Laboratories）是由桑迪亚技术工程解决方案公司（NTESS）管理和运营的多任务实验室，该公司是霍尼韦尔国际公司（Honeywell International Inc.）的全资子公司，受美国能源部国家核安全管理局（DOE/NNSA）的合同支持（合同编号：DE-NA0003525）。本作品的作者是NTESS的员工，该员工拥有该作品的权利、所有权和利益，而非NTESS本身。