現在のセキュアコードトレーニングは開発者を失望させている

データ漏えいとそのコストが増え続ける中、世界で生成されるコードの量は、セキュリティの専門家だけでは処理できないほど大きくなっています。企業には安全なコーディングスキルを持つ開発者が必要であり、開発者はキャリアアップのためにこれらのスキルが必要であることを知っています。しかし、現在のセキュア・コード・トレーニングは彼らを失望させています。では、セキュア・コード・トレーニングに関して、開発者は何を求めているのでしょうか。この質問に答えるために、Secure Code WarriorがEvans Data Corp*と共同で実施した、安全なコーディング、安全なコードプラクティス、およびセキュリティ運用に対する開発者の態度に関する最近の調査から得られた洞察を見てみましょう。。(ホワイトペーパーをダウンロード ここに)。

開発者がどのようなトレーニングを希望するかというと、答えは明らかです。 開発者の 75% は、体系的なオンザジョブトレーニングが最も効果的で満足のいく学習方法であると回答しています。また、そのトレーニングに何を含めるべきかということになると、開発者には非常に明確で具体的な質問があります。

• 65% が、言語特有の脆弱性に関するトレーニングが必要だと回答
• 65% がOWASPトップ10でもっとトレーニングを受けたいと回答しています
• また、多くの人が、NIST（58％）、CIS（52％）、PCI DSS（50％）などのコンプライアンスセキュリティフレームワークに焦点を当てたいと考えています。
• 78% が、研修の一環として同僚との非公式なコーチングやガイダンスを希望している
  

しかし、開発者は非構造化された学習よりも構造化されたコースワークを強く好む一方で、コースワークの提供方法は クリティカル。もちろん、これは別の重要な疑問を提起します。

開発者はどのような方法で学ぶことを好むのでしょうか？

開発者は座って講師の話を聞きたくありません。何かを実際に手に取って自分で試してみたいと思っています。彼らは、現在のトレーニングプログラムにはまったく欠けている実用的なアプリケーションに焦点を当てたいと考えています。企業が提供するトレーニングをどのように改善できるかを尋ねたところ、回答者の 30% が、実践的な応用、特に本物の作業シナリオに焦点を当てたトレーニングを希望していると回答しました。

開発者向けトレーニングには、ハンズオン形式と言語:フレームワーク固有の「ゲーム化された」コーディング課題を含む、ガイド付きの学習経路を提供する、人間主導のアプローチが必要です。役割指定の「ゲーム化された」トレーニングは、組織が特定の脆弱性に対して開発者の学習対象を絞ることができる構成可能な学習モジュールにより、開発者の関心を高めます。

開発者が求めるトレーニングを提供できる、構造化されたスキルベースのパスウェイを活用して、ソフトウェアセキュリティを開発プロセスの本質の一部にする方法を見つけるには、 デモをリクエストする 今。

「インタラクティブなシミュレーションは、コード内のセキュリティの脆弱性を特定し、批判的に考え、解決策または複数の解決策を見つけるのに役立ちます。私は新しい視点からコードを見てきました。実際に触れることで大きな喜びを得ることができました。」
‍金融サービス担当ソフトウェアエンジニア‍

‍
*対応から防止への移行：アプリケーションセキュリティの様相は変わりつつあります。 セキュア・コード・ウォリアーとエバンス・データ・コーポレーション 2020