Warum Schulungen zum Thema sicheres Programmieren nicht effektiv sind (und was Sie dagegen tun können)

Langweilig, langweilig, langweilig! Das ist eine der häufigsten Antworten, die Sie von Entwicklern hören werden, wenn es um Schulungen zum Thema sicheres Programmieren geht. Wir bei Secure Code Warrior sind der Meinung, dass es eine bessere Lösung geben muss. Deshalb haben wir Evans Data Corp. beauftragt, eine Primärstudie über die Einstellung von Entwicklern zu sicherem Programmieren, sicheren Programmierpraktiken und Sicherheitsmaßnahmen durchzuführen (laden Sie sich Ihr Exemplar des Whitepapers herunter). hier).

In dem in Kürze erscheinenden Buch „Von der Reaktion zur Prävention: Das neue Gesicht der Anwendungssicherheit” wurden Entwickler zu ihren größten Problemen im Zusammenhang mit der aktuellen Schulung zum Thema sicheres Programmieren befragt, und die Antworten waren aufschlussreich.

Eine Ausbildung, die Entwickler herabwürdigt

40 % der befragten Entwickler waren der Meinung, dass sicheres Programmieren in einem Vakuum gelehrt wird. 40 % fanden, dass die Ausbildung zu theoretisch sei, keinen Bezug zu ihrer Arbeit habe und nicht „praxisorientiert” genug sei. 30 % stellten einen Mangel an Ausbildung in dem Sprachumfeld fest, in dem sie täglich arbeiten. Das ist gravierend, denn es zeigt uns, dass die derzeitige Ausbildung in sicherem Programmieren aus kontextueller Sicht nicht relevant ist und keinen wesentlichen Bezug zu der täglichen Arbeit der Entwickler hat.

Für viele Entwickler besteht die größte Herausforderung darin, bei lähmenden Tätigkeiten wach zu bleiben, die nicht effizient sind und sie nicht dazu veranlassen, die Sicherheit in den Mittelpunkt ihrer Bemühungen zu stellen. ‍

Die Ausbildung in einem abgeschotteten Umfeld hindert Entwickler daran, kognitive Verbindungen zwischen dem Labor und der realen Welt herzustellen.

Drei Dinge, die Entwickler von einer Schulung zum Thema sicheres Programmieren erwarten:

1. Die meisten Entwickler geben an, dass sie sich eine praxisorientiertere und besser auf ihren Arbeitsalltag zugeschnittene Ausbildung wünschen.
2. 65 % der Entwickler geben an, dass zusätzliche Schulungen zu sprachspezifischen Schwachstellen und den Top 10 der OWASP erforderlich sind.
3. 75 % der befragten Entwickler bevorzugen eine strukturierte Ausbildung am Arbeitsplatz.

Eine Schulung, die Entwicklern ermöglicht, Fortschritte zu erzielen

Im Bereich der berufsbegleitenden Weiterbildung bringen Entwickler ein gewisses Maß an Erfahrung und Vorwissen mit. Dies unterstreicht die Notwendigkeit eines „gerüsteten” Lernens. Dabei handelt es sich um eine strukturierte – oder aufeinander aufbauende – Ausbildung, die auf dem bereits vorhandenen Wissen des Entwicklers aufbaut. Das aufeinander aufbauende Lernen aktiviert und verbessert sowohl alle bisherigen Erfahrungen als auch den Erwerb neuer Fähigkeiten in kleinen Schritten. Dies macht es zum idealen Mittel für das Lernen am Arbeitsplatz.

Kompetenzen vermitteln, die Bestand haben

Was die Sicherheitsschulung für Entwickler angeht, wissen wir, dass diese die Methode des praktischen Lernens dem mühsamen statischen, theoriegeleiteten Lernen vorziehen. In diesem Sinne ist es unerlässlich, das sichere Codieren in einer hochrelevanten kontextbezogenen Umgebung zu erlernen. Als Vorreiter für Veränderungen im Bereich sicheres Programmieren Secure Code Warrior kontextbezogene und praktische Schulungen in den relevanten Programmiersprachen und Frameworks Secure Code Warrior , mit Herausforderungen, die denen ähneln, denen Entwickler in der realen Welt begegnen. Der Lehrinhalt umfasst mehr als 5.500 Herausforderungen und missions über 147 verschiedene Arten von Schwachstellen missions , darunter die sehr wichtigen Top 10 OWASP, OWASP Mobile Top 10, OWASP API Security Top 10 und CWE/SANS Top 25.

Wenn Sie sehen möchten, wie sich dies auf Ihre Teams und deren Fähigkeit auswirken könnte, schneller sicheren Code bereitzustellen, buchen Sie jetzt eine Demo jetzt.