セキュアコーディング研修が機能しない理由（と、その解決策）

「退屈、退屈、退屈！」セキュアコーディングのトレーニングについて話題にすると、開発者から必ずと言っていいほど返ってくる言葉です。Secure Code Warriorは、もっと良い方法があるはずだと考え、Evans Data Corp.と共同で、セキュアコーディングやセキュリティ対策、セキュリティ運用に対する開発者の意識調査を実施しました（ホワイトペーパーのダウンロードはこちら）。

In the soon-to-be-released Shifting from reaction to prevention: The changing face of application security, developers were asked about their main problems with current secure code training – and the answer was revealing.

開発者の意欲を削ぐトレーニング

調査対象の開発者の40%が、セキュアコーディングの学習が現場から切り離されていると感じています。また、40%が研修は理論に偏りすぎており、実際の業務と関連がなく、実践的ではないと回答しました。30%は、日常的に使用している言語やフレームワークに特化したトレーニングが不足していると指摘しています。これは深刻な問題です。現在のセキュアコーディング研修が文脈を無視しており、開発者の日々の業務と何ら有意義なつながりを持っていないことを示しているからです。

多くの開発者にとって最大の課題は、効果もなければセキュリティへの意識を高めることもない、退屈で受動的な研修中に集中力を維持することです。‍

現場から切り離されたトレーニングでは、開発者が学んだ知識と現実の業務を結びつけることができません。

開発者がセキュアコーディング研修に求める3つのこと：

1. 圧倒的多数の開発者が、より実践的で、日々の業務に即したトレーニングを求めています。
2. 65%の開発者が、言語固有の脆弱性やOWASP Top 10に関するトレーニングの強化を求めています。
3. また、調査対象の75%が、体系的なオン・ザ・ジョブ・トレーニング（OJT）を好むと回答しました。

開発者の成長を促すトレーニング

オン・ザ・ジョブ・トレーニングにおいて、開発者はそれぞれ一定の経験と知識を持っています。そのため、「足場かけ（スキャフォールディング）」による学習が必要です。これは、開発者がすでに持っている知識を土台として、段階的に積み上げていく構造的なトレーニングです。この手法は、既存の経験を活かしつつ、新しいスキルを小さな単位で習得できるため、現場での学習に最適です。

定着するスキルの習得

開発者向けのセキュリティ研修において、理論中心の退屈な学習よりも「実践による学習」が好まれることは明らかです。そのため、実際の業務環境に即した文脈の中でセキュアコーディングを学ぶことが重要です。セキュアコーディングの変革を推進するSecure Code Warriorは、関連性の高いプログラミング言語やフレームワークを用いた、実践的で文脈に沿った教育を提供します。開発者が現実の業務で直面する課題を模した演習を通じて、5,500以上のチャレンジとミッションを提供し、OWASP Top 10、OWASP Mobile Top 10、OWASP API Security Top 10、CWE/SANS Top 25など、147種類以上の脆弱性に対応しています。

チームへの影響や、より迅速にセキュアなコードをリリースする能力の向上について詳しく知りたい方は、デモをご予約ください。