왜 보안 코드 교육이 효과가 없는가(그리고 무엇을 할 수 있는가)

지루해, 지루해, 지루해! 보안 코드 교육이 언급될 때마다 개발자들로부터 듣게 되는 대표적인 반응 중 하나입니다. Secure Code Warrior더 나은 방법이 반드시 존재해야 한다고 생각하여, Evans Data Corp.와 협력하여 개발자들의 보안 코딩, 보안 코드 관행 및 보안 운영에 대한 태도를 조사한 예비 연구를 진행했습니다(백서 사본 다운로드). 여기).

곧 출시될 버전에서 대응에서 예방으로: 애플리케이션 보안의 변화하는 모습. 개발자들에게 현재 보안 코드 교육에서 겪는 주요 문제점을 물었을 때, 답변은 매우 시사하는 바가 컸습니다.

개발자를 실망시키는 교육

응답한 개발자의 40%는 보안 코딩 교육이 실제 업무와 동떨어져 있다고 생각합니다. 또 다른 40%는 교육이 지나치게 이론적이며 업무와 무관하고 실습이 부족하다고 답했습니다. 30%는 매일 사용하는 언어 프레임워크에 대한 교육이 부족하다고 느꼈습니다. 이는 심각한 문제입니다. 현재의 보안 코딩 교육이 맥락과 동떨어져 있으며 개발자의 일상 업무와 의미 있는 연관성을 전혀 형성하지 못하고 있음을 보여주기 때문입니다.

많은 개발자들에게 있어 주요 도전 과제는 지루하고 무관심한 활동 속에서 정신을 차리고 있는 것입니다. 이러한 활동들은 효과적이지 않을 뿐만 아니라, 그들이 보안을 최우선으로 삼도록 동기를 부여하지도 못합니다.

진공 상태에서 진행하는 교육은 개발자가 실험실과 현실 세계 사이의 인지적 연결을 구축하지 못하게 합니다.

개발자들은 보안 코드 교육에서 세 가지를 얻기를 원합니다:

1. 대다수의 개발자들은 더 실습 중심적이고 일상 업무에 부합하는 교육을 원한다고 밝혔습니다.
2. 65%의 개발자가 더 많은 교육이 필요하다고 응답했습니다. 특정 언어의 취약점과 OWASP 상위 10대 취약점이포함됩니다.
3. 응답한 개발자의 75%가 체계적인 직장 내 교육을 선호합니다.

개발자 역량 강화 교육

직장 내 교육 측면에서 개발자들은 일정 수준의 경험과 기존 지식을 보유하고 있습니다. 이는 '스캐폴딩(scaffolding)' 학습이 필요함을 시사합니다. 이는 개발자가 이미 알고 있는 내용을 기반으로 구축하는 구조화된(또는 스캐폴딩) 교육 방식입니다. 스캐폴딩 교육은 기존 경험을 활성화하고 강화하는 동시에 새로운 기술을 단계적으로 지속적으로 함양합니다. 이는 직장 내 학습에 완벽한 수단이 됩니다.

꾸준히 노력하는 기술을 전수하다

개발자 보안 교육 측면에서, 우리는 개발자들이 이론에 기반한 정적인 학습의 번거로운 작업보다는 실습을 통한 학습 방식을 더 선호한다는 점을 잘 알고 있습니다. 이러한 의미에서, 높은 관련성을 지닌 맥락 속에서 안전하게 프로그래밍하는 법을 배우는 것이 핵심입니다. 보안 코딩 혁신의 주창자로서,Secure Code Warrior는 관련 프로그래밍 언어와 프레임워크를 활용한 시나리오 기반 실습 교육을 제공하며, 개발자가 현실 세계에서 마주하는 문제를 모방한 과제를 제시합니다. 학습 콘텐츠에는 5,500개 이상의 과제와 미션이 포함되어 있으며, OWASP Top 10, OWASP Mobile Top 10, OWASP API Security Top 10, CWE/SANS Top 25 등 가장 중요한 취약점 유형을 포함한 147가지 이상의 다양한 취약점 유형을 다룹니다.

팀에 미칠 잠재적 영향과 보안 코드를 더 빠르게 배포할 수 있는 능력을 확인하고 싶으시다면, 데모 예약하기 지금.