Pourquoi la formation au code sécurisé n'est pas efficace (et ce que vous pouvez faire pour y remédier)

Ennuyeux, ennuyeux, ennuyeux ! C'est l'une des principales réponses que vous entendrez de la part des développeurs chaque fois qu'une formation au code sécurisé est mentionnée. Chez Secure Code Warrior, nous pensons qu'il doit y avoir une meilleure solution. Nous avons donc fait appel à Evans Data Corp. pour mener des recherches primaires sur les attitudes des développeurs à l'égard du codage sécurisé, des pratiques de code sécurisées et des opérations de sécurité (téléchargez votre copie du livre blanc). ici).

Dans le livre qui sera publié prochainement, intitulé « Passer de la réaction à la prévention : le nouveau visage de la sécurité des applications », les développeurs ont été interrogés sur leurs principaux problèmes liés à la formation actuelle au code sécurisé, et la réponse s'est avérée révélatrice.

Une formation qui dévalorise les développeurs

40 % des développeurs interrogés ont estimé que le codage sécurisé est enseigné de manière abstraite. 40 % ont estimé que la formation était trop théorique, qu'elle n'était pas liée à leur travail et qu'elle n'était pas suffisamment « pratique ». 30 % ont identifié un manque de formation dans le cadre linguistique dans lequel ils travaillent quotidiennement. Ceci est préoccupant car cela indique que la formation actuelle au codage sécurisé n'est pas pertinente d'un point de vue contextuel et n'a aucun lien significatif avec les activités quotidiennes des développeurs.

Pour de nombreux développeurs, le principal défi consiste à rester vigilant lors d'activités paralysantes qui ne sont pas efficaces et qui ne les incitent pas à placer la sécurité au cœur de leurs préoccupations .

La formation en vase clos empêche les développeurs d'établir les liens cognitifs entre le laboratoire et le monde réel.

Trois aspects que les développeurs attendent d'une formation au code sécurisé :

1. La plupart des développeurs indiquent qu'ils souhaitent une formation plus pratique et mieux adaptée au contexte de leur travail quotidien.
2. 65 % des développeurs indiquent qu'une formation complémentaire est nécessaire sur les vulnérabilités spécifiques au langage et le Top 10 de l'OWASP.
3. 75 % des développeurs interrogés préfèrent une formation structurée en cours d'emploi.

Une formation qui favorise le développement des développeurs

En matière de formation en cours d'emploi, les développeurs apportent un certain niveau d'expérience et de connaissances existantes. Cela met en évidence la nécessité d'un apprentissage structuré. Il s'agit d'une formation structurée — ou échafaudée — pour s'appuyer sur ce que le développeur sait déjà. L'enseignement par échafaudage active et améliore à la fois toute expérience antérieure tout en continuant à acquérir de nouvelles compétences par petites étapes. Cela en fait le moyen idéal pour l'apprentissage en cours d'emploi.

Transmettre des compétences durables

En matière de formation à la sécurité des développeurs, nous sommes conscients que ces derniers préfèrent la méthode de l'apprentissage par la pratique à l'apprentissage statique basé sur la théorie. Dans ce sens, il est essentiel d'apprendre à coder en toute sécurité dans un environnement contextuel pertinent. En tant que champion du changement en matière de codage sécurisé, Secure Code Warrior une formation contextuelle et pratique dans les langages de programmation et les frameworks pertinents, avec des défis similaires à ceux auxquels les développeurs sont confrontés dans le monde réel. Le contenu pédagogique comprend plus de 5 500 défis et missions plus de 147 types de vulnérabilités différentes, dont les très importantes Top 10 OWASP, OWASP Mobile Top 10, OWASP API Security Top 10 et CWE/SANS Top 25.

Si vous souhaitez évaluer l'impact potentiel sur vos équipes et leur capacité à fournir du code sécurisé plus rapidement, veuillez réserver une démonstration dès maintenant.