現在のセキュアコーディング研修は、開発者の期待に応えられていません

データ侵害とその被害額が増加の一途をたどる中、世界中で生成されるコードの量は、もはやセキュリティ専門家だけで対応できる規模を超えています。企業にはセキュアコーディングのスキルを持つ開発者が必要であり、開発者自身もキャリアアップのためにそのスキルが必要であることを理解しています。しかし、現在のセキュアコーディング研修は、開発者の期待に応えられていません。では、開発者はどのようなセキュアコーディング研修を求めているのでしょうか。この問いに答えるため、Secure Code WarriorがEvans Data Corp*と共同で実施した、セキュアコーディング、セキュアコーディングの実践、およびセキュリティ運用に対する開発者の意識調査から得られた知見を見ていきましょう。（ホワイトペーパーのダウンロードはこちら）

開発者が求める研修の種類について、その答えは非常に明確です。 75%の開発者が、構造化されたオン・ザ・ジョブ・トレーニング（OJT）を好み、それが最も効果的で満足度の高い学習方法であると回答しています。また、研修に何を含めるべきかという点についても、開発者からは非常に明確で具体的な要望が寄せられています。

• 65%が言語固有の脆弱性に関する研修が必要と回答
• 65%がOWASP Top 10に関する研修の拡充を希望
• NIST（58%）、CIS（52%）、PCI DSS（50%）など、コンプライアンス・セキュリティ・フレームワークへの注力を求める声も多数
• 78%が研修の一環として、非公式なピアコーチングやガイダンスを希望
  

開発者は非構造的な学習よりも構造化されたコースを強く好みますが、その提供方法は極めて重要です。もちろん、ここで別の重要な疑問が生じます。

開発者はどのような学習方法を好むのでしょうか？

開発者は座学を好まず、実際に手を動かして試すことを望んでいます。彼らが求めているのは実践的な応用であり、現在の研修プログラムにはそれが著しく欠けています。企業研修の改善点として、30%の回答者が「実践的な応用、特に実際の業務シナリオに基づいた内容」を挙げています。

開発者向け研修には、実践的かつ言語・フレームワーク固有の「ゲーミフィケーション」を取り入れたコーディング課題を含む、ガイド付きの学習パスを提供する人間主導のアプローチが必要です。役割に応じた「ゲーミフィケーション」研修は開発者の意欲を大きく高め、組織が特定の脆弱性に焦点を当てた学習を開発者に提供できるよう、学習モジュールを構成可能です。

開発者が求める研修を実現する、スキルベースの構造化された学習パスを通じて、ソフトウェアセキュリティを開発プロセスに不可欠な要素にする方法については、デモをリクエスト してください。

「インタラクティブなシミュレーションのおかげで、コード内のセキュリティ脆弱性を特定し、批判的に考えて解決策や複数の解決策を見つける力が養われました。コードを新しい視点で見られるようになり、実践的な学習は大きな喜びをもたらしてくれました！」
‍ソフトウェアエンジニア、金融サービス業‍

‍
*「事後対応から予防へ：変容するアプリケーションセキュリティ」Secure Code WarriorおよびEvans Data Corp. 2020年