Naposledy zkontrolováno 4. listopadu 2026 podle zdrojů odkazovaných v tomto příspěvku.
Pull request vypadá úhledně. Většinu napsal programátorský asistent, testy prošly a přidal knihovnu, o které nikdo v týmu neslyšel. Sloučte to a můžete odeslat balíček, který minulý týden neexistoval, nebo koncový bod, který přeskočí kontrolu přístupu. To je mezera, kterou musí bezpečnostní školení pro vývojáře zacelit. OWASP's Top 10:2025 klade na první místo nefunkční řízení přístupu a uvádí, že 100 % testovaných aplikací mělo nějakou formu narušené kontroly přístupu.
Tento seznam je určen pro manažery inženýrů a bezpečnostní šampiony. Získáte 10 hotových kurzů ve 3 skupinách, které se zabývají tím, co každý z nich opravuje a jak je zavést. Každá skupina končí... Náš výběrJeden právní bod popisuje federální pravidlo USA, takže jej používejte jako osnovu, nikoli jako rozhodnutí.
Všech 10 kurzů na první pohled
| Kurz | Na co se vztahuje | Délka | Zákon za tím? |
|---|---|---|---|
| Bezpečný vývoj softwaru s podporou umělé inteligence | Asistenti kódování, agenti a bezpečná kódovací smyčka s umělou inteligencí | 45 min | Ne |
| Paměťově bezpečné C a C++ podle standardů CERT a MISRA | Životnosti, ukazatele, běžné nedostatky a statická analýza | 45 min | Ne |
| Bezpečnost souběžnosti | Vlákna, zámky, závodní podmínky a deadlock | 40 min | Ne |
| Nástup vývojářů podnikových platforem | První bezpečná změna, rozšíření a řízení změn | 45 min | Ne |
| Klasifikace a zpracování dat | Úrovně, ukládání, sdílení a likvidace dat | 25 min | Ne |
| Zabezpečení s využitím umělé inteligence pro každého | Stínová umělá inteligence, prompt injection a balíčky s neznámým kódem | 30 min | Ne |
| Základní informace o bezpečnosti | Fáze útoku a základní návyky | 35 min | Ano (finanční instituce kryté USA) |
| Phishing a sociální inženýrství | Varovné signály, ověřování a hlášení | 30 min | Ne |
| Hesla, přístupové klíče a vícefaktorové ověřování | Bezpečné přihlášení, vícefaktorová autentizace (MFA), přístupové klíče a obnovení | 30 min | Ne |
| Sociální inženýrství, podvody a deepfakes | Telefonní, platební a zosobňovací podvody | 35 min | Ne |
Pouze kurz o bezpečnostním povědomí je založen na federálním pravidle USA a pouze pro některé organizace: pravidlo FTC Safeguards říká, že dotčené finanční instituce musí poskytnout školení o bezpečnosti pro své zaměstnanceNeurčuje směr pro všechny ostatní.
Bezpečný a zabezpečený rozvoj
Bezpečný vývoj softwaru s podporou umělé inteligence: programátorští asistenti a agenti bez rizika
Tento 45minutový kurz začíná halucinovaným balíčkem, který se stává útokem, a poté se zabývá šesti způsoby, jakými selhávají asistenti a agenti kódování, bezpečnou smyčkou kódování s umělou inteligencí (vyzvat, zkontrolovat, otestovat, prozradit), šedými zónami zákaznických dat, příkazy shellu a netestovanými pull requesty a schválenými nástroji s označením použití umělé inteligence v pull requestech. Končí závěrečnou kontrolou s 12 otázkami na 80 % pro úspěšné splnění. Kolo „najděte chybu“ funguje dobře jako slajd s výběrem odpovědi. Pro recenzi viz. náš průvodce školením pro revizi kódu generovaného umělou inteligencí.
Paměťově bezpečné C a C++ podle standardů CERT a MISRA
Chyby v zabezpečení paměti jsou dobře známou třídou zranitelností v jazycích C a C++. Tento 45minutový kurz začíná pádem způsobeným jedním zbloudilým ukazatelem, poté se zabývá zásobníkem, haldou a životností, ukazateli a poli, běžnými chybami, jako je použití po uvolňování kódu, pravidly kódování v praxi a statickou analýzou v revizi. Otázka „pojmenujte chybu“ je přirozeným kolem výběru odpovědi pro týmovou revizi kódu.
