Warum Sicherheitsschulungen oft nicht funktionieren (und was Sie dagegen tun können)

Langweilig, langweilig, langweilig! Das ist eine der häufigsten Reaktionen von Entwicklern, wenn das Thema Sicherheitsschulungen zur Sprache kommt. Wir bei Secure Code Warrior sind überzeugt, dass es einen besseren Weg geben muss. Deshalb haben wir Evans Data Corp. damit beauftragt, eine Primärstudie zur Einstellung von Entwicklern gegenüber sicherem Programmieren, entsprechenden Praktiken und Security Operations durchzuführen (laden Sie Ihr Exemplar des Whitepapers hier herunter).

In dem in Kürze erscheinenden Bericht Shifting from reaction to prevention: The changing face of application security wurden Entwickler nach ihren größten Problemen mit aktuellen Sicherheitsschulungen befragt – und die Antwort war aufschlussreich.

Schulungen, die Entwickler ausbremsen

40 % der befragten Entwickler hatten das Gefühl, dass sicheres Programmieren in einem luftleeren Raum vermittelt wird. Weitere 40 % empfanden die Schulungen als zu theoretisch, nicht auf ihre Arbeit bezogen und nicht praxisorientiert genug. 30 % bemängelten einen Mangel an Schulungen für die Sprachen und Frameworks, mit denen sie täglich arbeiten. Das ist ein ernstes Problem, denn es zeigt, dass aktuelle Sicherheitsschulungen kontextuell irrelevant sind und keinen sinnvollen Bezug zum Arbeitsalltag der Entwickler haben.

Für viele Entwickler besteht die größte Herausforderung darin, bei geisttötenden, rein theoretischen Aktivitäten wach zu bleiben, die weder effektiv sind noch sie dazu motivieren, Sicherheit in den Vordergrund zu stellen. ‍

Schulungen im luftleeren Raum verhindern, dass Entwickler die kognitive Brücke zwischen Laborumgebung und realer Welt schlagen können.

3 Dinge, die sich Entwickler von Sicherheitsschulungen wünschen:

1. Die überwältigende Mehrheit der Entwickler wünscht sich Schulungen, die praxisorientierter und kontextuell relevanter für ihre tägliche Arbeit sind.
2. 65 % der Entwickler fordern mehr Schulungen zu sprachspezifischen Schwachstellen und den OWASP Top 10.
3. 75 % der befragten Entwickler bevorzugen strukturierte, arbeitsplatzbezogene Schulungen.

Schulungen, die Entwickler voranbringen

Bei der berufsbegleitenden Weiterbildung bringen Entwickler bereits ein gewisses Maß an Erfahrung und Wissen mit. Dies unterstreicht die Notwendigkeit eines „Scaffolded Learning“-Ansatzes. Dabei handelt es sich um strukturierte Schulungen, die auf dem vorhandenen Wissen des Entwicklers aufbauen. Dieses gestufte Lernen aktiviert und erweitert Vorkenntnisse, während gleichzeitig neue Fähigkeiten in kleinen, verdaulichen Einheiten vermittelt werden. Damit ist es die ideale Methode für das Lernen am Arbeitsplatz.

Wissen, das hängen bleibt

Wir wissen, dass Entwickler beim Thema Sicherheit das Lernen durch Handeln der drögen Theorie vorziehen. Daher ist es entscheidend, sicheres Programmieren in einer hochrelevanten, kontextbezogenen Umgebung zu erlernen. Als Vorreiter für Veränderungen im Bereich Secure Coding bietet Secure Code Warrior kontextbezogene, praxisnahe Schulungen in relevanten Programmiersprachen und Frameworks an. Die Herausforderungen spiegeln dabei reale Szenarien wider. Die Lerninhalte umfassen über 5.500 Aufgaben und Missionen zu mehr als 147 Schwachstellentypen, darunter die wichtigen OWASP Top 10, OWASP Mobile Top 10, OWASP API Security Top 10 und CWE/SANS Top 25.

Wenn Sie sehen möchten, wie sich dies auf Ihre Teams und deren Fähigkeit auswirkt, schneller sicheren Code zu liefern, buchen Sie jetzt eine Demo.