Cómo configurar la formación en código seguro para obtener mejores resultados de codificación segura

Cuando se trata de la formación en código seguro para desarrolladores, los resultados educativos dejan mucho que desear. Muchas empresas gastan mucho dinero, pero en la práctica obtienen un rendimiento mínimo. Y no es de extrañar. La investigación* actual muestra que los desarrolladores creen que aprender código seguro es aburrido y que aprender a implementar código seguro es un desafío. Se necesitan nuevos enfoques para la formación en codificación segura, por lo que en 2020, Secure Code Warrior contrató a Evans Data Corp. para realizar una investigación primaria sobre las actitudes de los desarrolladores hacia la codificación segura, las prácticas de código seguro y las operaciones de seguridad (descargue el documento técnico) aquí).

Cuando se les ofreció la oportunidad de criticar la formación ofrecida, los desarrolladores no escatimaron nada y afirmaron que la formación actual sobre código seguro es:

• Enseñado en el vacío: 40%
• Demasiado teórico, no está relacionado con su trabajo y no es lo suficientemente práctico: 40%
• A menudo es poco frecuente, no está asociado con su trabajo o compromiso: 30%.
  

Estas estadísticas son serias; nos dicen que la formación actual sobre código seguro es irrelevante desde el punto de vista del contexto y no tiene ninguna relación significativa con lo que hacen los desarrolladores todos los días.

Con frecuencia, no pueden aplicar lo que han aprendido en sus entornos de trabajo. Esto hace que tanta formación en seguridad sea una pérdida de tiempo y dinero.

Cinco formas de crear la formación que desean los desarrolladores

Cuando se trata del tipo de formación que desean los desarrolladores, cinco cosas quedaron muy claras.

1. ‍El 75% de los desarrolladores prefirió la formación estructurada en el puesto de trabajo, encontrando que es la forma más eficaz y satisfactoria de aprender.
   
   Y cuando se trata de lo que debe incluir esa formación, los desarrolladores tienen algunas preguntas muy claras y específicas:
2. 65% dicen que se requiere más capacitación sobre las vulnerabilidades específicas del idioma
3. 65% quiere más formación en el Los 10 mejores de OWASP.
4. Muchos también quieren centrarse en marcos de seguridad de cumplimiento, incluidos NIST (58%), CIS (52%) y PCI DSS (50%).
5. 78% quieren orientación y orientación informales entre pares como parte de esa capacitación.

Pero, por encima de todo, los desarrolladores quieren una formación en código segura que sea práctica y esté enraizada en el contexto de su trabajo diario. Los desarrolladores no quieren quedarse sentados escuchando a los profesores, sino que quieren hacerse con las cosas y probarlas por sí mismos. Quieren centrarse en las aplicaciones prácticas, algo de lo que carecen en gran medida los programas de formación actuales. Según los desarrolladores que encuestamos, las 5 características principales de una buena formación son:

• Formación más práctica, que muestre escenarios laborales reales (30%).
• Actividad guiada centrada en códigos o vulnerabilidades específicos (24%).
• La inclusión de más ejemplos o casos de uso (24%) Proporciona alguna ventaja concreta a la hora de realizar la formación (< 20%) Incorpora más ejercicios de formación de equipos (< 20%).
• Brinda algún beneficio tangible al realizar la capacitación.
• Incorpora más ejercicios de formación de equipos.
  

Los desarrolladores quieren entrenamiento de código seguro que imparte habilidades fundamentales y un reconocimiento genuino. Dado que las habilidades de programación seguras son muy deseadas y reconocidas por los empleadores, los desarrolladores han demostrado su entusiasmo por diferenciarse de sus pares, especialmente a la hora de solicitar nuevos puestos de trabajo. Los desarrolladores que buscan demostrar su dominio técnico o sus habilidades especializadas llevan mucho tiempo utilizando programas de certificación formales. Cuando se les preguntó si buscaban programas de formación estructurados para obtener la certificación, el 70% respondió que estaba buscando estos programas. Las principales motivaciones eran buscar el reconocimiento oficial de las habilidades adquiridas, ser más eficientes en su trabajo y convertirse en algo inestimable para la empresa.

Cuando se trata de obtener mejores resultados educativos, la formación centrada en el desarrollador es la clave. La formación estructurada en código seguro es deseable para los desarrolladores, pero solo si les ofrece lo que desean. Las empresas que estén a la altura del desafío y reconfiguren su formación en código seguro para adaptarla a las necesidades de los desarrolladores se beneficiarán de un menor número de vulnerabilidades recurrentes, una entrega de código más rápida y la mejora de la reputación que ello conlleva.

La evidencia inequívoca es que los desarrolladores quieren una educación contextual y práctica en los lenguajes y marcos de programación relevantes con desafíos que imiten los que enfrentan en el mundo real. Como defensores del cambio en la codificación segura, Secure Code Warrior adopta un enfoque dirigido por personas para cumplir con las solicitudes de los desarrolladores. Si quieres ver el posible impacto en la capacidad de tus equipos de enviar código seguro con mayor rapidez, solicite una demostración ahora.

*Pasar de la reacción a la prevención: la cara cambiante de la seguridad de las aplicaciones. Secure Code Warrior y Evans Data Corp. 2020