تمت مراجعة هذا المحتوى آخر مرة في 4 نوفمبر 2026 بالرجوع إلى المصادر المذكورة في هذا المنشور.
يبدو طلب السحب منظمًا. كتب مساعد البرمجة معظمه، واجتازت الاختبارات بنجاح، ويضيف مكتبة لم يسمع بها أحد في الفريق. لكن عند دمجه، قد تُصدر حزمة لم تكن موجودة الأسبوع الماضي أو نقطة نهاية تتجاوز فحص الوصول. هذه هي الثغرة التي يجب على تدريب المطورين على أمن المعلومات سدّها. يضع تقرير OWASP لأهم 10 ثغرات أمنية لعام 2025 التحكم المعطل في الوصول في المرتبة الأولى، ويشير إلى أن جميع التطبيقات التي تم اختبارها كانت تعاني من شكل من أشكال خلل التحكم في الوصول.
هذه القائمة مخصصة لمديري الهندسة وخبراء الأمن. ستحصل على 10 دورات تدريبية جاهزة ضمن 3 مجموعات، مع شرح لما تعالجه كل دورة وكيفية تطبيقها. وتختتم كل مجموعة بـ لدينا اختيار. النقطة القانونية الوحيدة تصف قاعدة فيدرالية أمريكية، لذا استخدم هذا كملخص وليس كحكم.
نظرة عامة على جميع الدورات الـ 10
| دورة تعليم | ما يغطيه | الطول | هل هناك قانون يدعم ذلك؟ |
|---|---|---|---|
| تطوير برمجيات آمنة بمساعدة الذكاء الاصطناعي | مساعدو البرمجة والوكلاء وحلقة البرمجة الآمنة بالذكاء الاصطناعي | 45 دقيقة | لا |
| لغة C و C++ آمنة للذاكرة وفقًا لمعايير CERT و MISRA | فترات الحياة، والمؤشرات، والعيوب الشائعة، والتحليل الثابت | 45 دقيقة | لا |
| أمان التزامن | الخيوط، والأقفال، وظروف السباق، والتعطل التام | 40 دقيقة | لا |
| إعداد مطوري منصات المؤسسات | تغيير آمن أولي، وتوسعات، وإدارة التغيير | 45 دقيقة | لا |
| تصنيف البيانات ومعالجتها | مستويات البيانات وتخزينها ومشاركتها والتخلص منها | 25 دقيقة | لا |
| أمن الذكاء الاصطناعي للجميع | الذكاء الاصطناعي الخفي، وحقن التعليمات البرمجية، وحزم التعليمات البرمجية غير المعروفة | 30 دقيقة | لا |
| أساسيات الوعي الأمني | مراحل الهجوم والعادات الأساسية | 35 دقيقة | نعم (المؤسسات المالية المشمولة في الولايات المتحدة) |
| التصيد الاحتيالي والهندسة الاجتماعية | المؤشرات التحذيرية والتحقق والإبلاغ | 30 دقيقة | لا |
| كلمات المرور، ومفاتيح المرور، والمصادقة متعددة العوامل | تسجيل دخول آمن، مصادقة متعددة العوامل، مفاتيح مرور، واستعادة البيانات | 30 دقيقة | لا |
| الهندسة الاجتماعية والاحتيال والتزييف العميق | عمليات الاحتيال عبر الهاتف والدفع وانتحال الشخصية | 35 دقيقة | لا |
دورة التوعية الأمنية هي الوحيدة التي تخضع لقاعدة فيدرالية أمريكية، وذلك لبعض المؤسسات فقط: تنص قاعدة الضمانات الصادرة عن لجنة التجارة الفيدرالية على أنه يجب على المؤسسات المالية المشمولة توفير تدريب موظفيهم على الوعي الأمنيإنها لا تحدد مساراً للجميع.
تنمية آمنة ومأمونة
تطوير برمجيات آمن بمساعدة الذكاء الاصطناعي: مساعدو البرمجة والوكلاء بدون مخاطر
تبدأ هذه الدورة التدريبية التي تستغرق 45 دقيقة بعرضٍ مُتخيل لحزمةٍ تتحول إلى هجوم، ثم تتناول ستة أسباب لفشل مساعدي ووكلاء البرمجة، وحلقة البرمجة الآمنة للذكاء الاصطناعي (التوجيه، والفحص، والاختبار، والإفصاح)، والمناطق الرمادية في بيانات العملاء، وأوامر سطر الأوامر وطلبات السحب غير المختبرة، والأدوات المعتمدة التي تحمل علامات استخدام الذكاء الاصطناعي على طلبات السحب. وتنتهي الدورة باختبار نهائي من 12 سؤالًا، ونسبة النجاح فيه 80%. ويمكن استخدام جولة "اكتشاف الخلل" كشريحة اختيار إجابة. للاطلاع على جانب المراجعة، انظر دليلنا لتدريب مراجعة التعليمات البرمجية باستخدام الذكاء الاصطناعي.
