为什么安全代码培训不起作用（以及你可以做些什么）

无聊，无聊，无聊！这是每当提到安全代码培训时，你都会从开发人员那里听到的主要回应之一。在 Secure Code Warrior，我们认为必须有更好的方法，因此我们与 Evans Data Corp. 合作，对开发人员对安全编码、安全代码实践和安全运营的态度进行了初步研究（下载您的白皮书副本） 这里）。

在即将发布的版本中 从反应转向预防：应用程序安全性不断变化的面貌，开发人员被问及他们在当前安全代码培训中遇到的主要问题——答案很有启发性。

让开发人员失望的培训

40% 的受访开发者 我觉得安全编码是在真空中教的。另有40％的人认为培训过于理论化，与他们的工作无关，不够 “动手”。30％的人认为他们每天使用的语言框架缺乏培训。这很严重，因为它告诉我们，当前的安全代码培训与上下文无关，与开发人员的日常工作没有任何有意义的关系。

对于许多开发人员来说，他们的主要挑战是在乏味、无动于衷的活动中保持清醒，这些活动既无效，也不能激励他们将安全放在首位。‍

在真空中进行培训会使开发人员无法在实验室和现实世界之间建立认知联系。

开发人员希望从安全代码培训中获得三件事：

1. 绝大多数开发人员表示，他们想要的培训更加亲身实践，更符合他们的日常工作。
2. 65% 的开发人员表示需要更多培训 特定语言的漏洞 还有 OWASP 前 10 名。
3. 75% 的受访开发人员更喜欢结构化的在职培训。

提高开发人员能力的培训

在职培训方面，开发人员会带来一定水平的经验和现有知识。这表明需要 “脚手架” 学习。这是一种结构化（或脚手架）的培训，旨在建立在开发人员已经知道的基础上。脚手架式教育既能激活和增强任何先前的经验，又能继续逐步培养新技能。这使其成为在职学习的完美手段。

传授坚持不懈的技能

在开发人员安全培训方面，我们知道开发人员更喜欢边做边学的方法，而不是基于理论的静态学习的繁琐工作。从这个意义上讲，学习在高度相关的上下文环境中安全地编程是关键。作为安全编码变革的拥护者，Secure Code Warrior以相关的编程语言和框架提供情境式的实践教育，其挑战模仿开发人员在现实世界中面临的挑战。学习内容包括超过5,500个挑战和任务，涵盖超过147种不同的漏洞类型，包括最重要的OWASP前10名、OWASP移动版前10名、OWASP API安全性前10名和CWE/SANS前25名。

如果您想了解对团队的潜在影响以及他们更快地交付安全代码的能力， 预订演示 现在。