現在のセキュアコードトレーニングは開発者を失望させている

データ漏えいとそれによるコストが増加し続ける中、世界中で生成されるコードの量は、セキュリティの専門家だけでは処理しきれないほど膨大になっています。企業には安全なコーディングスキルを持つ開発者が必要であり、開発者たちはキャリアアップのためにこれらのスキルが必要であることを認識しています。しかし、現在のセキュアコードトレーニングは彼らを失望させています。では、セキュアコードトレーニングに関して、開発者は何を求めているのでしょうか。この質問に答えるために、Secure Code Warrior が Evans Data Corp* と共同で実施した、安全なコーディング、安全なコードプラクティス、およびセキュリティ運用に対する開発者の態度に関する最近の調査から得られた洞察を見てみましょう。(ホワイトペーパーをダウンロード こちら)

開発者がどのようなトレーニングを希望するかという点については、答えは明らかです。開発者の75%が、体系的なオンザジョブトレーニングが最も効果的で満足のいく学習方法であると回答しています。また、そのトレーニングに何を含めるべきかという点については、開発者には非常に明確で具体的な要望があります。

• 65%が、言語特有の脆弱性に関するトレーニングが必要だと回答した。
• 65%がOWASPトップ10について、もっとトレーニングを受けたいと回答しています
• また、多くの人々が、NIST（58％）、CIS（52％）、PCI DSS（50％）などのコンプライアンスセキュリティフレームワークに焦点を当てたいと考えています。
• 78%が、研修の一環として同僚との非公式なコーチングやガイダンスを希望している
  

しかし、開発者は非構造化された学習よりも構造化されたコースワークを強く好む一方で、コースワークの提供方法は極めて重要である。もちろん、これは別の重要な疑問を提起する。

開発者はどのような方法で学ぶことを好むのでしょうか？

開発者は座って講師の話を聞きたくありません。何かを実際に手に取って自分で試してみたいと思っています。彼らは、現在のトレーニングプログラムには全く欠けている実用的なアプリケーションに焦点を当てたいと考えています。企業が提供するトレーニングをどのように改善できるかを尋ねたところ、回答者の30%が、実践的な応用、特に本物の作業シナリオに焦点を当てたトレーニングを希望していると回答しました。

開発者向けトレーニングには、ハンズオン形式と言語・フレームワーク固有の「ゲーム化された」コーディング課題を含む、ガイド付きの学習経路を提供する、人間主導のアプローチが必要です。役割指定の「ゲーム化された」トレーニングは、組織が特定の脆弱性に対して開発者の学習対象を絞れる構成可能な学習モジュールにより、開発者の関心を高めます。

ソフトウェアセキュリティを開発プロセスの本質的な一部とする方法を見つけるには、開発者が求めるトレーニングを提供できる、構造化されたスキルベースのパスウェイを活用してください。 デモをリクエストする 今すぐ。

インタラクティブなシミュレーションは、コード内のセキュリティの脆弱性を特定し、批判的に考え、解決策または複数の解決策を見つけるのに役立ちます。私は新しい視点からコードを見てきました。実際に触れることで大きな喜びを得ることができました。
金融サービス担当ソフトウェアエンジニア‍

対応から防止への移行：アプリケーションセキュリティの様相は変わりつつあります。セキュア・コード・ウォリアーとエバンス・データ・コーポレーション 2020