Comment configurer la formation au code sécurisé pour de meilleurs résultats de codage sécurisé

En matière de formation au code sécurisé pour les développeurs, les résultats pédagogiques laissent beaucoup à désirer. De nombreuses entreprises dépensent beaucoup, mais obtiennent des rendements minimes dans la pratique. Et ce n'est pas étonnant. Les recherches actuelles* montrent que les développeurs pensent que l'apprentissage du code sécurisé est ennuyeux et qu'il est difficile d'apprendre à implémenter du code sécurisé. De nouvelles approches de formation au codage sécurisé sont nécessaires. C'est pourquoi, en 2020, Secure Code Warrior s'est engagé avec Evans Data Corp. pour mener des recherches primaires sur les attitudes des développeurs à l'égard du codage sécurisé, des pratiques de code sécurisées et des opérations de sécurité (télécharger le livre blanc) ici).

Lorsqu'ils ont eu l'occasion de critiquer la formation proposée, les développeurs se sont montrés sans ménagement, affirmant que la formation actuelle sur le code sécurisé était la suivante :

• Enseigné dans le vide - 40 %
• Trop théorique, sans rapport avec leur travail et pas assez « pratique » - 40 %
• Souvent peu fréquent, non associé à leur travail ou engageant - 30 %.
  

Ces statistiques sont sérieuses ; elles nous indiquent que la formation actuelle sur le code sécurisé n'est pas pertinente du point de vue du contexte, et qu'elle n'a aucun lien significatif avec ce que les développeurs font au quotidien.

Souvent, ils ne peuvent pas appliquer ce qu'ils ont appris dans leur environnement de travail. Cela fait de tant de formations en matière de sécurité une perte de temps et d'argent.

Cinq manières de créer la formation souhaitée par les développeurs

En ce qui concerne le type de formation que recherchent les développeurs, cinq choses étaient parfaitement claires.

1. ‍75 % des développeurs ont préféré une formation structurée en cours d'emploi, en trouvant que c'est le moyen le plus efficace et le plus satisfaisant d'apprendre.
   
   Et en ce qui concerne ce que cette formation devrait inclure, les développeurs ont des questions très claires et spécifiques :
2. 65 % affirment qu'une formation plus approfondie sur les vulnérabilités spécifiques à la langue est nécessaire
3. 65 % souhaitent suivre une formation supplémentaire dans Top 10 de l'OWASP.
4. Beaucoup souhaitent également mettre l'accent sur cadres de sécurité de conformité, y compris le NIST (58 %), le CIS (52 %) et le PCI DSS (50 %).
5. 78 % souhaitent bénéficier d'un encadrement et d'une orientation informels entre pairs dans le cadre de cette formation.

Mais avant tout, les développeurs veulent une formation au code sécurisée, pratique et ancrée dans le contexte de leur travail quotidien. Les développeurs ne veulent pas rester assis à écouter les professeurs, ils veulent mettre la main sur des choses et les essayer eux-mêmes. Ils veulent mettre l'accent sur les applications pratiques, ce qui fait cruellement défaut aux programmes de formation actuels. Selon les développeurs que nous avons interrogés, les 5 principales caractéristiques d'une bonne formation sont les suivantes :

• Formation plus pratique, présentant des scénarios de travail réels (30 %).
• Activité guidée axée sur un code ou des vulnérabilités spécifiques (24 %).
• L'inclusion de plus d'exemples ou de cas d'utilisation (24 %) Offre un avantage concret à la formation (< 20 %) Incorpore davantage d'exercices de renforcement de l'esprit d'équipe (< 20 %).
• Procure des avantages tangibles à la suite de la formation.
• Incorpore davantage d'exercices de team building.
  

Les développeurs veulent formation au code sécurisé qui confère des compétences fondamentales et une véritable reconnaissance. Les compétences en matière de codage sécurisé étant très recherchées et reconnues par les employeurs, les développeurs ont montré leur enthousiasme à l'idée de se différencier de leurs pairs, en particulier lorsqu'ils postulent à de nouveaux emplois. Les développeurs qui cherchent à démontrer leur maîtrise technique ou leurs compétences spécialisées utilisent depuis longtemps des programmes de certification formels. Lorsqu'on leur a demandé s'ils recherchaient des programmes de formation structurés en vue de la certification, 70 % ont répondu qu'ils recherchaient ces programmes. Les principales motivations étaient de rechercher une reconnaissance officielle des compétences acquises, d'être plus efficaces dans leur travail et de devenir inestimables pour leur entreprise.

Lorsqu'il s'agit de meilleurs résultats scolaires, une formation centrée sur les développeurs est essentielle. Une formation au code sécurisé structuré est souhaitable pour les développeurs, mais uniquement si elle leur apporte ce qu'ils veulent. Les entreprises qui relèvent le défi et reconfigurent leur formation au code sécurisé en fonction des besoins des développeurs bénéficieront d'une réduction des vulnérabilités récurrentes, d'une livraison de code plus rapide et d'une meilleure réputation qui en découle.

La preuve est sans équivoque que les développeurs veulent une formation contextuelle et pratique dans les langages de programmation et les frameworks pertinents, avec des défis qui imitent ceux auxquels ils sont confrontés dans le monde réel. En tant que champion du changement en matière de codage sécurisé, Secure Code Warrior adopte une approche dirigée par l'homme pour répondre aux demandes des développeurs. Si vous souhaitez voir l'impact potentiel sur la capacité de vos équipes à expédier du code sécurisé plus rapidement, demandez une démo dès maintenant.

*Passer de la réaction à la prévention : le nouveau visage de la sécurité des applications. Secure Code Warrior et Evans Data Corp. 2020