현재의 보안 코드 교육은 개발자들을 실망시키고 있다

데이터 유출과 그로 인한 비용이 계속 증가하는 가운데, 전 세계에서 생성되는 코드의 양은 보안 전문가만으로는 처리할 수 없을 정도로 커졌습니다. 기업은 안전한 코딩 기술을 갖춘 개발자가 필요하며, 개발자 역시 경력 발전을 위해 이러한 기술이 필요하다는 것을 알고 있습니다.그러나 현재의 보안 코드 교육은 그들을 실망시키고 있습니다. 그렇다면 보안 코드 교육에 대해 개발자들은 무엇을 원할까요? 이 질문에 답하기 위해, Secure Code Warrior가 Evans Data Corp*와 공동으로 진행한 최근 조사에서 얻은 통찰력을 살펴보겠습니다. 이 조사는 안전한 코딩, 안전한 코드 관행, 그리고 보안 운영에 대한 개발자들의 태도를 다루고 있습니다. (백서 다운로드 여기).

개발자가 어떤 교육을 원하는지에 대한 답은 분명합니다. 개발자의 75%가 체계적인 현장 실습 교육이 가장 효과적이고 만족스러운 학습 방법이라고 답했습니다. 또한 그 교육에 무엇을 포함해야 하는지에 관해서는 개발자들이 매우 명확하고 구체적인 요구사항을 제시합니다.

• 65%가 언어별 취약점에 대한 교육이 필요하다고 응답했다
• 65%가 OWASP Top 10에 대해 더 많은 교육을 받고 싶다고 응답했습니다.
• 또한 많은 사람들이 NIST(58%), CIS(52%), PCI DSS(50%) 등의 컴플라이언스 보안 프레임워크에 초점을 맞추고 싶어 합니다.
• 78%가, 교육의 일환으로 동료와의 비공식적인 코칭이나 지도를 원하고 있다.
  

그러나 개발자들은 비구조화된 학습보다 구조화된 코스워크를 훨씬 선호하는 반면, 코스워크의 제공 방식은 매우 중요합니다. 물론 이는 또 다른 중요한 의문을 제기합니다.

개발자는 어떤 방법으로 배우는 것을 선호할까요?

개발자들은 강사의 설명을 앉아서 듣고 싶어 하지 않습니다. 직접 무언가를 손에 들고 직접 시도해보고 싶어 합니다. 그들은 현재의 교육 프로그램에서 완전히 결여된 실용적인 응용에 초점을 맞추고 싶어 합니다. 기업이 제공하는 교육을 어떻게 개선할 수 있는지 물었을 때, 응답자의 30%가 실용적인 응용, 특히 실제 작업 시나리오에 초점을 맞춘 교육을 원한다고 답했습니다.

개발자 교육에는 실습 형식과 언어/프레임워크별 '게임화된' 코딩 과제를 포함한 가이드형 학습 경로를 제공하는 인간 주도적 접근이 필요합니다. 역할 기반 '게임화된' 교육은 구성 가능한 학습 모듈을 통해 조직이 특정 취약점에 대한 개발자의 학습 대상을 집중시킬 수 있어 개발자의 관심을 높입니다.

개발자가 요구하는 교육을 제공할 수 있는 구조화된 기술 기반 경로를 활용하여 소프트웨어 보안을 개발 프로세스의 핵심 요소로 만드는 방법을 찾으려면, 데모 요청하기 지금.

「인터랙티브 시뮬레이션은 코드 내 보안 취약점을 식별하고 비판적으로 사고하며 해결책 또는 여러 해결책을 찾는 데 도움이 됩니다. 저는 새로운 시각으로 코드를 바라보게 되었습니다. 직접 다루면서 큰 기쁨을 얻을 수 있었습니다.」
‍금융 서비스 담당 소프트웨어 엔지니어‍

*대응에서 예방으로의 전환: 애플리케이션 보안의 양상은 변화하고 있습니다. Secure Code Warrior와 Evans Data Corporation 2020