Aktuelle Securecode-Schulungen lassen Entwickler im Stich

Da Datenschutzverletzungen und ihre Kosten weiter steigen, ist das Volumen des in unserer Welt produzierten Codes zu groß, als dass Sicherheitsexperten es alleine bewältigen könnten. Unternehmen benötigen Entwickler mit Fähigkeiten zur sicheren Programmierung — und Entwickler wissen, dass sie diese Fähigkeiten benötigen, um ihre Karriere voranzutreiben. Aber das aktuelle Training im Bereich Secure Code lässt sie im Stich. Was wollen Entwickler also, wenn es um sicheres Code-Training geht? Um diese Frage zu beantworten, schauen wir uns einige Erkenntnisse aus einer kürzlich von Secure Code Warrior mit Evans Data Corp* durchgeführten Studie über die Einstellung von Entwicklern zu sicherem Programmieren, sicheren Codepraktiken und Sicherheitsoperationen an . (Whitepaper herunterladen hier).

Wenn es um die Art der Schulung geht, die sich Entwickler wünschen, ist die Antwort glasklar. 75% der Entwickler bevorzugten eine strukturierte Schulung am Arbeitsplatz, da sie sie für die effektivste und befriedigendste Art des Lernens hielten. Und wenn es darum geht, was diese Schulung beinhalten sollte, haben die Entwickler einige sehr klare und spezifische Fragen:

• 65% geben an, dass sie in Bezug auf sprachspezifische Sicherheitslücken geschult werden müssen
• 65% wünschen sich mehr Training in den OWASP Top 10
• Viele wollen sich auch auf Compliance-Sicherheitsrahmen konzentrieren, darunter NIST (58%), CIS (52%) und PCI DSS (50%)
• 78% wünschen sich informelles Peer-Coaching und Beratung als Teil dieses Trainings
  

Aber obwohl Entwickler strukturierte Kursarbeit unstrukturiertem Lernen vorziehen, ist die Art und Weise, wie diese Kursarbeit vermittelt wird, kritisch. Dies wirft natürlich eine weitere entscheidende Frage auf:

Wie lernen Entwickler am liebsten?

Entwickler wollen nicht herumsitzen und den Dozenten zuhören — sie wollen Dinge in die Finger bekommen und sie selbst ausprobieren. Sie wollen sich auf praktische Anwendungen konzentrieren — etwas, das aktuellen Schulungsprogrammen schmerzlich fehlt. Auf die Frage, wie die vom Unternehmen angebotenen Schulungen verbessert werden könnten, gaben 30% der Befragten an, dass sie es begrüßen würden, wenn die Schulung auf praktische Anwendungen und insbesondere auf authentische Arbeitsszenarien ausgerichtet wäre.

Die Schulung von Entwicklern erfordert einen von Menschen geleiteten Ansatz, der geführte Lernpfade bietet, die „gamifizierte“ Programmierherausforderungen beinhalten, die sowohl praxisnah als auch sprache:framework-spezifisch sind. Rollenspezifische „spielerische“ Schulungen fördern das Engagement der Entwickler in hohem Maße. Die konfigurierbaren Lernmodule ermöglichen es einem Unternehmen, das Lernen der Entwickler gezielt auf bestimmte Sicherheitslücken auszurichten.

Um herauszufinden, wie Sie Softwaresicherheit zu einem festen Bestandteil Ihres Entwicklungsprozesses machen können, indem Sie strukturierte, kompetenzbasierte Pfade verwenden, die die von Entwicklern gewünschten Schulungen bieten, fordern Sie eine Demo an jetzt.

„Die interaktiven Simulationen helfen Ihnen, Sicherheitslücken im Code zu identifizieren, fordern Sie heraus, kritisch zu denken und die Lösung oder mehrere Lösungen zu finden. Ich habe Code durch eine neue Linse gesehen, und es hat mir so viel Freude bereitet, selbst Hand anzulegen!“
‍Softwareingenieur, Finanzdienstleistungen‍

‍
*Übergang von der Reaktion zur Prävention: Das sich wandelnde Gesicht der Anwendungssicherheit. Secure Code Warrior und Evans Data Corp. 2020