Les développeurs ont des raisons d'apprendre à coder en toute sécurité... alors pourquoi ne le font-ils pas ?

Lorsqu'il s'agit de se familiariser avec le codage sécurisé, quelles sont les principales motivations des développeurs et comment peuvent-elles être exploitées pour concevoir et mettre en œuvre un programme de sécurité des applications efficace ? En 2020, Secure Code Warrior s'est engagé avec Evans Data Corp. à mener une recherche primaire sur les attitudes des développeurs à l'égard du codage sécurisé, des pratiques de codage sécurisé et des opérations de sécurité (téléchargez le livre blanc ici). ‍

Lorsqu'ils sont interrogés, les développeurs affirment qu'ils voient la valeur de la formation au codage sécurisé. Et 80 % des responsables du développement affirment qu'ils sont plus enclins à embaucher des développeurs ayant des compétences en matière de codage sécurisé. Alors, si ces compétences sont si demandées, pourquoi y a-t-il encore une telle pénurie de développeurs formés à la sécurité ? 

Le manque de motivation de la part des développeurs ne semble pas être le problème principal. Les développeurs sont motivés et lorsqu'on leur demande quelles sont les sources de leur motivation pour apprendre la formation au code sécurisé, voici ce qu'ils nous disent :

• 35 % des répondants ont été motivés par des préoccupations liées à l'entreprise
• 24% ont été motivés par des raisons personnelles
• 41 % ont été motivés à la fois par des raisons personnelles et par des raisons liées à l'entreprise. 
  

Et lorsque nous avons creusé un peu plus, nous avons découvert que les 5 principaux facteurs de motivation personnelle pour la formation au code sécurisé sont les suivants :

1. Augmentation de la productivité et de l'efficacité
2. Curiosité/intérêt personnel
3. Éviter les problèmes causés par un code non sécurisé
4. Possibilité d'avancement de carrière
5. Utilisation plus efficace des ressources humaines

Si l'on considère les motivations centrées sur l'entreprise, les développeurs comprennent comment l'apprentissage de pratiques de codage sécurisées peut augmenter la productivité. Les responsables voient comment la pratique du codage sécurisé peut permettre une utilisation plus efficace de leurs ressources humaines. Et si les motivations diffèrent d'une région à l'autre, à l'échelle mondiale, le désir d'accroître la productivité et l'efficacité reste une constante.
‍

‍

Cela dit, ce ne sont pas toujours des facteurs externes, tels que les exigences de l'employeur, qui poussent les développeurs à s'initier au codage sécurisé. Dans de nombreux cas, les décisions sont motivées par eux-mêmes. Les développeurs se soucient de ce qu'ils créent et sont fiers de leur travail, comme le montrent les quatre principales raisons qui incitent les développeurs à étudier le codage sécurisé. Si 25 % des développeurs déclarent vouloir créer de la valeur pour leur entreprise, le même pourcentage déclare vouloir améliorer la qualité de leur code. Pour d'autres, il s'agit avant tout d'obtenir des félicitations, de la visibilité et de la reconnaissance sur le lieu de travail. 70 % d'entre eux déclarent être reconnus par leur entreprise lorsqu'ils écrivent du code sécurisé. Et, comme indiqué précédemment, 80 % des responsables du développement sont plus enclins à embaucher des développeurs ayant des compétences en matière de codage sécurisé.

Les développeurs sont motivés - alors pourquoi ne sont-ils pas plus engagés ? 

Si les développeurs compétents en matière de sécurité sont si appréciés et si la motivation pour apprendre est présente, pourquoi sont-ils si peu nombreux ?

Comme nous l'avons vu, les développeurs ont de bonnes raisons d'améliorer leurs compétences en matière de codage sécurisé, mais ils restent réticents à la plupart des formations actuelles en matière de sécurité. Très peu d'entre eux la recherchent. Sur la base de cette recherche, nous pensons que la réponse est relativement simple : La formation actuelle au codage sécurisé est inadéquate, car elle ne tient pas compte des facteurs clés qui attirent les développeurs vers le codage sécurisé.

Examinons chacun de ces facteurs. 

Lorsqu'il s'agit d'augmenter la valeur et l'efficacité et d'améliorer la qualité de leur code, les développeurs ont besoin d'une formation qui rende le codage sécurisé intrinsèque à leur processus quotidien. Ils doivent acquérir les compétences nécessaires pour identifier et corriger les vulnérabilités au fur et à mesure qu'ils codent, et ce dès le début. Pour une pertinence maximale et une applicabilité immédiate, cette formation doit être dispensée dans le langage spécifique qu'ils utilisent tous les jours. Les approches de formation traditionnelles ne permettent pas d'atteindre cet objectif et de nombreux développeurs les trouvent incroyablement ennuyeuses et peu pertinentes.

En tant que champion du changement en matière de codage sécurisé, Secure Code Warrior fait du codage sécurisé une expérience positive et attrayante pour les développeurs. Nous pensons que la formation doit être dispensée d'une manière qui incite les développeurs à vouloir apprendre. Cela nécessite des simulations et des défis pratiques, interactifs et pertinents pour le travail, qui incitent les participants à intégrer des fonctions de sécurité dans leur code dès le départ. Cette approche de formation hautement interactive centrée sur le développeur place la motivation des développeurs à apprendre au cœur de votre programme de sécurité des applications. Si vous souhaitez voir comment tout cela s'articule, réservez une démo dès maintenant.

‍

‍