Les développeurs sont motivés à apprendre le codage sécurisé… alors pourquoi ne le font-ils pas ?

Quelles sont les principales motivations des développeurs en matière de codage sécurisé, et comment les exploiter pour concevoir et mettre en œuvre un programme de sécurité applicative efficace ? En 2020, Secure Code Warrior a collaboré avec Evans Data Corp. pour mener une étude approfondie sur les attitudes des développeurs vis-à-vis du codage sécurisé, des pratiques de code sûr et des opérations de sécurité.‍

Interrogés, les développeurs affirment reconnaître la valeur d'une formation au codage sécurisé. De plus, 80 % des responsables du développement déclarent être plus enclins à embaucher des développeurs possédant ces compétences. Alors, avec une telle demande, pourquoi la pénurie de développeurs formés à la sécurité persiste-t-elle ?

Le manque de motivation des développeurs ne semble pas être le problème central. Ils sont motivés et, lorsqu'on les interroge sur les sources de leur motivation à suivre une formation en codage sécurisé, voici ce qu'ils nous ont répondu :

• 35 % des répondants étaient motivés par des préoccupations liées à l'entreprise
• 24 % étaient motivés par des raisons personnelles
• 41 % étaient motivés à la fois par des raisons personnelles et professionnelles.
  

En creusant un peu plus, nous avons découvert que les 5 principaux facteurs de motivation personnelle pour suivre une formation en codage sécurisé sont :

1. Productivité et efficacité accrues
2. Curiosité/intérêt personnel
3. Évitement des problèmes causés par un code non sécurisé
4. Avancement professionnel potentiel
5. Utilisation plus efficace des ressources humaines

Concernant les motivations liées à l'entreprise, les développeurs comprennent comment l'apprentissage de pratiques de code sécurisé peut accroître la productivité. Les managers voient comment cela permet une utilisation plus efficace des ressources humaines. Bien que les motivations varient selon les régions, le désir d'accroître la productivité et l'efficacité reste une constante mondiale.
‍

‍

Cela dit, les développeurs ne sont pas toujours poussés par des facteurs externes comme les exigences de l'employeur. Souvent, la décision est personnelle. Les développeurs se soucient de leurs créations et sont fiers de leur travail, comme le montrent les quatre principales raisons qui les incitent à étudier le codage sécurisé. Si 25 % veulent créer de la valeur pour leur entreprise, autant souhaitent améliorer la qualité de leur code. Pour d'autres, il s'agit de reconnaissance au travail. 70 % affirment être reconnus par leur entreprise lorsqu'ils écrivent du code sécurisé. Et, comme mentionné, 80 % des managers préfèrent embaucher des développeurs ayant ces compétences.

Les développeurs sont motivés, alors pourquoi ne sont-ils pas plus impliqués ?

Si les développeurs compétents en sécurité sont si précieux et que la motivation est présente, pourquoi sont-ils si rares ?

Comme nous l'avons vu, les développeurs ont des raisons claires d'améliorer leurs compétences en codage sécurisé, mais restent réticents face à la plupart des formations actuelles. Très peu les recherchent activement. Selon cette étude, la réponse est simple : les formations disponibles sont inadaptées car elles ne répondent pas aux facteurs clés qui attirent les développeurs vers le codage sécurisé.

Examinons chacun de ces facteurs.

Pour ce qui est de gagner en valeur et en efficacité et d'améliorer la qualité de leur code, les développeurs ont besoin d'une formation qui intègre le codage sécurisé à leur processus quotidien. Ils doivent pouvoir identifier et corriger les vulnérabilités dès l'écriture du code. Pour une pertinence maximale, cette formation doit se dérouler dans le langage et le framework qu'ils utilisent au quotidien. Les approches traditionnelles échouent sur ce point et beaucoup les trouvent ennuyeuses et non pertinentes.

En tant que champions du changement, Secure Code Warrior rend le codage sécurisé positif et engageant. Nous pensons que la formation doit inspirer les développeurs. Cela nécessite des simulations et des défis pratiques, interactifs et pertinents qui incitent les participants à intégrer la sécurité dès le départ. Cette approche centrée sur le développeur place ses motivations au cœur de votre programme de sécurité. Pour voir comment cela fonctionne, réservez une démo dès maintenant.

‍

‍