Sidst gennemgået 4. november 2026 i forhold til de kilder, der er linket til i dette indlæg.
Pull-anmodningen ser pæn ud. Kodningsassistenten skrev det meste af den, testene består, og den tilføjer et bibliotek, som ingen på teamet har hørt om. Flet den, og du kan sende en pakke, der ikke eksisterede i sidste uge, eller et endpoint, der springer en adgangskontrol over. Det er det hul, sikkerhedstræning for udviklere skal lukke. OWASP's Top 10:2025 sætter defekt adgangskontrol først og rapporterer, at 100% af de testede applikationer havde en eller anden form for defekt adgangskontrol.
Denne liste er for tekniske ledere og sikkerhedsforkæmpere. Du får 10 færdiglavede kurser i 3 grupper, hvad hver gruppe løser, og hvordan de implementeres. Hver gruppe afsluttes med en Vores valgDet ene juridiske punkt beskriver en amerikansk føderal regel, så brug dette som et pensum, ikke en afgørelse.
Alle 10 kurser på et øjeblik
| Course | Hvad det dækker over | Længde | Lovgivningen bag det? |
|---|---|---|---|
| Sikker AI-assisteret softwareudvikling | Kodningsassistenter, agenter og den sikre AI-kodningsløkke | 45 min | Ingen |
| Hukommelsessikker C og C++ i henhold til CERT- og MISRA-standarder | Levetider, pointers, almindelige fejl og statisk analyse | 45 min | Ingen |
| Samtidighedssikkerhed | Tråde, låse, løbsbetingelser og fastlåsning | 40 min | Ingen |
| Onboarding af virksomhedsplatformudvikler | En første sikker ændring, udvidelser og ændringskontrol | 45 min | Ingen |
| Dataklassificering og -håndtering | Niveauer, lagring, deling og bortskaffelse af data | 25 min | Ingen |
| AI-sikkerhed for alle | Skygge-AI, prompt injection og ukendte kodepakker | 30 min | Ingen |
| Vigtige sikkerhedsbevidsthedsprincipper | Faserne i et angreb og kernevaner | 35 min | Ja (amerikansk dækkede finansielle institutioner) |
| Phishing og social engineering | Røde flag, verifikation og rapportering | 30 min | Ingen |
| Adgangskoder, adgangsnøgler og multifaktorgodkendelse | Sikre logins, MFA, adgangsnøgler og gendannelse | 30 min | Ingen |
| Social engineering, svindel og deepfakes | Telefon-, betalings- og efterligningssvindel | 35 min | Ingen |
Kun kurset i sikkerhedsbevidsthed er baseret på en amerikansk føderal regel, og kun for nogle organisationer: FTC's sikkerhedsregel siger, at berørte finansielle institutioner skal tilbyde sikkerhedsbevidsthedstræning til deres personaleDen sætter ikke kursen for alle andre.
Sikker og tryg udvikling
Sikker AI-assisteret softwareudvikling: kodningsassistenter og -agenter uden risiko
Dette 45-minutters kursus åbner med en hallucineret pakke, der bliver til et angreb, og dækker derefter seks måder, hvorpå kodningsassistenter og -agenter fejler, den sikre AI-kodningsløkke (prompt, inspicer, test, disclose), gråzonerne i kundedata, shell-kommandoer og utestede pull-anmodninger samt godkendte værktøjer med AI-brugsmærkater på pull-anmodninger. Det slutter med en afsluttende kontrol på 12 spørgsmål, hvor 80% bestås. "Spot the flaw"-runden fungerer godt som en "Pick Answer"-slide. For gennemgangssiden, se ... vores guide til træning i AI-genereret kodegennemgang.
Hukommelsessikker C og C++ i henhold til CERT- og MISRA-standarder
Hukommelsessikkerhedsfejl er en velkendt type sårbarhed i C og C++. Dette 45-minutters kursus starter med et nedbrud fra en vildfaren pointer og dækker derefter stak, heap og levetider, pointere og arrays, almindelige fejl såsom brug efter frigivelse, kodningsregler i praksis og statisk analyse i gennemgang. Et "navngiv fejlen"-spørgsmål er en naturlig Pick Answer-runde til en team-kodegennemgangssession.