لغة C و C++ آمنة للذاكرة وفقًا لمعايير CERT و MISRA
تُعدّ ثغرات أمان الذاكرة فئة معروفة من نقاط الضعف في لغتي C و C++. تبدأ هذه الدورة التدريبية، التي تستغرق 45 دقيقة، بشرحٍ لعطلٍ ناتجٍ عن مؤشرٍ خاطئ، ثم تتناول المكدس، والكومة، ودورات حياة البيانات، والمؤشرات والمصفوفات، والثغرات الشائعة مثل استخدام الذاكرة بعد تحريرها، وقواعد البرمجة عمليًا، والتحليل الثابت للمراجعة. يُعدّ سؤال "تحديد الثغرة" خيارًا مثاليًا لجولة اختيار الإجابة في جلسة مراجعة الكود الجماعية.
أمان التزامن: الخيوط، والأقفال، وحالات التزامن غير المتوقعة
تتسبب حالات التزامن في حدوث أخطاء تجتاز جميع الاختبارات حتى مرحلة الإنتاج. تتناول هذه الدورة التدريبية، التي تستغرق 40 دقيقة، عدادًا كان يُظهر خطأً في كل مرة يُشغّل فيها البرنامج، ثم تغطي الخيوط والعمليات والبرمجة غير المتزامنة، والأقفال، والمؤشرات المتبادلة، والإشارات، وحالات التزامن والجمود، والأنماط حسب اللغة، وقائمة مراجعة. يتيح سيناريو "اختيار الأداة"، سواءً المؤشر المتبادل أو الإشارة المتبادلة، لمطوري الواجهة الخلفية فرصة سريعة للتحقق من معلوماتهم.
عملية إعداد مطوري منصات المؤسسات: أول تغيير آمن لك إلى منصة أعمال
غالبًا ما يُسبب المطورون الجدد الذين يستخدمون منصة أعمال قابلة للتخصيص مشاكل عند إجراء أول تغيير. تغطي هذه الدورة التدريبية، التي تستغرق 45 دقيقة، هذا التغيير الأول على إعدادات النظام، ومفاهيم المنصة، والتقارير والمعالجة، والإضافات ومستودع الإعدادات، والتحكم في التغييرات، وكتابة مذكرة تسليم. استخدم هذه الدورة خلال الأسبوع الأول من عمل الموظف الجديد، قبل أن يبدأ العمل على أي عنصر من عناصر الموردين.
خيارنا: تطوير البرمجيات الآمنة بمساعدة الذكاء الاصطناعي. تقوم العديد من الفرق الآن بتسليم التعليمات البرمجية التي كتبها مساعدوها، وهذه الدورة التدريبية تمنحهم حلقة واحدة لتتبعها قبل دمجها.
أمن البيانات وأدوات الذكاء الاصطناعي
تصنيف البيانات ومعالجتها
يقوم المطورون بنسخ بيانات الإنتاج إلى أنظمة الاختبار ومشاركة السجلات عبر الدردشة. تغطي هذه الدورة التدريبية، التي تستغرق 25 دقيقة، أسباب وجود التصنيف، ومستويات الشركة، وما هو مسموح وما هو غير مسموح به عند تصنيف البيانات وتخزينها ومشاركتها والتخلص منها، بالإضافة إلى مؤشرات الخطر وكيفية تصعيد الأمر. تنتهي الدورة باختبار نهائي من 10 أسئلة، ويُشترط الحصول على 80% لاجتيازه. يُعد سؤال "أين يجب تخزين البيانات السرية؟" سؤالًا سريعًا من نوع "اختر إجابة".
