Тревожна статистика: 1/3 от разработчиците на софтуер не умеят да пишат сигурен код

Неотдавнашно проучване на OpenSSF и Linux Foundation показва, че почти 1/3 от специалистите, които създават и внедряват софтуер не са запознати с практиките за сигурна разработка.

Това е особено обезпокоително, тъй като те са тези, които генерират и поддържат кода, върху който работят приложенията и системите на много големи компании.

Дейвид А. Уилър, директор по сигурността на веригата за доставки с отворен код във фондация Linux отбеляза, че използването на уязвимости в софтуера може да има катастрофални последици. Той наблегна на необходимостта от обучение на разработчици от всички нива на квалификация по въпросите на безопасното програмиране.

Според Уилър един от ключовите проблеми е липсата на обучение за разработване на сигурен софтуер. Много специалисти не знаят откъде да започнат и се учат в движение. Ето защо е изключително важно образователните програми за сигурно разработване да станат приоритет за цялата индустрия.

Резултатите от проучването показват, че фокусът на настоящите образователни програми е върху функционалността и ефективността, докато обучението по сигурност често се пренебрегва.

Също така 69% от специалистите разчитат на практическия опит като основен източник на обучение, но са необходими поне 5 години такъв опит, за да се достигне до основно ниво на познания за сигурността.

Основните предизвикателства пред прилагането на практиките за безопасно програмиране са липсата на време (58%) и липсата на информираност и обучение (50%). Освен това 44% от анкетираните никога не са посещавали курс за безопасно програмиране поради липса на информация за добри курсове по темата.

Най-голяма липса на познания е в областта на безопасното разработване на софтуер, съобщават разработчиците с по-малко от една година опит (75%), като тази цифра спада до 72% при специалистите с опит от 1 до 2 години.

Много специалисти в областта на разработката на софтуер предпочитат неформалните методи на обучение пред университетските курсове. Най-разпространено е самообучението, като 74% от анкетираните използват онлайн уроци, видеоклипове и книги.

Кристофър „CRob“ Робинсън от Intel, съпредседател на Специалната група по интереси (SIG) на OpenSSF за образование и председател на Техническия консултативен съвет (TAC) на OpenSSF заяви, че първата стъпка в решаването на проблема със сигурната разработка на софтуер е да се признае съществуващата липса на знания и да се определят приоритетните области за допълнително обучение.

Организациите се нуждаят от разнообразни курсове, независимо от конкретните езици за програмиране, за да запълнят пропуските в образованието и да помогнат на ИТ персонала да управлява по-добре сигурната разработка. Важни области за бъдещи иновации и силен фокус върху разработчиците са областите на сигурността в изкуствения интелект (57%) и във веригата за доставки (56%).

Обучението в областта на сигурността има за цел да повиши осведомеността на служителите и да използват тези знания при разработването и внедряването на сигурен софтуер. В крайна сметка сигурната разработка на софтуер включва писане на устойчив на атаки изходен код, който осигурява допълнителен слой защита и вграждане на сигурността в софтуерните продукти от самото начало.