Gründe, warum Secure-Code-Schulungen nicht funktionieren (und was man dagegen tun kann)

Langweilig, langweilig, langweilig! Das ist eine der Antworten, die Entwickler oft geben, wenn es um Secure-Code-Schulungen geht. Wir bei Secure Code Warrior sind der Meinung, dass es einen besseren Weg geben muss. Deshalb haben wir in Zusammenarbeit mit Evans Data Corp. eine Primärstudie durchgeführt, um die Einstellung von Entwicklern zu sicherem Codieren, sicheren Codierungspraktiken und Sicherheitsmaßnahmen zu untersuchen (Whitepaper herunterladen). Hier).

Der baldige Übergang von der Reaktion zur Prävention: Veränderungen in der Anwendungssicherheit. Als wir Entwickler nach den größten Problemen beim aktuellen Training für sicheres Programmieren fragten, war die Antwort eindeutig.

Entwickler enttäuschende Schulungen

40 % der befragten Entwickler hatten den Eindruck, dass sicheres Programmieren in einem Vakuum gelehrt wird. Weitere 40 % empfanden die Schulungen als zu theoretisch, nicht arbeitsrelevant und als „praxisfern“ unzureichend. 30 % gaben an, dass ihnen das Training für die Sprachen und Frameworks, mit denen sie täglich arbeiten, fehlt.Dies ist ein ernstes Problem, da die derzeitigen Schulungen zum sicheren Programmieren keinen Bezug zum Kontext haben und den Entwicklern vermitteln, dass sie keinen sinnvollen Bezug zu ihrer täglichen Arbeit haben.

Für viele Entwickler besteht die größte Herausforderung darin, während der endlosen Hands-off-Aktivitäten wach zu bleiben. Diese Aktivitäten sind weder effektiv noch legen sie Wert auf Sicherheit.

Wenn Entwickler in einer isolierten Umgebung trainieren, können sie keine kognitive Verbindung zwischen dem Labor und der realen Welt herstellen.

Drei Dinge, die Entwickler von einer Schulung zum Thema sicheres Programmieren erwarten:

1. Die überwiegende Mehrheit der Entwickler gibt an, dass sie sich praxisorientiertere Schulungen wünschen, die besser auf ihre täglichen Aufgaben zugeschnitten sind.
2. 65 % der Entwickler geben an, dass mehr Schulungen erforderlich sind, um sprachspezifische Schwachstellen und die OWASP Top 10zu behandeln.
3. 75 % der befragten Entwickler wünschen sich systematische praktische Schulungen.

Training zur Motivation von Entwicklern

In Bezug auf OJT (praktische Ausbildung) verfügen Entwickler über ein gewisses Maß an Erfahrung und vorhandenes Wissen. Dies zeigt, dass ein „gerüstbasiertes“ Lernen erforderlich ist. Dabei handelt es sich um eine Ausbildung, die auf dem bereits vorhandenen Wissen der Entwickler aufbaut, also um eine gerüstbasierte Ausbildung. Die gerüstbasierte Ausbildung belebt und verbessert die bisherigen Erfahrungen und vermittelt gleichzeitig nach und nach neue Fähigkeiten. Daher ist sie das optimale Mittel für die praktische Ausbildung.

Vermittlung von sich festigenden Fähigkeiten

Was die Sicherheitsschulungen für Entwickler angeht, so ist bekannt, dass Entwickler praxisorientierte Lernmethoden gegenüber mühsamen theoretischen statischen Lernmethoden bevorzugen. In diesem Sinne ist es wichtig, dass sie in einem relevanten und situationsbezogenen Umfeld lernen, wie man sicher programmiert. Als Vorreiter für Veränderungen im Bereich Secure Coding bietet Secure Code Warrior praxisorientierte Schulungen zu relevanten Programmiersprachen und Frameworks, die sich mit den Herausforderungen befassen, denen Entwickler in der realen Welt begegnen.Die Lerninhalte umfassen mehr als 5.500 Aufgaben und Missionen zu über 147 verschiedenen Arten von Schwachstellen, darunter die wichtigsten OWASP Top 10, OWASP Mobile Top 10, OWASP API Security Top 10 und CWE/SANS Top 25.

Wenn Sie die potenziellen Auswirkungen auf Ihr Team und die Fähigkeit, sicheren Code schneller bereitzustellen, überprüfen möchten, Demo buchen jetzt.