セキュアコーディング研修が効果を発揮しない理由（そしてその解決策）

退屈、退屈、退屈！ これは、セキュアコーディングのトレーニングが話題になるたびに、開発者からよく聞かれる反応のひとつです。Secure Code Warrior では、もっと良い解決策があるはずだと考えています。 そこで、エヴァンス・データ社に、開発者のセキュアコーディングに対する意識、セキュアなコーディングの実践、セキュリティ対策について一次調査を依頼しました（ホワイトペーパーのコピーをダウンロードしてください）。 こちら）

近日発売予定の書籍『反応から予防へ：アプリケーションセキュリティの新たな姿』において、開発者らは現在のセキュアコーディング研修に関連する主な課題について質問され、その回答は示唆に富むものとなった。

開発者を貶める研修

調査対象の開発者の40％は、セキュアコーディングが実情からかけ離れた形で教えられていると回答しました。40％は、研修が理論的すぎて実務と結びついておらず、「実践的」でないと感じています。30％は、日常的に使用するプログラミング言語環境における研修が不足していると指摘しました。 これは深刻な問題である。なぜなら、現在のセキュアコーディング教育が文脈的に適切ではなく、開発者の日常業務と実質的な関連性を全く持っていないことを示唆しているからだ。

多くの開発者にとって、最大の課題は、非効率的で安全性を最優先に考える動機付けにならない、気が散る作業中に眠気と闘い続けることである。

閉鎖的な環境での研修は、開発者が研究室と現実世界の間の認知的関連性を確立することを妨げる。

開発者がセキュアコーディング研修に求める3つのこと：

1. ほとんどの開発者は、より実践的で日常業務の文脈に適したトレーニングを望んでいると述べています。
2. 開発者の65％が、言語固有の脆弱性と OWASPトップ10に関する追加トレーニングが必要だと主張している。
3. 調査対象の開発者の75％が、体系的な職場内研修を好む。

開発者が成長できるトレーニング

職場内研修において、開発者は一定の経験と既存の知識を持ち込む。これは「足場を張る」学習の必要性を浮き彫りにする。 これは構造化された——あるいは足場を張った——研修であり、開発者が既に知っていることに基づいて進めるものです。足場を張った指導は、これまでの経験を活性化・強化すると同時に、新しいスキルを少しずつ習得し続けることを可能にします。このため、オンザジョブトレーニングに最適な方法となります。

永続する技能を伝承する

開発者向けセキュリティ教育において、開発者は理論ベースの静的な学習という苦行よりも、実践を通じた学習方法を好むことがわかっています。この観点から、極めて関連性の高い実践的な環境で安全なコーディングを学ぶことが不可欠です。 セキュアコーディング変革の推進役として、Secure Code Warrior 関連するプログラミング言語やフレームワークを用いた実践的・文脈に沿ったSecure Code Warrior 、開発者が現実世界で直面する課題と同様のチャレンジを経験できます。 教育コンテンツには、147種類以上の脆弱性（特に重要なOWASP Top 10、OWASP Mobile Top 10、OWASP API Security Top 10、CWE/SANS Top 25を含む）missions 5,500以上の課題とmissions が含まれています。

チームへの潜在的な影響と、より迅速に安全なコードを提供する能力を確認したい場合は、 今すぐデモを予約 今すぐ。