Entwickler haben die Motivation, etwas über sicheres Coding zu lernen... warum also tun sie es nicht?

Was sind die Hauptmotivationen von Entwicklern, wenn es darum geht, etwas über sichere Codierung zu lernen, und wie können sie genutzt werden, um ein erfolgreiches Anwendungssicherheitsprogramm zu entwerfen und zu implementieren? Im Jahr 2020 hat Secure Code Warrior in Zusammenarbeit mit Evans Data Corp. eine primäre Studie über die Einstellung von Entwicklern zu sicherem Coding, sicheren Code-Praktiken und Sicherheitsoperationen durchgeführt (Whitepaper herunterladen hier).

Bei Umfragen geben Entwickler an, dass sie den Wert von Schulungen für sicheren Code erkennen. Und 80 % der Entwicklungsmanager geben an, dass sie eher Entwickler mit sicheren Code-Fähigkeiten einstellen würden. Warum also gibt es angesichts der hohen Nachfrage nach diesen Fähigkeiten immer noch einen solchen Mangel an sicherheitsgeschulten Entwicklern? 

Mangelnde Motivation auf Seiten der Entwickler scheint nicht das Kernproblem zu sein. Die Entwickler sind motiviert, und auf die Frage nach den Quellen ihrer Motivation für das Erlernen von Secure-Code-Schulungen sagten sie uns Folgendes:

• 35% der Befragten wurden von unternehmensbezogenen Bedenken angetrieben
• 24% waren aus persönlichen Gründen motiviert
• 41% wurden sowohl von persönlichen als auch von Unternehmensmotiven angetrieben. 
  

Und als wir ein wenig tiefer gruben, fanden wir heraus, dass die Top 5 persönlichen Motivatoren für sicheres Codetraining sind:

1. Erhöhte Produktivität und Effizienz
2. Neugierde/persönliches Interesse
3. Vermeidung von Problemen, die durch unsicheren Code verursacht werden
4. Potenzieller Karriereaufstieg
5. Effizientere Nutzung der Humanressourcen

Wenn man unternehmensbezogene Motivationen berücksichtigt, verstehen Entwickler, wie das Erlernen von sicheren Code-Praktiken die Produktivität steigern könnte. Manager können erkennen, wie das Praktizieren von sicherem Code eine effizientere Nutzung ihrer Personalressourcen ermöglichen könnte. Und während sich die Motivationen von Region zu Region unterscheiden, bleibt auf globaler Ebene der Wunsch nach erhöhter Produktivität und Effizienz die einzige Konstante.

‍

Allerdings werden Entwickler nicht immer durch äußere Faktoren, wie z. B. die Anforderungen des Arbeitgebers, dazu gebracht, sich mit sicherem Coding zu beschäftigen. In vielen Fällen sind die Entscheidungen selbstmotiviert. Entwicklern ist wichtig, was sie erschaffen und sie sind stolz auf ihre Arbeit, wie ein Blick auf die vier wichtigsten Gründe zeigt, die Entwickler dazu bewegen, sich mit sicherer Programmierung zu beschäftigen. Während 25% der Entwickler sagen, dass sie einen Mehrwert für ihr Unternehmen schaffen wollen, sagt der gleiche Prozentsatz, dass sie die Qualität ihres Codes verbessern möchten. Für andere geht es um Ansehen, Sichtbarkeit und Anerkennung am Arbeitsplatz. 70 % sagen, dass sie von ihrem Unternehmen anerkannt werden, wenn sie sicheren Code schreiben. Und, wie bereits erwähnt, stellen 80 % der Entwicklungsleiter eher Entwickler mit sicheren Programmierfähigkeiten ein.

Entwickler sind motiviert - warum also sind sie nicht engagierter? 

Wenn sicherheitskompetente Entwickler so geschätzt werden und die Motivation zum Lernen vorhanden ist, warum sind sie dann so knapp bei uns?

Wie wir gesehen haben, haben Entwickler klare Gründe, ihre Fähigkeiten zur sicheren Programmierung zu verbessern, sind aber nach wie vor abgeneigt gegenüber einem Großteil der aktuellen Sicherheitsschulungen, die es gibt. Nur sehr wenige suchen sie auf. Basierend auf dieser Untersuchung glauben wir, dass die Antwort relativ einfach ist: Das derzeit verfügbare Training für sicheres Coding ist unzureichend, weil es die Schlüsselfaktoren nicht vollständig anspricht, die Entwickler überhaupt erst zu sicherem Coding hinführen.

Schauen wir uns jeden dieser Faktoren an. 

Wenn es darum geht, den Wert und die Effizienz zu steigern und die Qualität ihres Codes zu verbessern, brauchen Entwickler eine Schulung, die sicheres Coding zu einem festen Bestandteil ihres täglichen Prozesses macht. Sie müssen in der Lage sein, Schwachstellen während des Programmierens zu identifizieren und zu beheben - und zwar von Anfang an. Um maximale Relevanz und unmittelbare Anwendbarkeit zu gewährleisten, sollte dieses Training in der spezifischen Sprache:Framework stattfinden, die sie jeden Tag verwenden. Traditionelle Schulungsansätze bieten dies nicht und viele Entwickler finden sie unglaublich langweilig und irrelevant.

Als Verfechter des Wandels in der sicheren Programmierung macht Secure Code Warrior sichere Programmierung zu einer positiven und ansprechenden Erfahrung für Entwickler. Wir sind der Meinung, dass Schulungen so gestaltet sein müssen, dass sie Entwickler dazu inspirieren, lernen zu wollen. Dies erfordert "praxisnahe, interaktive und arbeitsrelevante Simulationen und Herausforderungen, die die Teilnehmer dazu inspirieren, von Anfang an Sicherheitsfunktionen in ihren Code einzubauen. Dieser hochgradig interaktive, entwicklerzentrierte Schulungsansatz stellt die Motivation der Entwickler zum Lernen in den Mittelpunkt Ihres Programms für Anwendungssicherheit. Wenn Sie sehen möchten, wie das alles zusammenkommt, buchen Sie jetzt eine Demo.

‍