Pourquoi la formation au code sécurisé ne porte pas ses fruits (et comment y remédier)

Ennuyeux, ennuyeux, ennuyeux ! C'est l'une des principales réactions des développeurs dès que l'on évoque la formation au code sécurisé. Chez Secure Code Warrior, nous sommes convaincus qu'il existe une meilleure approche. Nous avons donc mandaté Evans Data Corp. pour mener une étude approfondie sur l'attitude des développeurs vis-à-vis du codage sécurisé, des pratiques de code sécurisé et des opérations de sécurité (téléchargez votre exemplaire du livre blanc ici).

Dans le rapport bientôt publié Passer de la réaction à la prévention : le nouveau visage de la sécurité des applications, les développeurs ont été interrogés sur les principaux problèmes liés à la formation actuelle au code sécurisé, et la réponse est révélatrice.

Une formation qui démotive les développeurs

40 % des développeurs interrogés estiment que le codage sécurisé est enseigné de manière isolée. 40 % supplémentaires trouvent la formation trop théorique, déconnectée de leur travail quotidien et manquant de mise en pratique. 30 % déplorent un manque de formation spécifique au langage ou au framework qu'ils utilisent au quotidien. C'est un problème sérieux, car cela signifie que la formation actuelle est contextuellement inadaptée et n'a aucun lien concret avec le travail quotidien des développeurs.

Pour beaucoup de développeurs, le principal défi est de rester attentif pendant des activités soporifiques et passives qui ne sont ni efficaces ni inspirantes pour garder la sécurité à l'esprit. ‍

Une formation isolée empêche les développeurs de faire le lien cognitif entre le laboratoire et le monde réel.

3 attentes des développeurs concernant la formation au code sécurisé :

1. Les développeurs réclament massivement une formation plus pratique et plus pertinente par rapport à leur travail quotidien.
2. 65 % des développeurs souhaitent davantage de formation sur les vulnérabilités spécifiques aux langages et sur le Top 10 de l'OWASP.
3. 75 % des développeurs interrogés préfèrent une formation structurée en situation de travail.

Une formation qui valorise les développeurs

En matière de formation en entreprise, les développeurs possèdent déjà un certain niveau d'expérience et de connaissances. Cela souligne la nécessité d'un apprentissage « étayé ». Il s'agit d'une formation structurée pour s'appuyer sur les acquis du développeur. Cet apprentissage par étayage active et renforce l'expérience préalable tout en développant de nouvelles compétences par petites étapes. C'est la méthode idéale pour l'apprentissage en situation de travail.

Transmettre des compétences durables

En matière de formation à la sécurité, nous savons que les développeurs préfèrent l'apprentissage par la pratique à la corvée de la théorie statique. Apprendre à coder de manière sécurisée dans un environnement contextuel ultra-pertinent est essentiel. En tant qu'acteurs du changement, Secure Code Warrior propose une formation contextuelle et pratique dans les langages et frameworks pertinents, avec des défis qui imitent les situations réelles. Le contenu inclut plus de 5 500 défis couvrant plus de 147 types de vulnérabilités, dont les incontournables Top 10 OWASP, OWASP Mobile, OWASP API et CWE/SANS Top 25.

Si vous souhaitez découvrir l'impact potentiel sur vos équipes et leur capacité à livrer du code sécurisé plus rapidement, réservez une démo dès maintenant.