So konfigurieren Sie Secure Code-Schulungen für bessere Ergebnisse bei der sicheren Codierung

Wenn es um die Schulung von Entwicklern in sicherem Code geht, lassen die Ergebnisse der Ausbildung viel zu wünschen übrig. Viele Unternehmen geben viel Geld aus, um dann in der Praxis nur minimale Ergebnisse zu erzielen. Und das ist kein Wunder. Aktuelle Untersuchungen* zeigen, dass Entwickler glauben, dass das Erlernen von sicherem Code langweilig ist und dass das Erlernen der Implementierung von sicherem Code eine Herausforderung darstellt. Es werden neue Ansätze für die Schulung von sicherem Code benötigt. Daher hat Secure Code Warrior im Jahr 2020 gemeinsam mit Evans Data Corp. eine Primärstudie über die Einstellung von Entwicklern zu sicherem Code, sicheren Code-Praktiken und Sicherheitsoperationen durchgeführt (Whitepaper herunterladen hier).

Als man den Entwicklern die Möglichkeit bot, das angebotene Training zu kritisieren, waren sie schonungslos und behaupteten, dass das derzeitige Training für sicheren Code schlecht sei:  

• Unterrichtet im Vakuum - 40% 
• Zu theoretisch, ohne Bezug zu ihrer Arbeit und nicht "praxisnah" genug - 40% 
• Oft unregelmäßig, nicht mit ihrer Arbeit verbunden oder engagiert - 30%.
  

Diese Statistiken sind ernst zu nehmen; sie sagen uns, dass das derzeitige Training für sicheren Code kontextuell irrelevant ist, ohne sinnvolle Beziehung zu dem, was Entwickler jeden Tag tun. 

Oft können sie das Gelernte nicht in ihrer Arbeitsumgebung anwenden. Das macht so viele Sicherheitsschulungen zu einer Verschwendung von Zeit und Geld. 

Fünf Wege, um die von Entwicklern gewünschten Schulungen zu erstellen

Wenn es darum geht, welche Art von Training die Entwickler wünschen, waren fünf Dinge überdeutlich. 

1. 75 % der Entwickler bevorzugen ein strukturiertes Training am Arbeitsplatz und halten es für die effektivste und zufriedenstellendste Art des Lernens.
   
   Und wenn es darum geht, was dieses Training beinhalten sollte, haben die Entwickler einige sehr klare und spezifische Wünsche: 
2. 65 % sagen, dass mehr Schulungen zu sprachspezifischen Schwachstellen erforderlich sind
3. 65 % wünschen sich mehr Schulungen zu den OWASP Top 10.
4. Viele wünschen sich auch einen Fokus auf Compliance-Sicherheits-Frameworks, darunter NIST (58%), CIS (52%) und PCI DSS (50%).
5. 78 % wünschen sich informelles Peer-Coaching und Beratung als Teil dieser Schulung.

Aber vor allem wollen Entwickler eine sichere Code-Schulung, die praktisch ist und im Kontext ihrer täglichen Arbeit steht. Entwickler wollen nicht herumsitzen und Dozenten zuhören - sie wollen die Dinge selbst in die Hand nehmen und sie ausprobieren. Sie wollen einen Fokus auf praktische Anwendungen - etwas, das in den aktuellen Schulungsprogrammen schmerzlich vermisst wird. Laut den von uns befragten Entwicklern sind die Top-5-Merkmale einer guten Schulung folgende: 

• Mehr praktisches Training, das reale Arbeitsszenarien zeigt (30 %). 
• Geführte Aktivitäten, die sich auf bestimmten Code oder Schwachstellen konzentrieren (24 %).
• Inclusion of more examples or use cases (24%) Provides some concrete advantage to taking the training (<20%) Incorporates more team-building exercises (<20%). 
• Bietet einen greifbaren Nutzen für die Teilnahme an der Schulung. 
• Beinhaltet mehr Übungen zur Teambildung.
  

Entwickler wünschen sich eine Schulung in sicherem Code, die ihnen grundlegende Fähigkeiten vermittelt - und echte Anerkennung. Da sichere Programmierkenntnisse von Arbeitgebern sehr erwünscht und anerkannt sind, haben Entwickler ihren Enthusiasmus unter Beweis gestellt, um sich von ihren Kollegen abzuheben, insbesondere wenn sie sich für neue Stellen bewerben. Entwickler, die ihre technische Beherrschung oder ihre speziellen Fähigkeiten unter Beweis stellen wollen, nutzen seit langem formale Zertifizierungsprogramme. Auf die Frage, ob sie nach strukturierten Schulungsprogrammen für die Zertifizierung suchten, gaben 70 % an, dass sie nach solchen Programmen suchten. Die wichtigsten Beweggründe waren die offizielle Anerkennung der erworbenen Fähigkeiten, die Steigerung der Arbeitseffizienz und die Tatsache, dass sie für ihr Unternehmen von unschätzbarem Wert sind.

Wenn es um bessere Ausbildungsergebnisse geht, sind entwicklerzentrierte Schulungen der Schlüssel. Strukturiertes Secure Code Training ist für Entwickler wünschenswert - aber nur, wenn es ihnen das bietet, was sie wollen. Unternehmen, die sich der Herausforderung stellen und ihre Secure-Code-Schulungen auf die Bedürfnisse der Entwickler abstimmen, werden von weniger wiederkehrenden Schwachstellen, schnellerer Codebereitstellung und dem damit verbundenen besseren Ruf profitieren.

Es gibt eindeutige Beweise dafür, dass Entwickler eine kontextbezogene, praxisnahe Ausbildung in relevanten Programmiersprachen und Frameworks mit Herausforderungen wünschen, die denen in der realen Welt ähneln. Als Verfechter des Wandels im Bereich der sicheren Programmierung verfolgt Secure Code Warrior einen von Menschen geführten Ansatz, um die Wünsche der Entwickler zu erfüllen. Wenn Sie die potenziellen Auswirkungen auf die Fähigkeit Ihrer Teams, sicheren Code schneller auszuliefern, sehen möchten, jetzt eine Demo anfordern.

*Shifting from reaction to prevention: The changing face of application security. Secure Code Warrior und Evans Data Corp. 2020