Última revisión: 4 de noviembre de 2026, cotejada con las fuentes enlazadas en esta publicación.
La solicitud de extracción se ve ordenada. El asistente de codificación escribió la mayor parte, las pruebas pasan y agrega una biblioteca que nadie en el equipo conoce. Si la fusionas, podrías lanzar un paquete que no existía la semana pasada o un punto final que omite una verificación de acceso. Esa es la brecha que la capacitación en seguridad para desarrolladores debe cerrar. El Top 10:2025 de OWASP coloca el control de acceso roto en primer lugar e informa que El 100% de las aplicaciones probadas presentaban algún tipo de fallo en el control de acceso..
Esta lista es para gerentes de ingeniería y campeones de seguridad. Obtendrá 10 cursos listos para usar en 3 grupos, qué soluciona cada uno y cómo implementarlos. Cada grupo termina con un Nuestra selecciónEl único punto legal describe una norma federal estadounidense, así que utilícelo como temario, no como dictamen.
Los 10 cursos de un vistazo
| Curso | Lo que cubre | Longitud Mínima | ¿La ley que lo respalda? |
|---|---|---|---|
| Desarrollo de software seguro asistido por IA | Asistentes de codificación, agentes y el ciclo de codificación de IA segura | 45 min | No |
| C y C++ seguros para la memoria según los estándares CERT y MISRA. | Vida útil, punteros, fallos comunes y análisis estático | 45 min | No |
| seguridad de concurrencia | Hilos, bloqueos, condiciones de carrera y bloqueos mutuos | 40 min | No |
| Incorporación de desarrolladores de plataformas empresariales | Un primer cambio seguro, extensiones y control de cambios | 45 min | No |
| Clasificación y manejo de datos | Niveles, almacenamiento, compartición y eliminación de datos | 25 min | No |
| Seguridad de la IA para todos | Paquetes de IA en la sombra, inyección rápida y código desconocido | 30 min | No |
| Elementos esenciales de concienciación sobre seguridad | Las etapas de un ataque y los hábitos básicos | 35 min | Sí (instituciones financieras cubiertas por EE. UU.) |
| Phishing e ingeniería social | Señales de alerta, verificación e informes | 30 min | No |
| Contraseñas, claves de acceso y autenticación multifactor | Inicios de sesión seguros, autenticación multifactor, claves de acceso y recuperación | 30 min | No |
| Ingeniería social, fraude y deepfakes | Estafas telefónicas, de pago y de suplantación de identidad | 35 min | No |
Solo el curso de concienciación sobre seguridad se basa en una norma federal estadounidense, y solo para algunas organizaciones: la Regla de Salvaguardias de la FTC establece que las instituciones financieras cubiertas deben proporcionar capacitación en concientización sobre seguridad para su personalNo marca el rumbo para todos los demás.
Desarrollo seguro y protegido
Desarrollo de software seguro asistido por IA: asistentes y agentes de codificación sin riesgo
Este curso de 45 minutos comienza con un paquete ficticio que se convierte en un ataque, luego cubre seis formas en que fallan los asistentes y agentes de codificación, el ciclo de codificación segura de IA (solicitar, inspeccionar, probar, divulgar), las áreas grises de los datos del cliente, los comandos de shell y las solicitudes de extracción no probadas, y las herramientas aprobadas con etiquetas de uso de IA en las solicitudes de extracción. Finaliza con una verificación final de 12 preguntas con un 80 % para aprobar. La ronda de "encuentra el fallo" funciona bien como una diapositiva de "Elige la respuesta". Para la parte de revisión, ver Nuestra guía para la formación en revisión de código generada por IA.
C y C++ seguros para la memoria según los estándares CERT y MISRA.
Las vulnerabilidades de seguridad de memoria son un tipo de fallo bien conocido en C y C++. Este curso de 45 minutos comienza con un fallo provocado por un puntero errante, y luego abarca la pila, el montón y su tiempo de vida, punteros y arreglos, fallos comunes como el uso de memoria liberada, reglas de codificación en la práctica y análisis estático. Una pregunta de "identifica el fallo" es una ronda ideal para elegir la respuesta en una sesión de revisión de código en equipo.
