Linux Foundation: треть специалистов-разработчиков не знакомы с методами безопасного кодирования
Axville (unsplash)
Многим разработчикам не хватает необходимых знаний и навыков для эффективной реализации безопасной разработки программного обеспечения, уверены эксперты OpenSSF и Linux Foundation, говоря об этом в своём новом отчете. При этом хакеры постоянно обнаруживают и используют уязвимости программного обеспечения.
Согласно исследованию, проведённому экспертами OpenSSF и Linux Foundation, почти треть всех специалистов, непосредственно вовлечённых в разработку и развёртывание (системные операции, разработчики программного обеспечения, коммиттеры и сопровождающие), сообщают, что чувствуют себя незнакомыми с актуальными безопасными методами разработки программного обеспечения. Аналитики уверены, что это вызывает особую обеспокоенность, поскольку они «находятся на передовой» создания и поддержки кода, который запускает приложения и системы компании.
«Мы раз за разом видим, как эксплуатация уязвимостей программного обеспечения приводит к катастрофическим последствиям, что подчёркивает острую необходимость для разработчиков на всех уровнях обладать достаточными знаниями и навыками для написания безопасного кода», — заявил Дэвид А. Уилер, директор по безопасности цепочки поставок ПО с открытым исходным кодом в Linux Foundation.
Результаты опроса показывают, что недостаточная осведомлённость о безопасности, вероятно, связана с тем, что большинство современных образовательных программ отдают приоритет функциональности и эффективности, при этом часто пренебрегая необходимым обучением по безопасности. Кроме того, 69% разработчиков полагаются на практический опыт как на основной ресурс обучения, однако для достижения минимального уровня знаний в области безопасности требуется не менее пяти лет такого опыта.
Нехватка времени (58%) и нехватка осведомлённости и обучения (50%) являются двумя наиболее распространёнными проблемами при внедрении безопасных методов разработки ПО в организациях. Основная причина (44%) не проходить курс по безопасной разработке ПО — это отсутствие знаний о хорошем курсе по этой теме.
Полная версия отчёта доступна по ссылке.
