如何配置安全代码培训以实现更好的安全编码成果

在开发人员的安全代码培训方面，教育成果往往不尽如人意。许多公司投入巨资，却发现实际成效甚微。这并不令人意外。 现有研究*表明，开发人员认为学习安全代码枯燥乏味，且掌握如何实现安全代码极具挑战性。 我们需要采用新的安全编码培训方法，因此在 2020 年，Secure Code Warrior 与 Evans Data Corp. 合作，针对开发人员对安全编码、安全代码实践和安全运营的态度进行了基础研究（点击此处下载白皮书）。

当有机会对现有的培训进行评价时，开发人员直言不讳，称当前的安全代码培训存在以下问题：

• 脱离实际 - 40%
• 过于理论化，与工作脱节，且缺乏“实操性” - 40%
• 频率过低，与工作关联度不高，且缺乏吸引力 - 30%。
  

这些数据不容忽视；它们告诉我们，当前的安全代码培训缺乏语境关联，与开发人员的日常工作没有实质性的联系。

通常，他们无法将所学知识应用到工作环境中。这使得大量的安全培训沦为对时间和金钱的浪费。

打造开发人员所需培训的五种方法

谈到开发人员真正需要的培训类型时，有五点非常明确。

1. ‍75% 的开发人员更倾向于结构化的在职培训，认为这是最有效且最令人满意的学习方式。
   
   至于培训应包含的内容，开发人员提出了非常明确的具体要求：
2. 65% 的人表示需要更多针对特定语言漏洞的培训
3. 65% 的人希望加强对 OWASP Top 10 的培训。
4. 许多人还希望重点关注 合规安全框架，包括 NIST (58%)、CIS (52%) 和 PCI DSS (50%)。
5. 78% 的人希望将非正式的同行辅导和指导纳入培训的一部分。

但最重要的是，开发人员需要的是实用且植根于日常工作场景的安全代码培训。他们不想坐在那里听讲座，而是希望亲自动手尝试。他们希望重点关注实际应用——这正是当前培训项目所严重缺乏的。根据我们调查的开发人员反馈，优质培训的五大特征如下：

• 更具实操性的培训，展示真实工作场景 (30%)。
• 针对特定代码或漏洞的引导式活动 (24%)。
• 包含更多示例或用例 (24%) 提供参加培训的具体优势 (<20%) 纳入更多团队建设练习 (<20%)。
• 提供参加培训的切实益处。
• 纳入更多团队建设练习。
  

开发人员希望 安全代码培训 能够传授基本技能并获得真正的认可。由于安全编码技能深受雇主青睐和认可，开发人员表现出强烈的意愿来提升自身竞争力，特别是在申请新工作时。为了展示技术造诣或专业技能，开发人员长期以来一直使用正式的认证项目。当被问及是否寻求结构化的认证培训项目时，70% 的人表示他们正在寻找此类项目。其主要动机在于寻求对所学技能的官方认可、提高工作效率以及成为公司不可或缺的人才。

要获得更好的教育成果，以开发人员为中心的培训是关键。结构化的安全代码培训对开发人员很有吸引力，但前提是它必须满足他们的需求。那些勇于迎接挑战并根据开发人员需求重新配置安全代码培训的公司，将获得减少漏洞复发、加快代码交付速度以及提升企业声誉等多重收益。

明确的证据表明，开发人员需要的是在相关编程语言和框架中，结合真实世界挑战的语境化、实操性教育。作为安全编码变革的倡导者，Secure Code Warrior 采取以人为本的方法来满足开发人员的需求。如果您想了解这对提升团队更快交付安全代码的能力有何潜在影响，立即申请演示。

*从被动反应转向主动预防：应用安全的新面貌。 Secure Code Warrior 与 Evans Data Corp. 2020