Seguridad de la concurrencia: hilos, bloqueos y condiciones de carrera
Las condiciones de carrera provocan errores que pasan todas las pruebas hasta llegar a producción. Este curso de 40 minutos sigue un contador que fallaba cada diez ejecuciones y luego cubre hilos, procesos y programación asíncrona, bloqueos, mutex y semáforos, condiciones de carrera e interbloqueo, patrones por lenguaje y una lista de verificación de repaso. El escenario de "elige la herramienta", mutex o semáforo, permite a los desarrolladores back-end comprobar rápidamente sus conocimientos.
Incorporación de desarrolladores a plataformas empresariales: su primer cambio seguro a una plataforma empresarial.
Los desarrolladores novatos en una plataforma empresarial configurable suelen cometer errores con su primer cambio. Este curso de 45 minutos abarca ese primer cambio en una configuración en producción, conceptos de la plataforma, informes y procesamiento, extensiones y el repositorio de configuración, control de cambios y cómo redactar un informe de traspaso. Úselo durante la primera semana de un nuevo empleado, antes de que interactúe con un componente de un proveedor.
Nuestra recomendación: Desarrollo de software seguro asistido por IA. Actualmente, muchos equipos implementan código escrito por asistentes, y este curso les proporciona un bucle a seguir antes de integrarlo.
Seguridad de datos y herramientas de IA
Clasificación y manejo de datos
Los desarrolladores copian datos de producción en sistemas de prueba y comparten registros en el chat. Este curso de 25 minutos explica por qué existe la clasificación, los niveles de la empresa, qué está permitido y qué no al etiquetar, almacenar, compartir y eliminar datos, las señales de alerta y cómo escalar problemas. Finaliza con una evaluación final de 10 preguntas; se requiere un 80 % para aprobar. "¿Dónde se deben almacenar los datos confidenciales?" es una pregunta de respuesta rápida.
Seguridad de la IA para todos: IA en la sombra, inyección de mensajes y resultados manipulados.
La inyección de mensajes y los paquetes de código desconocido afectan directamente a los asistentes de codificación. Este curso de 30 minutos abarca la IA en la sombra y un chatbot comprometido, la inyección de mensajes y el contenido manipulado, las instrucciones ocultas en archivos PDF y correos electrónicos, las extensiones de IA gratuitas y los paquetes de código desconocido, así como la forma de informar de un incidente o solicitar una herramienta aprobada. Una nube de palabras sobre "¿Qué herramientas de IA tiene su editor hoy?" muestra qué debe cubrir su política.
Nuestra recomendación: Clasificación y manejo de datos. Un rastreo de pila pegado en un chatbot es una fuga de datos, y este breve curso aclara los niveles antes de que ocurra.
Protección de cuentas y contra el phishing
Elementos esenciales de concienciación sobre seguridad
Los desarrolladores manejan el código fuente, información confidencial y acceso a la canalización de datos, por lo que la seguridad básica es fundamental para ellos. Este curso de 35 minutos abarca por qué las personas son blanco de ataques, la anatomía de un ataque, las señales de alerta, cómo protegerse y cómo responder e informar, con una evaluación final de 12 preguntas que requiere una calificación del 80 % para aprobar. Para las instituciones financieras sujetas a esta normativa, es una forma práctica de cumplir con el requisito de capacitación en concientización sobre seguridad de la Regla de Salvaguardias de la FTC, aunque la regla no especifica ningún curso en particular.
Phishing e ingeniería social
Los desarrolladores son víctimas de phishing para obtener credenciales de repositorio y de la nube. Este curso de 30 minutos explica cómo se diseñan los ataques, las señales de alerta, cómo protegerse y cómo reportarlos, con una evaluación final de 12 preguntas que requiere un 80 % de aciertos para aprobar. Agregue un ejemplo de una página de inicio de sesión falsa de alojamiento de código a la presentación en vivo. Su SOC prioriza lo que reportan los desarrolladores: ver nuestra lista de capacitación para analistas SOC.
Contraseñas, claves de acceso y autenticación multifactor para el personal
Las cuentas de desarrollador protegen el código y los flujos de trabajo, por lo que requieren una autenticación sólida. Este curso de 30 minutos aborda por qué las cuentas son un objetivo, los inicios de sesión seguros y únicos, la autenticación multifactor y las claves de acceso, las páginas de inicio de sesión falsas y las zonas grises del uso compartido, los accesos directos y la recuperación. Una escala de valoración sobre "¿Cuántas de tus cuentas utilizan la autenticación multifactor?" da pie a una conversación sincera.
