Comment configurer la formation au codage sécurisé pour obtenir de meilleurs résultats en la matière ?

Lorsqu'il s'agit de former les développeurs à l'utilisation de codes sécurisés, les résultats de l'enseignement laissent à désirer. De nombreuses entreprises dépensent beaucoup d'argent, mais n'obtiennent que des résultats minimes dans la pratique. Et ce n'est pas étonnant. Les recherches actuelles* montrent que les développeurs pensent que l'apprentissage du code sécurisé est ennuyeux et que l'apprentissage de la mise en œuvre du code sécurisé est difficile. De nouvelles approches de la formation au codage sécurisé sont nécessaires. C'est pourquoi, en 2020, Secure Code Warrior s'est engagé avec Evans Data Corp. à mener une recherche primaire sur les attitudes des développeurs à l'égard du codage sécurisé, des pratiques de codage sécurisé et des opérations de sécurité (téléchargez le livre blanc ici).

Lorsqu'ils ont eu l'occasion de critiquer la formation proposée, les développeurs n'ont pas mâché leurs mots, affirmant que la formation actuelle sur le code sécurisé est.. :  

• Enseignements en vase clos - 40 
• Trop théorique, sans rapport avec leur travail et pas assez "pratique" - 40%. 
• Souvent peu fréquents, non associés à leur travail ou à leur engagement - 30 %.
  

Ces statistiques sont sérieuses ; elles nous indiquent que la formation actuelle sur le code sécurisé n'est pas adaptée au contexte et n'a pas de lien significatif avec ce que les développeurs font tous les jours. 

Souvent, ils ne peuvent pas appliquer ce qu'ils ont appris dans leur environnement de travail. C'est pourquoi une grande partie de la formation à la sécurité est une perte de temps et d'argent. 

Cinq façons de mettre en place les formations souhaitées par les développeurs

En ce qui concerne le type de formation souhaité par les développeurs, cinq points sont apparus clairement. 

1. ‍75%des développeurs préfèrent une formation structurée sur le tas, estimant qu'il s'agit de la manière la plus efficace et la plus satisfaisante d'apprendre.
   
   Et lorsqu'il s'agit de savoir ce que cette formation devrait comprendre, les développeurs ont des demandes très claires et spécifiques : 
2. 65 % déclarent qu'il faut davantage de formation sur les vulnérabilités spécifiques aux langues.
3. 65% souhaitent davantage de formation sur le Top 10 de l'OWASP.
4. Beaucoup souhaitent également que l'accent soit mis sur les cadres de sécurité en matière de conformité, notamment NIST (58 %), CIS (52 %) et PCI DSS (50 %).
5. 78 % souhaitent que cette formation s'accompagne d'un coaching et d'une orientation informels par les pairs.

Mais surtout, les développeurs veulent une formation au code sécurisé qui soit pratique et ancrée dans le contexte de leur travail quotidien. Les développeurs ne veulent pas rester assis à écouter des conférenciers - ils veulent mettre la main à la pâte et essayer par eux-mêmes. Ils veulent que l'accent soit mis sur les applications pratiques, ce qui fait cruellement défaut aux programmes de formation actuels. Selon les développeurs que nous avons interrogés, les cinq principales caractéristiques d'une bonne formation sont les suivantes : 

• Une formation plus pratique, montrant des scénarios de travail réels (30 %). 
• Activité guidée axée sur un code ou des vulnérabilités spécifiques (24 %).
• Inclusion of more examples or use cases (24%) Provides some concrete advantage to taking the training (<20%) Incorporates more team-building exercises (<20%). 
• Apporte un avantage tangible à la participation à la formation. 
• Incorpore davantage d'exercices de renforcement de l'esprit d'équipe.
  

Les développeurs veulent une formation au codage sécurisé qui leur transmette des compétences fondamentales - et une véritable reconnaissance. Les compétences en matière de codage sécurisé étant très recherchées et reconnues par les employeurs, les développeurs ont montré leur enthousiasme à se différencier de leurs pairs, en particulier lorsqu'ils postulent à de nouveaux emplois. Les développeurs qui cherchent à démontrer leur maîtrise technique ou leurs compétences spécialisées utilisent depuis longtemps des programmes de certification officiels. Lorsqu'on leur a demandé s'ils recherchaient des programmes de formation structurés pour la certification, 70 % ont répondu par l'affirmative. Les principales motivations sont la recherche d'une reconnaissance officielle des compétences acquises, l'amélioration de l'efficacité dans le travail et l'acquisition d'une valeur inestimable pour l'entreprise.

Lorsqu'il s'agit d'améliorer les résultats éducatifs, la formation centrée sur le développeur est la clé. Une formation structurée au code sécurisé est souhaitable pour les développeurs, mais seulement si elle leur offre ce qu'ils veulent. Les entreprises qui relèvent le défi et reconfigurent leur formation au code sécurisé en fonction des besoins des développeurs récolteront les bénéfices d'une diminution des vulnérabilités récurrentes, d'une livraison plus rapide du code et de l'amélioration de la réputation qui va de pair avec ces deux éléments.

Il est évident que les développeurs veulent une formation contextuelle et pratique dans des langages de programmation et des cadres pertinents, avec des défis qui imitent ceux qu'ils rencontrent dans le monde réel. En tant que champion du changement en matière de codage sécurisé, Secure Code Warrior adopte une approche humaine pour répondre aux demandes des développeurs. Si vous souhaitez voir l'impact potentiel sur la capacité de vos équipes à produire du code sécurisé plus rapidement, demandez une démonstration maintenant.

*Passer de la réaction à la prévention : Le nouveau visage de la sécurité des applications. Secure Code Warrior et Evans Data Corp. 2020