Viimeksi tarkistettu 4. marraskuuta 2026 tässä viestissä linkitettyjä lähteitä vasten.
Pull-pyyntö näyttää siistiltä. Koodausassistentti kirjoitti suurimman osan siitä, testit läpäisivät sen ja se lisäsi kirjaston, josta kukaan tiimissä ei ollut kuullutkaan. Yhdistä ne, ja saatat lähettää paketin, jota ei ollut olemassa viime viikolla, tai päätepisteen, joka ohittaa käyttöoikeustarkistuksen. Tämä on se aukko, joka kehittäjien tietoturvakoulutuksen on paikattava. OWASP:n Top 10:2025 asettaa rikkinäisen käyttöoikeusvalvonnan etusijalle ja raportoi, että 100 prosentissa testatuista sovelluksista oli jonkinlainen rikkinäinen käyttöoikeuksien hallinta.
Tämä lista on tarkoitettu suunnittelupäälliköille ja tietoturvamestareille. Saat 10 valmista kurssia kolmessa ryhmässä, joista löydät tietoa siitä, mitä kukin korjaa ja miten ne otetaan käyttöön. Jokainen ryhmä päättyy… Meidän valintaYksi oikeudellinen kohta kuvaa Yhdysvaltain liittovaltion sääntöä, joten käytä sitä sisältöluettelona, älä päätöksenä.
Kaikki 10 kurssia yhdellä silmäyksellä
| Kurssi | Mitä se kattaa | Pituus | Laki sen takana? |
|---|---|---|---|
| Turvallinen tekoälyavusteinen ohjelmistokehitys | Koodausavustajat, agentit ja suojattu tekoälykoodaussilmukka | 45 min | Ei |
| Muistiturvallinen C ja C++ CERT- ja MISRA-standardien mukaisesti | Elinajat, osoittimet, yleiset virheet ja staattinen analyysi | 45 min | Ei |
| Samanaikaisuuden turvallisuus | Säikeet, lukot, kilpailutilanteet ja umpikuja | 40 min | Ei |
| Yritysalustakehittäjän perehdytys | Ensimmäinen turvallinen muutos, laajennukset ja muutostenhallinta | 45 min | Ei |
| Tietojen luokittelu ja käsittely | Tasot, datan tallentaminen, jakaminen ja hävittäminen | 25 min | Ei |
| Tekoälyn turvallisuus kaikille | Varjo-AI, pikainjektio ja tuntemattoman koodin paketit | 30 min | Ei |
| Tietoturvatietoisuuden perusteet | Hyökkäyksen vaiheet ja keskeiset tavat | 35 min | Kyllä (Yhdysvaltojen kattamat rahoituslaitokset) |
| Tietojenkalastelu ja sosiaalinen manipulointi | Varoitusmerkit, todentaminen ja raportointi | 30 min | Ei |
| Salasanat, todennukset ja monivaiheinen todennus | Turvalliset kirjautumiset, monitoimitunnistus, salasanat ja palautus | 30 min | Ei |
| Sosiaalinen manipulointi, petokset ja syvähuijaukset | Puhelin-, maksu- ja henkilöllisyyden anastushuijaukset | 35 min | Ei |
Vain turvallisuustietoisuuskurssi perustuu Yhdysvaltain liittovaltion sääntöön, ja vain joidenkin organisaatioiden osalta: FTC:n suojatoimia koskeva sääntö sanoo, että kurssien piiriin kuuluvien rahoituslaitosten on tarjottava turvallisuustietoisuuskoulutusta henkilöstölleenSe ei aseta kurssia kaikille muille.
Turvallinen ja varma kehitys
Turvallista tekoälyavusteista ohjelmistokehitystä: koodausavustajat ja -agentit ilman riskiä
Tämä 45 minuutin kurssi alkaa hallusinoituneella paketilla, josta tulee hyökkäys. Kurssi kattaa sitten kuusi tapaa, joilla koodausavustajat ja -agentit epäonnistuvat, suojatun tekoälykoodaussilmukan (kehote, tarkastus, testaus, paljastus), asiakastietojen harmaat alueet, shell-komennot ja testaamattomat pull-pyynnöt sekä hyväksytyt työkalut, joissa on tekoälyn käyttömerkinnät pull-pyynnöissä. Kurssi päättyy 12 kysymyksen lopputarkastukseen, jossa läpäisyprosentti on 80 %. "Löydä virhe" -kierros toimii hyvin myös valintadiana. Arviointipuolen osalta katso oppaamme tekoälyn luoman koodin tarkistuskoulutukseen.
Muistiturvallinen C ja C++ CERT- ja MISRA-standardien mukaisesti
Muistiturvallisuusvirheet ovat tunnettu haavoittuvuuksien luokka C- ja C++-kielissä. Tämä 45 minuutin kurssi alkaa yhden harhailevan osoittimen aiheuttamalla kaatumisella ja käsittelee sitten pinoa, kekoa ja elinaikoja, osoittimia ja taulukoita, yleisiä virheitä, kuten use after free -ominaisuuden, koodaussääntöjä käytännössä ja staattista analyysia kertausvaiheessa. "Nimeä virhe" -kysymys on luonnollinen vastausvalintakierros tiimikoodin kertaussessiossa.