Samtidighedssikkerhed: tråde, låse og racebetingelser
Race conditions forårsager fejl, der består hver test indtil produktion. Dette 40-minutters kursus følger en tæller, der var forkert hver tiende kørsel, og dækker derefter tråde, processer og asynkronisering, låse, mutexer og semaforer, race conditions og deadlock, mønstre efter sprog og en gennemgangstjekliste. "Vælg værktøjet"-scenariet, mutex eller semafor, giver backend-udviklere et hurtigt overblik over, hvad de ved.
Onboarding af virksomhedsplatformudvikler: dit første sikre skift til en virksomhedsplatform
Nye udviklere på en konfigurerbar forretningsplatform ødelægger ofte tingene allerede ved deres første ændring. Dette 45-minutters kursus dækker den første ændring af en livekonfiguration, platformkoncepter, rapporter og behandling, udvidelser og konfigurationslageret, ændringskontrol og skrivning af en overleveringsnote. Brug det i en nybegynders første uge, før de rører ved et leverandørobjekt.
Vores valg: Sikker AI-assisteret softwareudvikling. Mange teams leverer nu assistentskrevet kode, og dette kursus giver dem én løkke at følge, før de fletter den sammen.
Data- og AI-værktøjssikkerhed
Dataklassificering og -håndtering
Udviklere kopierer produktionsdata til testsystemer og deler logs i chatten. Dette 25-minutters kursus dækker, hvorfor klassificering findes, virksomhedens niveauer, hvad der er tilladt og ikke tilladt, når man mærker, opbevarer, deler og bortskaffer data, røde flag og hvordan man eskalerer. Det afsluttes med en afsluttende kontrol på 10 spørgsmål, hvor 80% af point skal bestås. "Hvor skal fortrolige data opbevares?" er et hurtigt "Tilbage til et svar"-spørgsmål.
AI-sikkerhed for alle: skygge-AI, prompt injektion og manipulerede output
Prompt injection og ukendte kodepakker påvirker kodeassistenter direkte. Dette 30-minutters kursus dækker skygge-AI og en kompromitteret chatbot, prompt injection og forgiftet indhold, skjulte instruktioner i PDF'er og e-mails, gratis AI-udvidelser og ukendte kodepakker, og hvordan man rapporterer en hændelse eller anmoder om et godkendt værktøj. En ordsky om "hvilke AI-værktøjer er i din editor i dag?" viser, hvad din politik skal dække.
Vores valg: Dataklassificering og -håndtering. En staksporing indsat i en chatbot er en datalækage, og dette korte kursus gør niveauerne klare, før det sker.
Konto- og phishing-forsvar
Vigtige sikkerhedsbevidsthedsprincipper
Udviklere besidder kildekode, hemmeligheder og adgang til pipelines, så baseline-princippet er vigtigere for dem. Dette 35-minutters kursus dækker, hvorfor folk er mål, anatomien af et angreb, røde flag, hvordan man beskytter sig selv, og hvordan man reagerer og rapporterer, med en afsluttende kontrol på 12 spørgsmål, hvor 80% skal bestås. For berørte finansielle institutioner er det en færdiglavet måde at opfylde FTC Safeguards Rules krav om sikkerhedsbevidsthedstræning, selvom reglen ikke nævner noget kursus.
Phishing og social engineering
Udviklere bliver udsat for phishing for at få adgang til repositories og cloud-oplysninger. Dette 30-minutters kursus forklarer, hvordan angreb opbygges, de røde flag, hvordan du beskytter dig selv, og hvordan du rapporterer, med en afsluttende kontrol på 12 spørgsmål, hvor 80% skal bestås. Tilføj et eksempel på en falsk loginside til kodehosting til live-rapporten. Din SOC sorterer, hvad udviklere rapporterer: se vores liste over SOC-analytikeruddannelser.