Ingeniería social, fraude y deepfakes: estafas telefónicas, de pago y de suplantación de identidad.
Las estafas de suplantación de identidad tienen como objetivo a los ingenieros que pueden aprobar el acceso o las implementaciones. Este curso de 35 minutos analiza una solicitud convincente, cubre las tácticas, la verificación mediante un número conocido, la falsificación de voz y video, y explica por qué la antigüedad y el secreto son presión, no prueba. Un escenario de "¿Me concedería este acceso?" funciona como una ronda de selección de respuestas.
Nuestra recomendación: Contraseñas, claves de acceso y autenticación multifactor para el personal. El robo de las credenciales de un desarrollador puede afectar a todo el sistema, y las claves de acceso son resistentes al phishing, por lo que una contraseña robada por sí sola ya no permite acceder a él.
Cómo implementar el plan
Comience donde las fallas son más comunes. Con el control de acceso roto encontrado en Todas las aplicaciones analizadas por OWASPCombina los cursos de codificación segura con hábitos de repaso, no solo con diapositivas.
- En la primera semana de un nuevo desarrollador: Aspectos esenciales de la concienciación sobre seguridad, contraseñas, claves de acceso y autenticación multifactor (MFA), clasificación de datos y el curso de incorporación a la plataforma, si su equipo utiliza una.
- Durante el primer mes: Desarrollo seguro asistido por IA, seguridad de la IA para todos y el curso de seguridad de memoria o concurrencia para los lenguajes que utiliza su equipo.
- Cada año: un cuestionario de repaso de cada curso, además de los cursos de IA cada vez que se aprueba un nuevo asistente o agente.
- Cuando aplica: Si usted es una institución financiera sujeta a la normativa, mantenga actualizada la capacitación en materia de seguridad, tal como lo describe la Regla de Salvaguardias de la FTC, y consulte con su asesor legal qué otras disposiciones se aplican en su país o estado.
Formas de impartir estos cursos en AhaSlides
Puedes crear cualquiera de estos como un curso a tu propio ritmo con el AhaSlides El creador del curso puede implementarlo como una sesión de preguntas y respuestas en vivo, o ambas cosas, con una encuesta posterior al curso y una revisión a los 30 días para ver qué ha cambiado.
- Elija respuesta: Muestra un fragmento de código del curso y pregunta qué fallo oculta.
- Nube de palabras: Pregunte "¿Qué comprueba antes de fusionar el código escrito por el asistente?" y compare las respuestas con el ciclo de codificación segura de la IA.
- Escala de valoración: Antes y después, pregunte "¿Qué tan seguro está de detectar una condición de carrera en la revisión?" del 1 al 5.
- Final abierto: Recopilar de forma anónima los incidentes que estuvieron a punto de ocurrir en el último sprint al final de una sesión en vivo.
Preguntas Frecuentes
¿Qué formación en seguridad necesitan los desarrolladores?
Los desarrolladores necesitan codificación segura, manejo de dependencias y secretos, y uso seguro de herramientas de codificación de IA. Los cursos mencionados anteriormente cubren estos aspectos, además de los conocimientos básicos que todo empleado necesita.
¿Es seguro el código generado por IA?
No por defecto. Requiere la misma revisión, prueba y análisis que cualquier otro código, además de una verificación de que cada paquete sugerido exista y esté aprobado.
¿Qué es la seguridad de la memoria?
La seguridad de la memoria consiste en prevenir errores como desbordamientos de búfer y el uso de memoria liberada, que los atacantes pueden explotar. C y C++ necesitan reglas y análisis estático para lograrlo.
¿Con qué frecuencia deberían los desarrolladores recibir formación continua en seguridad?
Una vez al año, con actualizaciones breves cuando cambian los marcos de trabajo, las herramientas o las amenazas.
Esta publicación contiene información general y no constituye asesoramiento legal. Para tomar una decisión sobre su lugar de trabajo, consulte con un abogado calificado o con el organismo regulador.
