Cómo configurar la formación en código seguro para obtener mejores resultados en codificación segura

Cuando se trata de formación en código seguro para desarrolladores, los resultados educativos dejan mucho que desear. Muchas empresas invierten grandes sumas solo para obtener resultados mínimos en la práctica. Y no es de extrañar. Las investigaciones actuales* muestran que los desarrolladores consideran que aprender código seguro es aburrido y que aprender a implementarlo es un desafío. Se necesitan nuevos enfoques para la formación en codificación segura, por lo que en 2020, Secure Code Warrior colaboró con Evans Data Corp. para realizar una investigación primaria sobre las actitudes de los desarrolladores hacia la codificación segura, las prácticas de código seguro y las operaciones de seguridad (descargue el informe técnico aquí).

Cuando se les dio la oportunidad de criticar la formación ofrecida, los desarrolladores fueron implacables, afirmando que la formación actual en código seguro es:

• Impartida de forma aislada - 40%
• Demasiado teórica, no relacionada con su trabajo y poco práctica - 40%
• A menudo infrecuente, no asociada con su trabajo o poco atractiva - 30%.
  

Estas estadísticas son graves; nos dicen que la formación actual en código seguro carece de contexto y no tiene una relación significativa con lo que los desarrolladores hacen a diario.

A menudo, no pueden aplicar lo que aprenden en sus entornos de trabajo. Eso hace que gran parte de la formación en seguridad sea una pérdida de tiempo y dinero.

Cinco formas de crear la formación que los desarrolladores quieren

En cuanto al tipo de formación que desean los desarrolladores, cinco puntos quedaron muy claros.

1. ‍El 75% de los desarrolladores prefirió la formación estructurada en el puesto de trabajo, considerándola la forma más eficaz y satisfactoria de aprender.
   
   Y en cuanto a lo que debe incluir esa formación, los desarrolladores tienen peticiones muy claras y específicas:
2. El 65% dice que se requiere más formación en vulnerabilidades específicas del lenguaje
3. El 65% quiere más formación en el OWASP Top 10.
4. Muchos también quieren un enfoque en marcos de seguridad de cumplimiento, incluidos NIST (58%), CIS (52%) y PCI DSS (50%).
5. El 78% quiere orientación y asesoramiento informal de sus compañeros como parte de esa formación.

Pero, sobre todo, los desarrolladores quieren una formación en código seguro que sea práctica y esté arraigada en el contexto de su trabajo diario. Los desarrolladores no quieren sentarse a escuchar conferencias; quieren poner manos a la obra y probar por sí mismos. Quieren centrarse en aplicaciones prácticas, algo de lo que carecen gravemente los programas de formación actuales. Según los desarrolladores encuestados, las 5 características principales de una buena formación son:

• Más formación práctica, mostrando escenarios de trabajo reales (30%).
• Actividad guiada centrada en código o vulnerabilidades específicas (24%).
• Inclusión de más ejemplos o casos de uso (24%). Proporciona alguna ventaja concreta al realizar la formación (<20%). Incorpora más ejercicios de trabajo en equipo (<20%).
• Proporciona algún beneficio tangible al realizar la formación.
• Incorpora más ejercicios de trabajo en equipo.
  

Los desarrolladores quieren formación en código seguro que imparta habilidades fundamentales y un reconocimiento genuino. Dado que las habilidades de codificación segura son muy deseadas y reconocidas por los empleadores, los desarrolladores han mostrado entusiasmo por diferenciarse de sus pares, especialmente al solicitar nuevos empleos. Los desarrolladores que buscan demostrar su dominio técnico o habilidades especializadas han utilizado durante mucho tiempo programas de certificación formal. Cuando se les preguntó si buscaban programas de formación estructurados para obtener una certificación, el 70% reveló que los estaba buscando. Las motivaciones principales fueron buscar el reconocimiento oficial de las habilidades adquiridas, ser más eficientes en su trabajo y volverse invaluables para su empresa.

Para obtener mejores resultados educativos, la formación centrada en el desarrollador es la clave. La formación estructurada en código seguro es deseable para los desarrolladores, pero solo si les ofrece lo que quieren. Las empresas que acepten el desafío y reconfiguren su formación en código seguro según las necesidades de los desarrolladores cosecharán los beneficios de menos vulnerabilidades recurrentes, una entrega de código más rápida y la reputación mejorada que conlleva todo ello.

La evidencia inequívoca es que los desarrolladores quieren una educación contextual y práctica en lenguajes y marcos de programación relevantes, con desafíos que imiten los que enfrentan en el mundo real. Como defensores del cambio en la codificación segura, Secure Code Warrior adopta un enfoque centrado en las personas para cumplir con las solicitudes de los desarrolladores. Si desea ver el impacto potencial en la capacidad de sus equipos para enviar código seguro más rápido, solicite una demostración ahora.

*Pasar de la reacción a la prevención: la cara cambiante de la seguridad de las aplicaciones. Secure Code Warrior y Evans Data Corp. 2020