현재의 보안 코드 교육은 개발자들을 실망시키고 있다

데이터 유출과 비용이 계속 증가함에 따라 보안 전문가가 단독으로 처리하기에는 너무 큽니다. 기업은 안전한 코딩 기술을 갖춘 개발자가 필요하며 개발자는 경력을 발전시키기 위해 이러한 기술이 필요하다는 것을 알고 있습니다. 그러나 현재 보안 코드 교육은 그들을 실망시키고 있습니다. 그렇다면 개발자는 코드 교육을 보호할 때 무엇을 원할까요? 이 질문에 답하기 위해 보안 코딩, 보안 코드 관행 및 보안 작업에 대한 개발자의 태도에 대한 최근 연구에서 몇 가지 통찰력을 살펴 보겠습니다. Secure Code Warrior 에반스 데이터 코퍼레이션*을 통해 (여기에서 백서 다운로드).

개발자가 원하는 교육의 종류에 관해서, 대답은 명확하다. 개발자의 75%는 구조화된 실무 교육을 선호하여 가장 효과적이고 만족스러운 학습 방법을 찾았습니다. 그리고 그 교육이 포함되어야하는 것에 관해서, 개발자는 몇 가지 매우 명확하고 구체적인 질문을 가지고 : 

• 65%는 언어별 취약점에 대한 교육이 필요하다고 답했습니다.
• 65%는 OWASP 탑 10에서 더 많은 교육을 원합니다.
• 많은 사람들이 NIST(58%), CIS(52%)를 포함한 규정 준수 보안 프레임워크에 초점을 맞추기를 원합니다. 및 PCI DSS (50%)
• 78%는 그 훈련의 일환으로 비공식 동료 코칭과 지도를 원합니다.
  

그러나 개발자는 구조화되지 않은 학습에 대한 구조화 된 과정 과정을 강력하게 선호하지만, 과정제공 방식은 중요합니다. 물론, 이것은 또 다른 중요한 질문을 제기합니다.

개발자는 어떻게 배우는 것을 선호합니까? 

개발자는 강사의 말을 듣고 앉아서 보고 싶지 않습니다 - 그들은 물건에 손을 얻고 스스로 시도하고 싶어. 그들은 실용적인 응용 프로그램에 초점을 원한다 – 뭔가 현재 교육 프로그램은 심하게 부족. 회사에서 제공하는 교육이 어떻게 개선될 수 있는지 를 파악하라는 질문에 응답자의 30%는 실제 응용 프로그램, 특히 진정한 작업 시나리오에 초점을 맞춘 교육을 원한다고 밝혔습니다. 

개발자 교육은 실습 및 언어:프레임워크에 맞는 '게임화된' 코딩 문제를 포함하는 가이드 학습 경로를 제공하는 인간 주도의 접근 방식이 필요합니다. 역할 지정 '게임화된' 교육을 통해 개발자는 특정 취약점에 대한 개발자 학습을 타겟팅할 수 있는 구성 가능한 학습 모듈을 사용하여 개발자의 참여를 유도합니다.

소프트웨어 보안을 개발자가 원하는 교육 방법을 제공하는 구조화된 기술 기반 경로를 통해 개발 프로세스의 본질적인 부분으로 만드는 방법을 알아보십시오.

"대화형 시뮬레이션을 통해 코드의 보안 취약점을 식별하고, 비판적으로 생각하고, 솔루션 또는 여러 솔루션을 찾을 수 있습니다. 나는 새로운 렌즈를 통해 코드를 본 적이, 실습되는 것은 너무 많은 기쁨을 가져왔다!"
소프트웨어 엔지니어, 금융 서비스

‍
* 반응에서 예방으로 의전환 : 응용 프로그램 보안의 변화하는 얼굴. Secure Code Warrior 및 에반스 데이터 Corp. 2020