Cómo configurar la formación en código seguro para obtener mejores resultados en la codificación segura

Cuando se trata de formación en código seguro para desarrolladores, los resultados educativos dejan mucho que desear. Muchas empresas gastan mucho, pero en la práctica el rendimiento es mínimo. Y no es de extrañar. La investigación actual* muestra que los desarrolladores creen que aprender código seguro es aburrido y que aprender a implementar código seguro es un reto. Se necesitan nuevos enfoques para la formación en codificación segura, por lo que en 2020, Secure Code Warrior se comprometió con Evans Data Corp. a llevar a cabo una investigación primaria sobre las actitudes de los desarrolladores hacia la codificación segura, las prácticas de código seguro y las operaciones de seguridad (descargar el artículo técnico aquí).

Cuando se les ofreció la oportunidad de criticar la formación que se ofrece, los desarrolladores no se mostraron muy duros, afirmando que la formación actual en materia de código seguro es:  

• Enseñanza en el vacío - 40% 
• Demasiado teórico, no relacionado con su trabajo, y no lo suficientemente "práctico" - 40%. 
• A menudo infrecuente, no se asocia con su trabajo ni se compromete - 30%.
  

Estas estadísticas son serias; nos dicen que la actual formación en código seguro es contextualmente irrelevante, sin relación significativa con lo que los desarrolladores hacen cada día. 

A menudo, no pueden aplicar lo que aprenden en sus entornos de trabajo. Esto hace que gran parte de la formación en seguridad sea una pérdida de tiempo y dinero. 

Cinco maneras de crear la formación que desean los desarrolladores

En lo que respecta al tipo de formación que desean los desarrolladores, cinco cosas quedaron muy claras. 

1. El75% de los desarrolladores prefiere la formación estructurada en el puesto de trabajo, considerándola la forma más eficaz y satisfactoria de aprender.
   
   Y cuando se trata de lo que debe incluir esa formación, los desarrolladores tienen algunas peticiones muy claras y específicas: 
2. El 65% dice que se necesita más formación sobre las vulnerabilidades específicas del idioma
3. El 65% quiere más formación en el OWASP Top 10.
4. Muchos también quieren centrarse en los marcos de seguridad de cumplimiento, incluyendo NIST (58%) CIS (52%) y PCI DSS (50%).
5. El 78% quiere que la formación se lleve a cabo con asesoramiento y orientación informal por parte de los compañeros.

Pero, por encima de todo, los desarrolladores quieren una formación sobre código seguro que sea práctica y esté arraigada en el contexto de su trabajo diario. Los desarrolladores no quieren sentarse a escuchar a los conferenciantes, sino que quieren poner las manos en la masa y probarlo por sí mismos. Quieren centrarse en las aplicaciones prácticas, algo de lo que carecen los programas de formación actuales. Según los desarrolladores encuestados, las 5 características principales de una buena formación son: 

• Más formación práctica, mostrando escenarios de trabajo reales (30%). 
• Actividad guiada centrada en código o vulnerabilidades específicas (24%).
• Inclusion of more examples or use cases (24%) Provides some concrete advantage to taking the training (<20%) Incorporates more team-building exercises (<20%). 
• Proporciona algún beneficio tangible al realizar la formación. 
• Incorpora más ejercicios de creación de equipos.
  

Los desarrolladores quieren una formación en código seguro que les proporcione las habilidades fundamentales y un verdadero reconocimiento. Dado que las habilidades de codificación segura son muy deseadas y reconocidas por los empleadores, los desarrolladores han mostrado su entusiasmo por diferenciarse de sus compañeros, sobre todo cuando solicitan nuevos puestos de trabajo. Los desarrolladores que buscan demostrar su dominio técnico o sus habilidades especializadas han recurrido durante mucho tiempo a programas de certificación formales. Cuando se les preguntó si buscaban programas de formación estructurados para la certificación, el 70% reveló que buscaban estos programas. Las motivaciones más importantes eran la búsqueda de un reconocimiento oficial por las habilidades adquiridas, ser más eficientes en su trabajo y convertirse en alguien valioso para su empresa.

Cuando se trata de mejorar los resultados educativos, la formación centrada en el desarrollador es la clave. La formación estructurada sobre código seguro es deseable para los desarrolladores, pero sólo si les ofrece lo que quieren. Las empresas que acepten el reto y reconfiguren su formación en código seguro según las necesidades de los desarrolladores cosecharán los beneficios de un menor número de vulnerabilidades recurrentes, una entrega de código más rápida y la mejora de la reputación que conlleva.

La evidencia inequívoca es que los desarrolladores quieren una educación contextual y práctica en lenguajes y marcos de programación relevantes con desafíos que imitan los que enfrentan en el mundo real. Como campeones del cambio en la codificación segura, Secure Code Warrior adopta un enfoque dirigido por el ser humano para satisfacer las peticiones de los desarrolladores. Si quiere ver el impacto potencial en la capacidad de sus equipos para enviar código seguro más rápidamente, solicite una demostración ahora.

Pasar de la reacción a la prevención: The changing face of application security. Secure Code Warrior y Evans Data Corp. 2020