أمن الذكاء الاصطناعي للجميع: الذكاء الاصطناعي الخفي، والحقن الفوري، والمخرجات المُتلاعب بها
تؤثر هجمات حقن التعليمات البرمجية وحزم التعليمات البرمجية غير المعروفة بشكل مباشر على مساعدي البرمجة. تغطي هذه الدورة التدريبية، التي تستغرق 30 دقيقة، الذكاء الاصطناعي الخفي وبرامج الدردشة الآلية المخترقة، وهجمات حقن التعليمات البرمجية والمحتوى الملوث، والتعليمات المخفية في ملفات PDF ورسائل البريد الإلكتروني، وإضافات الذكاء الاصطناعي المجانية وحزم التعليمات البرمجية غير المعروفة، وكيفية الإبلاغ عن حادثة أو طلب أداة معتمدة. توضح سحابة الكلمات حول "ما هي أدوات الذكاء الاصطناعي الموجودة في محرر النصوص لديك اليوم؟" ما يجب أن تغطيه سياستك.
اختيارنا: تصنيف البيانات ومعالجتها. إن لصق تتبع المكدس في روبوت محادثة يُعد تسريبًا للبيانات، وهذه الدورة التدريبية القصيرة توضح المستويات قبل حدوث ذلك.
حماية الحساب من التصيد الاحتيالي
أساسيات الوعي الأمني
يمتلك المطورون شفرة المصدر والأسرار وصلاحيات الوصول إلى خطوط المعالجة، لذا فإنّ الحد الأدنى من المتطلبات الأمنية يُعدّ بالغ الأهمية بالنسبة لهم. تغطي هذه الدورة التدريبية، التي تستغرق 35 دقيقة، أسباب استهداف الأفراد، وبنية الهجوم، وعلامات الخطر، وكيفية حماية النفس، وكيفية الاستجابة والإبلاغ، مع اختبار نهائي من 12 سؤالًا يتطلب اجتيازه 80% من الدرجة النهائية. بالنسبة للمؤسسات المالية المشمولة، تُعدّ هذه الدورة وسيلة جاهزة لتلبية متطلبات التدريب على التوعية الأمنية المنصوص عليها في قاعدة ضمانات لجنة التجارة الفيدرالية، على الرغم من أن القاعدة لا تُحدّد أي دورة تدريبية بعينها.
التصيد الاحتيالي والهندسة الاجتماعية
يتعرض المطورون لعمليات تصيد احتيالي لسرقة بيانات اعتماد المستودعات السحابية. تشرح هذه الدورة التدريبية، التي تستغرق 30 دقيقة، كيفية تنفيذ الهجمات، وعلامات الخطر، وكيفية حماية نفسك، وكيفية الإبلاغ عنها، مع اختبار نهائي من 12 سؤالًا عند بلوغ نسبة النجاح 80%. أضف مثالًا لصفحة تسجيل دخول مزيفة لاستضافة التعليمات البرمجية إلى العرض التقديمي المباشر. يقوم مركز عمليات الأمن السيبراني (SOC) بتصنيف بلاغات المطورين: انظر قائمة تدريب محللي مركز عمليات الأمن السيبراني.
كلمات المرور، ورموز المرور، والمصادقة متعددة العوامل للموظفين
تحمي حسابات المطورين التعليمات البرمجية وخطوط الإنتاج، لذا فهي بحاجة إلى مصادقة قوية. تغطي هذه الدورة التدريبية، التي تستغرق 30 دقيقة، أسباب استهداف الحسابات، وتسجيلات الدخول القوية والفريدة، والمصادقة متعددة العوامل وكلمات المرور، وصفحات تسجيل الدخول المزيفة، والمناطق الرمادية في المشاركة، والاختصارات، والاسترداد. يبدأ مقياس التقييم، الذي يسأل "كم عدد حساباتك التي تستخدم المصادقة متعددة العوامل؟"، حوارًا صريحًا.
الهندسة الاجتماعية والاحتيال والتزييف العميق: عمليات الاحتيال عبر الهاتف والدفع وانتحال الشخصية
تستهدف عمليات الاحتيال بانتحال الشخصية المهندسين الذين يملكون صلاحية منح الصلاحيات أو نشر التطبيقات. تتناول هذه الدورة التدريبية، التي تستغرق 35 دقيقة، أسلوب تقديم طلب مقنع، وتغطي التكتيكات، والتحقق عبر رقم معروف، واستخدام الصوت والفيديو المزيفين، وتوضح لماذا تُعدّ الأقدمية والسرية ضغطًا لا دليلًا. ويُستخدم سيناريو "هل ستمنح هذا الوصول؟" كجولة اختيار إجابة.
