よりセキュアなコーディング結果を得るためのセキュアコードトレーニングの設定方法

開発者向けのセキュアなコードトレーニングに関しては、教育上の成果にはまだまだ多くの課題があります。多くの企業が多額の費用を費やしても、実際には最小限の利益しか得られません。そして、少し不思議ではありません。 現在の調査*によると、開発者は安全なコードを学ぶのは退屈で、安全なコードを実装する方法を学ぶのは難しいと考えています。 セキュアコーディングトレーニングには新しいアプローチが必要なため、Secure Code Warriorは2020年にEvans Data Corp. と協力して、セキュアコーディング、セキュアコードプラクティス、およびセキュリティ運用に対する開発者の態度に関する一次調査を実施しました（ホワイトペーパーをダウンロード） ここに)。

提供されているトレーニングを批評する機会を与えられたとき、開発者は現在のセキュアコードトレーニングは次のようなものだと主張し、惜しみなく主張しました。

• 真空での授業-40%
• 理論的すぎて、仕事とは無関係で、「実践的」では足りない-40%
• まれにしか発生せず、仕事やエンゲージメントと無関係な場合が多い（30%）
  

これらの統計は深刻です。現在のセキュア・コード・トレーニングは文脈的に無関係であり、開発者が日常的に行っていることと有意義な関係がないことを示しています。

多くの場合、学んだことを職場環境に適用することはできません。そのため、これだけのセキュリティトレーニングは時間とお金の無駄になります。

開発者が求めるトレーニングを構築する 5 つの方法

開発者がどのようなトレーニングを希望するかということになると、5 つのことがはっきりしていました。

1. ‍開発者の 75% が体系的なオンザジョブトレーニングを好む、それが最も効果的で満足のいく学習方法だと感じています。
   
   そして、そのトレーニングに何を含めるべきかということになると、開発者には非常に明確で具体的な質問がいくつかあります。
2. 65% 言語特有の脆弱性についてのさらなるトレーニングが必要だと言う
3. 65% でもっとトレーニングしたい OWASP トップ 10.
4. 多くの人はまた焦点を当てたいと思っています コンプライアンスセキュリティフレームワーク、NIST (58%)、CIS (52%)、PCI DSS (50%) を含みます。
5. 78% そのトレーニングの一環として、非公式のピアコーチングとガイダンスを望んでいます。

しかし何よりも、開発者は実践的で日常業務に根ざした安全なコードトレーニングを求めています。開発者は座って講師の話を聞きたくありません。何かを実際に手に取り、自分で試してみたいと思っています。彼らは、現在のトレーニングプログラムにはまったく欠けている実用的なアプリケーションに焦点を当てたいと考えています。調査対象の開発者によると、優れたトレーニングの特徴のトップ5は以下のとおりです。

• 実際の作業シナリオを示す、より実践的なトレーニング（30％）。
• 特定のコードや脆弱性に焦点を当てたガイド付きアクティビティ (24%)
• より多くの例やユースケースを含めること（24%）トレーニングを受けることによる具体的なメリット（20% 未満）チームビルディングの演習をより多く取り入れている（20% 未満）。
• トレーニングを受けることには目に見えるメリットがあります。
• より多くのチームビルディング演習を取り入れています。
  

開発者が望んでいる セキュアコードトレーニング それは基本的なスキルと真の認識を身につけるものです。安全なコーディングスキルは雇用主から強く望まれ、認められているため、開発者は、特に新しい仕事に応募する際に、仲間との差別化を図りたいという熱意を示しています。技術的な習熟度や専門スキルを証明したい開発者は、長い間、正式な認定プログラムを利用してきました。認定資格取得のための体系的なトレーニングプログラムを探しているかどうかを尋ねたところ、70% がこれらのプログラムを探していると回答しました。主な動機は、習得したスキルが公式に認められ、仕事の効率が上がり、会社にとってかけがえのない存在になることを求めることでした。

教育成果を向上させるには、開発者中心のトレーニングが鍵となります。構造化された安全なコードトレーニングは開発者にとって望ましいものですが、それは開発者が望むものを提供する場合に限られます。課題に立ち向かい、開発者のニーズに合わせてセキュアコードトレーニングを再構成する企業は、繰り返し発生する脆弱性が減り、コード配信が速くなり、その両方によって得られる評判の向上というメリットを享受できます。

明らかな証拠は、開発者が現実世界で直面している問題を模倣した課題を伴う関連するプログラミング言語とフレームワークについて、状況に応じた実践的な教育を求めているということです。Secure Code Warriorは、セキュア・コーディングにおける変化の推進者として、人間主導のアプローチで開発者の要求に応えています。安全なコードをより早くリリースするチームの能力にどのような影響があるかを知りたい場合は、 今すぐデモを申し込む。

*対応から防止への移行：アプリケーションセキュリティの様相は変わりつつあります。 セキュア・コード・ウォリアーとエバンス・データ・コーポレーション 2020