Bezpečnost souběžnosti: vlákna, zámky a podmínky závodění
Soubojové podmínky způsobují chyby, které projdou každým testem až do produkčního prostředí. Tento 40minutový kurz sleduje počítadlo, které se mýlilo při každém desátém spuštění, a poté se zabývá vlákny, procesy a asynchronními funkcemi, zámky, mutexy a semafory, soubojovými podmínkami a deadlockem, vzory podle jazyka a kontrolním seznamem. Scénář „výběr nástroje“, mutexu nebo semaforu, poskytuje back-end vývojářům rychlou kontrolu toho, co znají.
Nástup vývojářů podnikových platforem: vaše první bezpečná změna na podnikovou platformu
Noví vývojáři na konfigurovatelné obchodní platformě často hned první změnou něco zkazí. Tento 45minutový kurz se zabývá první změnou živé konfigurace, koncepty platformy, reporty a jejich zpracováním, rozšířeními a konfiguračním úložištěm, řízením změn a psaním předávací zprávy. Využijte jej v prvním týdnu nováčka, než se dotkne objektu dodavatele.
Naše volba: Bezpečný vývoj softwaru s podporou umělé inteligence. Mnoho týmů nyní dodává kód psaný asistenty a tento kurz jim dává jednu smyčku, kterou musí následovat, než jej sloučí.
Zabezpečení dat a nástrojů umělé inteligence
Klasifikace a zpracování dat
Vývojáři kopírují produkční data do testovacích systémů a sdílejí protokoly v chatu. Tento 25minutový kurz se zabývá důvody existence klasifikace, úrovněmi společnosti, co je a co není povoleno při označování, ukládání, sdílení a likvidaci dat, varovnými signály a jak eskalovat. Kurz končí závěrečnou kontrolou s 10 otázkami, na kterou je třeba splnit 80 % požadavků. Otázka „Kde by měla být uložena důvěrná data?“ je rychlá otázka typu „Pick Answer“.
Zabezpečení umělé inteligence pro každého: stínová umělá inteligence, promptní vkládání dat a manipulované výstupy
Prompt injection a balíčky s neznámým kódem přímo ovlivňují asistenty kódování. Tento 30minutový kurz se zabývá stínovou umělou inteligencí a kompromitovaným chatbotem, prompt injection a kontaminovaným obsahem, skrytými instrukcemi v PDF a e-mailech, bezplatnými rozšířeními umělé inteligence a balíčky s neznámým kódem a také tím, jak nahlásit incident nebo požádat o schválený nástroj. Slovní mrak na téma „které nástroje umělé inteligence máte dnes ve svém editoru?“ ukazuje, co by vaše zásady měly zahrnovat.
Naše volba: Klasifikace a zpracování dat. Trasování zásobníku vložené do chatbota je únik dat a tento krátký kurz objasňuje úrovně dříve, než k němu dojde.
Ochrana proti účtu a phishingu
Základní informace o bezpečnosti
Vývojáři mají zdrojový kód, tajné informace a přístup k bezpečnostním kanálům, takže pro ně je důležitější základní informace. Tento 35minutový kurz se zabývá tím, proč jsou lidé cílem útoku, anatomií útoku, varovnými signály, jak se chránit a jak reagovat a hlásit útok, s 12otázkovou závěrečnou kontrolou s 80% úspěšností. Pro dotčené finanční instituce je to hotový způsob, jak splnit požadavek na školení v oblasti bezpečnosti podle pravidla FTC Safeguards Rule, ačkoli pravidlo žádný kurz neuvádí.
Phishing a sociální inženýrství
Vývojáři jsou phishingem získáváni kvůli přihlašovacím údajům k repozitářům a cloudovým úložištím. Tento 30minutový kurz vysvětluje, jak se útoky vytvářejí, jaké jsou varovné signály, jak se chránit a jak je nahlásit. Závěrečný test se skládá z 12 otázek a je určen k úspěšnému dokončení na 80 %. Přidejte do živého testu příklad falešné přihlašovací stránky pro hostování kódu. Váš SOC třídí, co vývojáři nahlásí: viz náš seznam školení pro analytiky SOC.
Hesla, přístupové klíče a vícefaktorové ověřování pro zaměstnance
Vývojářské účty chrání kód a procesy, proto vyžadují silné ověřování. Tento 30minutový kurz se zabývá tím, proč jsou účty cílem, silnými a jedinečnými přihlášeními, vícefaktorovým ověřováním a přístupovými klíči, falešnými přihlašovacími stránkami a šedými zónami sdílení, zkratek a obnovy. Hodnotící stupnice na otázku „kolik vašich účtů používá MFA?“ zahájí upřímný rozhovor.