خيارنا: كلمات المرور، ومفاتيح المرور، والمصادقة متعددة العوامل للموظفين. يمكن لكلمة مرور واحدة مسروقة للمطور أن تصل إلى خط الإنتاج بأكمله، كما أن كلمات المرور تقاوم التصيد الاحتيالي، لذا فإن كلمة المرور المسروقة وحدها لم تعد تفتحه.
كيفية تنفيذ الخطة
ابدأ من حيث تكون العيوب أكثر شيوعًا. مع وجود خلل في نظام التحكم بالوصول في تم اختبار كل تطبيق بواسطة بيانات OWASPقم بربط دورات البرمجة الآمنة بعادات المراجعة، وليس بالشرائح فقط.
- في الأسبوع الأول لمطور جديد: أساسيات الوعي الأمني، وكلمات المرور، ومفاتيح المرور، والمصادقة متعددة العوامل، وتصنيف البيانات، ودورة الإعداد للمنصة إذا كان فريقك يعتمد على واحدة.
- خلال الشهر الأول: تطوير آمن بمساعدة الذكاء الاصطناعي، وأمن الذكاء الاصطناعي للجميع، ودورة أمان الذاكرة أو التزامن للغات التي يستخدمها فريقك.
- كل عام: اختبار تنشيطي لكل دورة، بالإضافة إلى دورات الذكاء الاصطناعي كلما تمت الموافقة على مساعد أو وكيل جديد.
- عندما ينطبق ذلك: إذا كنت مؤسسة مالية مشمولة، فاحرص على تحديث تدريب التوعية الأمنية وفقًا لما تنص عليه قاعدة الضمانات الصادرة عن لجنة التجارة الفيدرالية، واسأل مستشارك القانوني عن الأمور الأخرى التي تنطبق في بلدك أو ولايتك.
طرق إدارة هذه الدورات التدريبية AhaSlides
يمكنك إنشاء أي من هذه الدورات كدورة ذاتية التعلم باستخدام AhaSlides يمكنك إنشاء دورة تدريبية، وتشغيلها كجلسة أسئلة وأجوبة مباشرة، أو كليهما، مع استطلاع رأي بعد الدورة التدريبية ومتابعة لمدة 30 يومًا لمعرفة ما تغير.
- اختر الإجابة: اعرض مقتطفًا من التعليمات البرمجية من الدورة التدريبية واسأل عن العيب الذي يخفيه.
- كلمة سحابة: اسأل "ما الذي تتحقق منه قبل دمج التعليمات البرمجية التي كتبها المساعد؟" وقارن الإجابات بحلقة البرمجة الآمنة للذكاء الاصطناعي.
- مقياس التصنيف: قبل وبعد، اسأل "ما مدى ثقتك في اكتشاف حالة التزامن أثناء المراجعة؟" من 1 إلى 5.
- مفتوح النهاية: جمع حالات الاقتراب من الفشل المجهولة من الجولة الأخيرة في نهاية جلسة مباشرة.
الأسئلة الشائعة
ما هي التدريبات الأمنية التي يحتاجها المطورون؟
يحتاج المطورون إلى برمجة آمنة، وإدارة التبعيات والأسرار، واستخدام أدوات البرمجة بالذكاء الاصطناعي بشكل آمن. تغطي الدورات المذكورة أعلاه هذه الجوانب، بالإضافة إلى أساسيات الوعي التي يحتاجها كل موظف.
هل الكود المُولّد بواسطة الذكاء الاصطناعي آمن؟
ليس بشكل افتراضي. فهو يحتاج إلى نفس المراجعة والاختبار والفحص الذي يحتاجه أي كود آخر، والتحقق من وجود كل حزمة مقترحة واعتمادها.
ما هي سلامة الذاكرة؟
أمان الذاكرة هو منع الأخطاء مثل تجاوز سعة المخزن المؤقت واستخدام الذاكرة بعد تحريرها، والتي يستغلها المهاجمون. يتطلب الوصول إلى هذا الأمان في لغتي C و C++ قواعد وتحليلاً ثابتاً.
كم مرة ينبغي على المطورين إعادة التدريب على الأمن؟
مرة واحدة في السنة، مع تحديثات قصيرة عند تغيير الأطر أو الأدوات أو التهديدات.
هذه المعلومات عامة وليست استشارة قانونية. لاتخاذ قرار بشأن مكان عملك، يُرجى التحدث إلى محامٍ مؤهل أو الجهة التنظيمية المختصة.
