セキュリティコード教育が十分に活用されない理由（およびこれに対して取ることができる措置）

退屈だ、退屈だ、退屈だ！これは、セキュリティコードのトレーニングが話題になるたびに、開発者たちからよく聞かれる反応のひとつです。Secure Code Warrior は、もっと良い方法があるはずだと信じているため、エヴァンス・データ社と協力し、セキュリティコーディング、セキュリティコードの実践、およびセキュリティ運用に関する開発者の意識について、一次調査を実施しました（ホワイトペーパーをダウンロード）。 こちら）。

まもなくリリース予定のバージョンにおける対応から予防への転換：アプリケーションセキュリティの変容する姿。開発者に対し、現在のセキュアコーディング教育における主要な課題について質問したところ、その答えが明らかになりました。

開発者の実力を低下させる教育

調査に参加した開発者の40%は、セキュアコーディングが真空状態で教えられていると感じました。また別の40%は、教育が理論的すぎて業務に関連性がなく、「実践」としても不十分だと感じました。 30%は日常的に使用する言語やフレームワークに関する教育が不足していると回答しました。これは深刻な問題であり、現在のセキュリティコード教育が状況に応じて無意味であり、開発者が日常的に行う業務と何ら意味のある関連性を持たないことを示しています。

ほとんどの開発者が直面する主な課題は、セキュリティを最優先に考えるよう促す効果的でもなく、インスピレーションを与えることもない、精神を麻痺させ、手軽な活動に没頭している間も目を覚ましておくことです。

真空状態での訓練は、開発者が実験室と現実世界を認知的に結びつけることを妨げます。

開発者がセキュリティコード研修で求める三つの事項：

1. 開発者は圧倒的に、日常業務とより実践的で状況に応じた教育を求めていると述べています。
2. 65%の開発者が、より多くの教育が必要だと述べています。言語別の脆弱性とOWASPトップ10について。
3. 調査に参加した開発者の75％が体系的な実務教育を好むと回答しました。

開発者の能力を高める教育

実務教育に関連して、開発者は一定レベルの経験と既存の知識を活用します。これは「スキャフォールド」学習が必要であることを意味します。これは開発者が既に知っている内容を基盤とした、構造化された、すなわちスキャフォールドされた教育です。スキャフォールド教育は、これまでの経験を活性化し向上させながら、同時に小さな単位で新しい技術を積み重ねていくことを可能にします。したがって、実務学習のための完璧な手段となり得ます。

粘り強い技術の伝授

開発者向けセキュリティ教育においては、開発者が理論に基づいた静的な学習の退屈さよりも、実践を通じた学習方法を好むことを認識しています。その点で、関連性の高い状況に応じた環境において安全なコーディング方法を学ぶことが核心となります。セキュリティコーディング分野の変化を主導するSecure Code Warriorは、関連するプログラミング言語やフレームワークに対する状況に応じた実践的なトレーニングを提供し、 開発者が現実世界で直面するものと類似した問題を解決します。学習コンテンツには、最も重要なOWASPトップ10、OWASPモバイルトップ10、OWASP APIセキュリティトップ10、CWE/SANSトップ25など、147種類以上の多様な脆弱性タイプを網羅する5,500以上の課題とミッションが含まれています。

セキュリティコードをより迅速に提供できるチームと、チームの能力に及ぼす潜在的な影響を把握するには デモを予約 今すぐ。