Les développeurs ont envie de s'initier au codage sécurisé... alors pourquoi ne le font-ils pas ?

En ce qui concerne l'apprentissage du codage sécurisé, quelles sont les principales motivations des développeurs et comment les exploiter pour concevoir et mettre en œuvre un programme de sécurité des applications efficace ? En 2020, Secure Code Warrior s'est engagé avec Evans Data Corp. pour mener des recherches primaires sur les attitudes des développeurs à l'égard du codage sécurisé, des pratiques de code sécurisées et des opérations de sécurité. ‍

Interrogés, les développeurs affirment qu'ils voient l'intérêt d'une formation au code sécurisé. Et 80 % des responsables du développement affirment qu'ils sont plus susceptibles d'engager des développeurs dotés de compétences en matière de codage sécurisé. Alors que ces compétences sont si demandées, pourquoi y a-t-il toujours une telle pénurie de développeurs formés à la sécurité ?

Le manque de motivation des développeurs ne semble pas être le problème principal. Les développeurs sont motivés et lorsqu'on leur a demandé quelles étaient les raisons pour lesquelles ils ont suivi une formation au code sécurisé, ils nous ont répondu :

• 35 % des personnes interrogées étaient motivées par des préoccupations liées à l'entreprise
• 24 % étaient motivés pour des raisons personnelles
• 41 % étaient motivés à la fois par des motivations personnelles et professionnelles.
  

En creusant un peu plus, nous avons découvert que les 5 principaux facteurs de motivation personnels pour la formation au code sécurisé étaient les suivants :

1. Productivité et efficacité accrues
2. Curiosité/intérêt personnel
3. Éviter les problèmes causés par un code non sécurisé
4. Évolution de carrière potentielle
5. Utilisation plus efficace des ressources humaines

Lorsqu'ils examinent les motivations centrées sur l'entreprise, les développeurs comprennent comment l'apprentissage de pratiques de code sécurisées peut augmenter la productivité. Les responsables peuvent voir comment la pratique du codage sécurisé peut permettre une utilisation plus efficace de leurs ressources humaines. Et si les motivations varient d'une région à l'autre, à l'échelle mondiale, le désir d'accroître la productivité et l'efficacité reste une constante.
‍

‍

Cela dit, les développeurs ne sont pas toujours incités à se renseigner sur le codage sécurisé en raison de facteurs externes, tels que les exigences des employeurs. Dans de nombreux cas, les décisions sont motivées par elles-mêmes. Les développeurs se soucient de ce qu'ils créent et sont fiers de leur travail, comme le montre l'analyse des quatre principales raisons qui incitent les développeurs à étudier le codage sécurisé. Alors que 25 % des développeurs déclarent vouloir créer de la valeur pour leur entreprise, le même pourcentage déclare qu'ils aimeraient améliorer la qualité de leur code. Pour d'autres, tout est une question de félicitations, de visibilité et de reconnaissance sur le lieu de travail. 70 % déclarent être reconnus par leur entreprise lorsqu'un code sécurisé est écrit. Et, comme indiqué précédemment, 80 % des responsables du développement sont plus susceptibles d'engager des développeurs dotés de compétences en matière de codage sécurisé.

Les développeurs sont motivés, alors pourquoi ne sont-ils pas plus engagés ?

Si les développeurs compétents en sécurité sont si appréciés et qu'ils ont envie d'apprendre, pourquoi sont-ils si rares ?

Comme nous l'avons vu, les développeurs ont de bonnes raisons d'améliorer leurs compétences en matière de codage sécurisé, mais restent réticents à suivre la plupart des formations actuelles en matière de sécurité. Très peu le recherchent. Sur la base de cette recherche, nous pensons que la réponse est relativement simple : la formation au codage sécurisé actuellement disponible est inadéquate, car elle ne prend pas pleinement en compte les principaux facteurs qui incitent les développeurs à opter pour le codage sécurisé en premier lieu.

Examinons chacun de ces facteurs.

Quand il s'agit de augmentation de la valeur et de l'efficacité et améliorer la qualité de leur code, les développeurs ont besoin d'une formation qui intègre le codage sécurisé à leur processus quotidien. Ils ont besoin des compétences nécessaires pour identifier et corriger les vulnérabilités au fur et à mesure qu'ils codent, et ce, dès le début. Pour une pertinence maximale et une applicabilité immédiate, cette formation doit être dispensée dans le langage spécifique : cadre qu'ils utilisent au quotidien. Les approches de formation traditionnelles n'y parviennent pas et de nombreux développeurs les trouvent incroyablement ennuyeuses et peu pertinentes.

En tant que champion du changement en matière de codage sécurisé, Secure Code Warrior fait du codage sécurisé une expérience positive et engageante pour les développeurs. Nous pensons que la formation doit être dispensée de manière à donner envie aux développeurs d'apprendre. Cela nécessite « des simulations et des défis pratiques, interactifs et pertinents pour le travail qui incitent les participants à intégrer des fonctionnalités de sécurité dans leur code dès le départ. Cette approche de formation hautement interactive et centrée sur les développeurs place les motivations des développeurs à apprendre au cœur de votre programme de sécurité des applications. Si vous souhaitez voir comment tout cela se met en place, réservez un démo maintenant.

‍

‍