Pourquoi la formation au code de sécurité n'est pas efficace (et ce que vous pouvez faire pour y remédier)

Ennui, ennui, ennui ! C'est l'une des principales réactions que vous entendrez de la part des développeurs chaque fois que vous évoquerez la formation au code sécurisé. Chez Secure Code Warriorestimons qu'il doit exister une meilleure approche. C'est pourquoi nous avons collaboré avec Evans Data Corp. afin de mener une étude préliminaire sur l'attitude des développeurs vis-à-vis du codage sécurisé, des pratiques de code sécurisé et des opérations sécurisées (téléchargez votre exemplaire du livre blanc). Ici).

Dans la prochaine version , « De la réaction à la prévention : l'évolution de la sécurité des applications »,les développeurs ont été interrogés sur les principaux problèmes rencontrés dans leur formation actuelle au code de sécurité. Les réponses sont très instructives.

Formation décevante pour les développeurs

40 % des développeurs interrogés estiment que la sécurité du code est enseignée de manière abstraite. 40 % considèrent que la formation est trop théorique, sans rapport avec leur travail et insuffisamment pratique. 30 % estiment que le cadre linguistique qu'ils utilisent quotidiennement manque de formation. Cela est préoccupant, car cela indique que la formation actuelle en matière de sécurité du code est hors contexte et n'a aucun rapport significatif avec le travail quotidien des développeurs.

Pour de nombreux développeurs, le principal défi consiste à rester vigilant dans le cadre d'activités monotones et peu motivantes, qui ne sont ni efficaces ni susceptibles de les inciter à accorder la priorité à la sécurité.

Une formation en milieu isolé empêche les développeurs d'établir un lien cognitif entre le laboratoire et le monde réel.

Les développeurs souhaitent acquérir trois éléments grâce à la formation sur la sécurité du code :

1. La grande majorité des développeurs ont indiqué qu'ils souhaitaient une formation plus pratique, plus en phase avec leur travail quotidien.
2. 65 % des développeurs indiquent avoir besoin de plus de formation sur les vulnérabilités spécifiques aux langages et sur le top 10 de l'OWASP.
3. 75 % des développeurs interrogés préfèrent une formation structurée en cours d'emploi.

Formation visant à renforcer les capacités des développeurs

En matière de formation en cours d'emploi, les développeurs apportent un certain niveau d'expérience et de connaissances existantes. Cela indique la nécessité d'un apprentissage « échafaudé ». Il s'agit d'une formation structurée (ou échafaudée) qui vise à s'appuyer sur les connaissances déjà acquises par les développeurs. L'enseignement échafaudé permet à la fois d'activer et de renforcer toute expérience antérieure, tout en continuant à développer progressivement de nouvelles compétences. Cela en fait un moyen idéal pour l'apprentissage en cours d'emploi.

Enseigner la persévérance

En matière de formation à la sécurité des développeurs, nous comprenons que les développeurs préfèrent apprendre par la pratique plutôt que par un apprentissage théorique statique et fastidieux. En ce sens, il est essentiel d'apprendre à programmer en toute sécurité dans un contexte hautement pertinent. En tant que promoteur de la transformation du codage sécurisé,Secure Code Warrior propose une formation pratique et contextualisée dans les langages et les frameworks de programmation pertinents, avec des défis qui reproduisent ceux auxquels les développeurs sont confrontés dans le monde réel. Le contenu pédagogique comprend plus de 5 500 défis et tâches couvrant plus de 147 types de vulnérabilités différentes, dont les 10 principales vulnérabilités OWASP, les 10 principales vulnérabilités OWASP Mobile, les 10 principales vulnérabilités OWASP API et les 25 principales vulnérabilités CWE/SANS.

Si vous souhaitez en savoir plus sur l'impact potentiel sur votre équipe et sa capacité à fournir plus rapidement un code sécurisé, Veuillez réserver une démonstration dès maintenant. dès maintenant.