Warum sicheres Code-Training nicht funktioniert (und was Sie dagegen tun können)

Langweilig, langweilig, langweilig! Das ist eine der wichtigsten Antworten, die Sie von Entwicklern hören werden, wenn sicheres Code-Training erwähnt wird. Wir bei Secure Code Warrior glauben, dass es einen besseren Weg geben muss. Deshalb haben wir mit Evans Data Corp. zusammengearbeitet, um die Einstellung der Entwickler zu sicherem Programmieren, sicheren Codeverfahren und Sicherheitsvorgängen zu untersuchen (laden Sie Ihr Exemplar des Whitepapers herunter) hier).

In der bald erscheinenden Übergang von der Reaktion zur Prävention: Das sich wandelnde Gesicht der Anwendungssicherheit, wurden Entwickler nach ihren Hauptproblemen beim aktuellen Secure-Code-Training gefragt — und die Antwort war aufschlussreich.

Schulung, die Entwickler herunterzieht

40% der befragten Entwickler Ich war der Meinung, dass sicheres Programmieren im luftleeren Raum gelehrt wird. Weitere 40% waren der Meinung, dass die Schulung zu theoretisch sei, nichts mit ihrer Arbeit zu tun habe und nicht „praxisnah“ genug sei. 30% gaben an, dass es an Schulungen in der Sprache und dem Rahmen mangelt, in dem sie täglich arbeiten. Das ist gravierend, denn es zeigt uns, dass aktuelle Sicherheitscode-Schulungen kontextuell irrelevant sind und keinen sinnvollen Zusammenhang mit dem haben, was Entwickler täglich tun.

Für viele Entwickler besteht die größte Herausforderung darin, bei nervenaufreibenden Aktivitäten wach zu bleiben, die weder effektiv sind noch sie dazu inspirieren, die Sicherheit in den Vordergrund zu stellen. ‍

Das Training im luftleeren Raum verhindert, dass Entwickler die kognitiven Verbindungen zwischen dem Labor und der realen Welt herstellen.

Drei Dinge, die Entwickler von einem sicheren Code-Training erwarten:

1. Die überwältigende Mehrheit der Entwickler gibt an, dass sie Schulungen wünschen, die praxisorientierter und kontextrelevanter für ihren Arbeitsalltag sind.
2. 65% der Entwickler geben an, dass mehr Schulungen erforderlich sind sprachspezifische Sicherheitslücken und die OWASP Top 10.
3. 75% der befragten Entwickler bevorzugen eine strukturierte Ausbildung am Arbeitsplatz.

Schulungen, die Entwickler weiterbringen

Wenn es um die Ausbildung am Arbeitsplatz geht, bringen Entwickler ein gewisses Maß an Erfahrung und vorhandenes Wissen mit. Dies weist auf die Notwendigkeit eines „gerüsteten“ Lernens hin. Dabei handelt es sich um Schulungen, die strukturiert — oder auf einem Gerüst — aufgebaut sind, um auf dem aufzubauen, was der Entwickler bereits weiß. Die Ausbildung im Rahmen eines Gerüsts aktiviert und verbessert alle bisherigen Erfahrungen, während gleichzeitig kontinuierlich neue Fähigkeiten in kleinen Stücken aufgebaut werden. Dies macht sie zum perfekten Mittel für das Lernen am Arbeitsplatz.

Fähigkeiten vermitteln, die bleiben

Wenn es um Sicherheitsschulungen für Entwickler geht, wissen wir, dass Entwickler die Learn-by-Doing-Methode der Plackerei des theoriebasierten statischen Lernens vorziehen. In diesem Sinne ist das Erlernen des sicheren Programmierens in einer hyperrelevanten, kontextuellen Umgebung von entscheidender Bedeutung. Als Verfechter des Wandels im Bereich der sicheren Codierung bietet Secure Code Warrior kontextbezogene, praktische Schulungen in relevanten Programmiersprachen und Frameworks an, wobei die Herausforderungen, mit denen Entwickler in der realen Welt konfrontiert sind, nachahmen. Die Lerninhalte umfassen über 5.500 Herausforderungen und Missionen, die über 147 verschiedene Arten von Sicherheitslücken abdecken, darunter die wichtigsten OWASP Top 10, OWASP Mobile Top 10, OWASP API Security Top 10 und CWE/SANS Top 25.

Wenn Sie die potenziellen Auswirkungen auf Ihre Teams und deren Fähigkeit, sicheren Code schneller bereitzustellen, sehen möchten, eine Demo buchen jetzt.