Adgangskoder, adgangsnøgler og multifaktorgodkendelse for personale
Udviklerkonti beskytter kode og pipelines, så de har brug for stærk godkendelse. Dette 30-minutters kursus dækker, hvorfor konti er målet, stærke og unikke logins, multifaktor- og adgangsnøgler, falske loginsider og gråzonerne inden for deling, genveje og gendannelse. En vurderingsskala om "hvor mange af dine konti bruger MFA?" starter en ærlig samtale.
Social engineering, svindel og deepfakes: telefon-, betalings- og personefterligningssvindel
Personefterligningssvindel er rettet mod ingeniører, der kan godkende adgang eller implementeringer. Dette 35-minutters kursus følger en overbevisende anmodning, dækker taktikken, verifikation af et kendt nummer, forfalsket stemme og video, og hvorfor anciennitet og hemmeligholdelse er pres, ikke bevis. Et "ville du give denne adgang?"-scenarie fungerer som en "Vil du give denne adgang?"-runde.
Vores valg: Adgangskoder, adgangsnøgler og multifaktorgodkendelse til personale. Ét stjålet udviklerlogin kan nå hele pipelinen, og adgangsnøgler modstår phishing, så en stjålet adgangskode alene åbner den ikke længere.
Sådan ruller du planen ud
Start hvor fejlene er mest almindelige. Med defekt adgangskontrol fundet i hver applikations OWASP-data testet, par de sikre kodningskurser med gennemgangsvaner, ikke kun slides.
- I en ny udviklers første uge: Vigtige sikkerhedsoplysninger, adgangskoder, adgangsnøgler og MFA, dataklassificering og platformens onboardingkursus, hvis dit team bygger videre på et.
- Inden for den første måned: sikker AI-assisteret udvikling, AI-sikkerhed for alle og hukommelsessikkerheds- eller samtidighedskurset for de sprog, dit team bruger.
- Hvert år: en opfriskningsquiz på hvert kursus, plus AI-kurserne, når en ny assistent eller agent godkendes.
- Når det gælder: Hvis du er en dækket finansiel institution, skal du holde sikkerhedsbevidsthedstræningen opdateret, som beskrevet i FTC's sikkerhedsregler, og spørg din advokat, hvad der ellers gælder i dit land eller din stat.
Måder at afholde disse kurser på AhaSlides
Du kan bygge en hvilken som helst af disse som et selvstudium med AhaSlides kursusopretter, kør dem som en live spørgerunde eller begge dele med en undersøgelse efter kurset og et 30-dages check-in for at se, hvad der har ændret sig.
- Vælg svar: vis et kodestykke fra kurset og spørg, hvilken fejl det skjuler.
- Word Cloud: spørg "Hvad tjekker du, før du fletter assistentskrevet kode?" og sammenlign svarene med den sikre AI-kodningsløkke.
- Bedømmelsesskala: Før og efter, spørg "Hvor sikker er du på at spotte en racebetingelse i gennemgangen?" fra 1 til 5.
- Åbent: Indsaml anonyme næsten-uheld fra den sidste sprint i slutningen af en live-session.
Ofte stillede spørgsmål
Hvilken sikkerhedstræning har udviklere brug for?
Udviklere har brug for sikker kodning, håndtering af afhængigheder og hemmeligheder samt sikker brug af AI-kodningsværktøjer. Ovenstående kurser dækker disse, plus den grundlæggende bevidsthed, som alle medarbejder har brug for.
Er AI-genereret kode sikker?
Ikke som standard. Den kræver den samme gennemgang, testning og scanning som al anden kode, og en kontrol af, at alle foreslåede pakker findes og er godkendt.
Hvad er hukommelsessikkerhed?
Hukommelsessikkerhed er forebyggelse af fejl såsom bufferoverløb og "use after free" som angribere udnytter. C og C++ har brug for regler og statisk analyse for at nå dertil.
Hvor ofte skal udviklere efteruddanne sig i sikkerhed?
En gang om året, med korte opdateringer, når rammer, værktøjer eller trusler ændres.
Dette indlæg er generel information, ikke juridisk rådgivning. For at træffe en beslutning om din egen arbejdsplads, skal du tale med en kvalificeret advokat eller tilsynsmyndigheden.
