Comment configurer une formation au code sécurisé pour de meilleurs résultats

En matière de formation au code sécurisé pour les développeurs, les résultats pédagogiques laissent souvent à désirer. De nombreuses entreprises investissent des sommes importantes pour un retour sur investissement minimal. Et cela n'a rien d'étonnant. Les recherches actuelles* montrent que les développeurs trouvent l'apprentissage du code sécurisé ennuyeux et que la mise en œuvre de ce dernier est perçue comme un défi. De nouvelles approches sont nécessaires. C'est pourquoi, en 2020, Secure Code Warrior a collaboré avec Evans Data Corp. pour mener une étude approfondie sur les attitudes des développeurs vis-à-vis du codage sécurisé, des pratiques de sécurité et des opérations de sécurité (téléchargez le livre blanc ici).

Invités à critiquer les formations proposées, les développeurs n'ont pas mâché leurs mots, affirmant que les formations actuelles sont :

• Déconnectées de la réalité - 40 %
• Trop théoriques, sans lien avec leur travail et manquant de pratique - 40 %
• Souvent irrégulières, peu engageantes et non pertinentes - 30 %.
  

Ces statistiques sont préoccupantes ; elles indiquent que la formation actuelle au code sécurisé manque de contexte et n'a aucun lien concret avec le travail quotidien des développeurs.

Bien souvent, ils ne peuvent pas appliquer ce qu'ils ont appris dans leur environnement de travail. Cela fait de la formation à la sécurité une perte de temps et d'argent.

Cinq pistes pour concevoir la formation que les développeurs attendent

Concernant le type de formation souhaité par les développeurs, cinq points sont apparus clairement.

1. ‍75 % des développeurs privilégient une formation structurée en situation de travail, la considérant comme la méthode la plus efficace et la plus satisfaisante.
   
   Quant au contenu, les attentes sont précises :
2. 65 % réclament davantage de formation sur les vulnérabilités propres à chaque langage
3. 65 % souhaitent plus de formation sur le Top 10 de l'OWASP.
4. Beaucoup demandent également un focus sur les cadres de conformité, notamment NIST (58 %), CIS (52 %) et PCI DSS (50 %).
5. 78 % souhaitent bénéficier de coaching et de conseils informels entre pairs.

Mais avant tout, les développeurs veulent une formation pratique, ancrée dans leur quotidien. Ils ne veulent pas écouter passivement des cours magistraux ; ils veulent manipuler et expérimenter par eux-mêmes. Ils attendent des applications concrètes, ce qui fait cruellement défaut aux programmes actuels. Selon les développeurs interrogés, les 5 caractéristiques d'une bonne formation sont :

• Une formation plus pratique, basée sur des scénarios réels (30 %).
• Des activités guidées axées sur du code ou des vulnérabilités spécifiques (24 %).
• L'inclusion de davantage d'exemples ou de cas d'usage (24 %), un avantage concret à suivre la formation (<20 %) et l'intégration d'exercices de cohésion d'équipe (<20 %).
• Un avantage tangible à suivre la formation.
• L'intégration d'exercices de cohésion d'équipe.
  

Les développeurs recherchent une formation au code sécurisé qui leur apporte des compétences fondamentales et une véritable reconnaissance. Les compétences en codage sécurisé étant très prisées, les développeurs souhaitent se démarquer, notamment lors de recherches d'emploi. Pour prouver leur maîtrise technique, beaucoup se tournent vers des certifications. 70 % des développeurs interrogés recherchent des programmes structurés menant à une certification, avec pour motivations principales la reconnaissance officielle de leurs acquis, une meilleure efficacité au travail et une plus grande valeur ajoutée pour leur entreprise.

Pour de meilleurs résultats pédagogiques, la formation doit être centrée sur le développeur. Une formation structurée est appréciée, à condition de répondre à leurs attentes. Les entreprises qui sauront adapter leur formation aux besoins réels des développeurs en récolteront les fruits : moins de vulnérabilités récurrentes, une livraison de code plus rapide et une meilleure réputation.

Il est clair que les développeurs veulent une formation contextuelle et pratique, utilisant les langages et frameworks pertinents, avec des défis inspirés du monde réel. Acteur du changement, Secure Code Warrior adopte une approche humaine pour répondre aux besoins des développeurs. Si vous souhaitez découvrir l'impact potentiel sur la capacité de vos équipes à livrer du code sécurisé plus rapidement, demandez une démo dès maintenant.

*Passer de la réaction à la prévention : le nouveau visage de la sécurité des applications. Secure Code Warrior et Evans Data Corp. 2020