So konfigurieren Sie Schulungen für sicheren Code für bessere Ergebnisse

Wenn es um Schulungen für sicheren Code für Entwickler geht, lassen die Lernergebnisse oft zu wünschen übrig. Viele Unternehmen investieren viel Geld, sehen in der Praxis jedoch nur minimale Erfolge. Und das ist kaum verwunderlich. Aktuelle Untersuchungen* zeigen, dass Entwickler das Erlernen von sicherem Code als langweilig empfinden und die Implementierung von sicherem Code als herausfordernd betrachten. Es bedarf neuer Ansätze für Schulungen im Bereich Secure Coding. Daher hat Secure Code Warrior 2020 die Evans Data Corp. damit beauftragt, eine Primärstudie zur Einstellung von Entwicklern gegenüber Secure Coding, sicheren Codierungspraktiken und Security Operations durchzuführen (Whitepaper herunterladen hier).

Als Entwickler die Gelegenheit erhielten, das bestehende Schulungsangebot zu kritisieren, äußerten sie sich unverblümt. Sie bemängelten, dass aktuelle Schulungen für sicheren Code:

• Im luftleeren Raum stattfinden – 40 %
• Zu theoretisch sind, keinen Bezug zu ihrer Arbeit haben und zu wenig „hands-on“ sind – 40 %
• Oft zu selten stattfinden, keinen Bezug zu ihrer Arbeit haben oder nicht motivierend sind – 30 %.
  

Diese Statistiken sind alarmierend; sie zeigen, dass aktuelle Schulungen für sicheren Code kontextuell irrelevant sind und keinen sinnvollen Bezug zu der täglichen Arbeit von Entwicklern haben.

Oft können sie das Gelernte in ihrem Arbeitsumfeld nicht anwenden. Das macht einen Großteil der Sicherheitsschulungen zu einer Zeit- und Geldverschwendung.

Fünf Wege, um die Schulungen zu entwickeln, die sich Entwickler wünschen

Was die Art der Schulung betrifft, die sich Entwickler wünschen, waren fünf Punkte besonders deutlich.

1. ‍75 % der Entwickler bevorzugen strukturierte On-the-Job-Schulungen, da sie diese als effektivste und zufriedenstellendste Lernmethode empfinden.
   
   Und was die Inhalte dieser Schulungen angeht, haben Entwickler sehr klare und spezifische Anforderungen:
2. 65 % fordern mehr Schulungen zu sprachspezifischen Schwachstellen
3. 65 % wünschen sich mehr Schulungen zu den OWASP Top 10.
4. Viele möchten zudem einen Fokus auf Compliance-Sicherheits-Frameworks, einschließlich NIST (58 %), CIS (52 %) und PCI DSS (50 %).
5. 78 % wünschen sich informelles Peer-Coaching und Anleitung als Teil der Schulung.

Doch vor allem wünschen sich Entwickler Schulungen für sicheren Code, die praxisnah sind und direkt an ihren Arbeitsalltag anknüpfen. Entwickler möchten nicht nur Vorträgen zuhören – sie wollen selbst aktiv werden und Dinge ausprobieren. Sie wünschen sich einen Fokus auf praktische Anwendungen – ein Punkt, der in aktuellen Schulungsprogrammen schmerzlich vermisst wird. Laut den befragten Entwicklern sind dies die 5 wichtigsten Merkmale einer guten Schulung:

• Mehr praxisorientierte Schulungen, die reale Arbeitsszenarien zeigen (30 %).
• Geführte Aktivitäten mit Fokus auf spezifischen Code oder Schwachstellen (24 %).
• Einbeziehung von mehr Beispielen oder Anwendungsfällen (24 %). Bietet einen konkreten Vorteil durch die Teilnahme an der Schulung (<20 %). Beinhaltet mehr Teambuilding-Übungen (<20 %).
• Bietet einen konkreten Vorteil durch die Teilnahme an der Schulung.
• Beinhaltet mehr Teambuilding-Übungen.
  

Entwickler wünschen sich Schulungen für sicheren Code, die grundlegende Fähigkeiten vermitteln – und echte Anerkennung bieten. Da Fähigkeiten im Bereich Secure Coding bei Arbeitgebern sehr gefragt und anerkannt sind, zeigen Entwickler großes Interesse daran, sich von ihren Kollegen abzuheben, insbesondere bei der Bewerbung auf neue Stellen. Entwickler, die ihre technische Expertise oder Spezialkenntnisse nachweisen möchten, nutzen seit langem formale Zertifizierungsprogramme. Auf die Frage, ob sie nach strukturierten Schulungsprogrammen für Zertifizierungen suchen, gaben 70 % an, dass dies der Fall sei. Die Hauptmotivationen sind die offizielle Anerkennung erworbener Fähigkeiten, eine effizientere Arbeitsweise und der Wunsch, für das Unternehmen unverzichtbar zu werden.

Für bessere Lernergebnisse ist eine entwicklerzentrierte Schulung der Schlüssel. Strukturierte Schulungen für sicheren Code sind für Entwickler erstrebenswert – aber nur, wenn sie ihnen bieten, was sie wirklich brauchen. Unternehmen, die sich dieser Herausforderung stellen und ihre Schulungen an den Bedürfnissen der Entwickler ausrichten, profitieren von weniger wiederkehrenden Schwachstellen, einer schnelleren Code-Bereitstellung und dem damit verbundenen besseren Ruf.

Die Beweise sind eindeutig: Entwickler wünschen sich kontextbezogene, praxisnahe Schulungen in relevanten Programmiersprachen und Frameworks mit Herausforderungen, die ihre reale Arbeitswelt widerspiegeln. Als Vorreiter für den Wandel im Bereich Secure Coding verfolgt Secure Code Warrior einen menschenzentrierten Ansatz, um die Anforderungen der Entwickler zu erfüllen. Wenn Sie sehen möchten, wie sich dies auf die Fähigkeit Ihres Teams auswirkt, sicheren Code schneller bereitzustellen, fordern Sie jetzt eine Demo an.

*Vom Reagieren zum Agieren: Das sich wandelnde Gesicht der Anwendungssicherheit. Secure Code Warrior und Evans Data Corp. 2020