Sociální inženýrství, podvody a deepfakes: telefonní, platební a zosobňovací podvody
Podvody s vydáváním se za osobu cílí na inženýry, kteří mohou schvalovat přístup nebo nasazení. Tento 35minutový kurz navazuje na přesvědčivou žádost, zahrnuje taktiky, ověření známým číslem, falešný hlas a video a vysvětluje, proč jsou seniorita a utajení nátlakem, nikoli důkazem. Scénář „udělili byste tento přístup?“ funguje jako kolo „Vyberte odpověď“.
Naše volba: Hesla, přístupové klíče a vícefaktorové ověřování pro zaměstnance. Jedno ukradené přihlašovací jméno vývojáře se může dostat k celému procesu a přístupové klíče odolávají phishingu, takže samotné ukradené heslo jej již neotevře.
Jak plán zavést
Začněte tam, kde jsou nedostatky nejčastější. S nefunkční kontrolou přístupu nalezenou v každá aplikace testovaná s daty OWASP, spojte kurzy bezpečného kódování s návyky opakování, ne pouze se snímky.
- V prvním týdnu nového vývojáře: základní informace o zabezpečení, hesla, přístupové klíče a vícefaktorová autentizace (MFA), klasifikace dat a úvodní kurz pro platformu, pokud na ní váš tým staví.
- Během prvního měsíce: bezpečný vývoj s podporou umělé inteligence, zabezpečení umělé inteligence pro všechny a kurz zaměřený na bezpečnost paměti nebo souběžnost pro jazyky, které váš tým používá.
- Každý rok: opakovací kvíz z každého kurzu a kurzy umělé inteligence vždy, když je schválen nový asistent nebo agent.
- Kdy se to vztahuje: Pokud jste finanční institucí, na kterou se vztahuje toto pravidlo, udržujte školení o bezpečnosti aktuální, jak je popsáno v pravidle FTC Safeguards Rule, a zeptejte se svého právního zástupce, co dalšího platí ve vaší zemi nebo státě.
Způsoby, jak tyto kurzy provozovat AhaSlides
Kterýkoli z nich si můžete vytvořit jako kurz vlastním tempem s AhaSlides tvůrce kurzů, spustit je jako živou diskusi s otázkami a odpověďmi, nebo obojí, s dotazníkem po kurzu a 30denní kontrolou, abyste zjistili, co se změnilo.
- Vyberte odpověď: ukažte úryvek kódu z kurzu a zeptejte se, jakou chybu skrývá.
- Word Cloud: Zeptejte se „Co kontrolujete před sloučením kódu napsaného asistentem?“ a porovnejte odpovědi s bezpečnou smyčkou kódování umělé inteligence.
- Stupnice hodnocení: Před a po se zeptejte na stupnici od 1 do 5: „Jak jistě si vnímáte soubojový stav při kontrole?“.
- Otevřený konec: shromažďovat anonymní téměř neúspěšné situace z posledního sprintu na konci živé relace.
Nejčastější dotazy
Jaké bezpečnostní školení vývojáři potřebují?
Vývojáři potřebují bezpečné kódování, práci se závislostmi a tajnými kódy a bezpečné používání nástrojů pro kódování s umělou inteligencí. Výše uvedené kurzy tyto aspekty zahrnují a navíc základní znalosti, které potřebuje každý zaměstnanec.
Je kód generovaný umělou inteligencí bezpečný?
Ne ve výchozím nastavení. Vyžaduje stejnou kontrolu, testování a skenování jako jakýkoli jiný kód a kontrolu, zda každý navrhovaný balíček existuje a je schválen.
Co je to bezpečnost paměti?
Bezpečnost paměti spočívá v prevenci chyb, jako je přetečení vyrovnávací paměti a použití po uvolnění paměti, které útočníci zneužívají. Jazyky C a C++ k dosažení tohoto cíle potřebují pravidla a statickou analýzu.
Jak často by se měli vývojáři přeškolovat v oblasti bezpečnosti?
Jednou ročně, s krátkými aktualizacemi při změně frameworků, nástrojů nebo hrozeb.
Tento příspěvek je obecnou informací, nikoli právní radou. Pro rozhodnutí ohledně vašeho vlastního pracoviště se obraťte na kvalifikovaného právníka nebo regulační orgán.