Samanaikaisuuden turvallisuus: säikeet, lukot ja kilpailuehdot
Kilpailuolosuhteet aiheuttavat bugeja, jotka läpäisevät jokaisen testin tuotantoon asti. Tämä 40 minuutin kurssi seuraa laskuria, joka oli väärässä joka kymmenennellä ajolla, ja kattaa sitten säikeet, prosessit ja asynkroniikan, lukot, mutexit ja semaforit, kilpailuolosuhteet ja lukkiutumat, kielikohtaiset mallit ja tarkistuslistan. "Valitse työkalu" -skenaario, mutex tai semafori, antaa taustakehittäjille nopean tarkistuksen siitä, mitä he tietävät.
Yritysalustakehittäjän perehdytys: ensimmäinen turvallinen vaihtosi liiketoiminta-alustaan
Uudet kehittäjät konfiguroitavalla liiketoiminta-alustalla rikkovat usein asioita jo ensimmäisellä muutoksellaan. Tämä 45 minuutin kurssi kattaa ensimmäisen muutoksen live-konfiguraatioon, alustan käsitteet, raportit ja käsittelyn, laajennukset ja konfiguraatiotietovaraston, muutostenhallinnan ja luovutusmuistion kirjoittamisen. Käytä sitä uuden aloittajan ensimmäisellä viikolla ennen kuin hän koskee toimittajaobjektiin.
Valintamme: Turvallinen tekoälyavusteinen ohjelmistokehitys. Monet tiimit käyttävät nykyään avustajan kirjoittamaa koodia, ja tämä kurssi antaa heille yhden silmukan, jota he voivat seurata ennen koodin yhdistämistä.
Data- ja tekoälytyökalujen turvallisuus
Tietojen luokittelu ja käsittely
Kehittäjät kopioivat tuotantodataa testijärjestelmiin ja jakavat lokeja chatissa. Tämä 25 minuutin kurssi käsittelee luokittelun syitä, yrityksen tasoja, sallittuja ja kiellettyjä tietoja merkitessä, tallennettaessa, jaettaessa ja hävitettäessä, varoitusmerkkejä ja eskalointia. Kurssi päättyy 10 kysymyksen lopputarkastukseen, jossa läpäistään 80 % pisteistä. "Missä luottamukselliset tiedot tulisi säilyttää?" on nopea valintakysymys.
Tekoälyn tietoturvaa kaikille: varjotekoäly, nopea injektio ja manipuloidut tulosteet
Prompt-injektio ja tuntemattoman koodin paketit vaikuttavat suoraan koodausassistentteihin. Tämä 30 minuutin kurssi käsittelee varjotekoälyä ja vaarantunutta chatbottia, prompt-injektiota ja myrkytettyä sisältöä, piilotettuja ohjeita PDF-tiedostoissa ja sähköposteissa, ilmaisia tekoälylaajennuksia ja tuntemattoman koodin paketteja sekä sitä, miten ilmoitetaan tapauksesta tai pyydetään hyväksyttyä työkalua. Sanapilvi aiheesta "mitkä tekoälytyökalut ovat editorissasi tänään?" näyttää, mitä käytäntösi on katettava.
Valintamme: Tietojen luokittelu ja käsittely. Chatbottiin liitetty pinon jäljitys on tietovuoto, ja tämä lyhyt kurssi selventää tasoja ennen kuin se tapahtuu.
Tili- ja tietojenkalastelusuojaus
Tietoturvatietoisuuden perusteet
Kehittäjillä on hallussaan lähdekoodia, salaisuuksia ja pääsy prosessiin, joten lähtötaso on heille tärkeämpi. Tämä 35 minuutin kurssi kattaa miksi ihmiset joutuvat kohteeksi, hyökkäyksen anatomian, varoitusmerkit, miten suojautua sekä miten reagoida ja ilmoittaa hyökkäyksestä. Loppukokeessa on 12 kysymystä, jotka vaaditaan 80 %:n läpäisyasteen saavuttamiseksi. Suojatuille rahoituslaitoksille se on valmis tapa täyttää FTC:n suojaussäännön turvallisuustietoisuuskoulutusvaatimus, vaikka säännössä ei mainita kurssia erikseen.
Tietojenkalastelu ja sosiaalinen manipulointi
Kehittäjiltä varastetaan tietovarasto- ja pilvitunnistetietoja. Tämä 30 minuutin kurssi selittää, miten hyökkäykset rakennetaan, varoitusliput, miten suojautua ja miten ilmoittaa hyökkäyksistä. Kurssilla on 12 kysymyksen lopputarkistus, jonka jälkeen läpäistään 80 %. Lisää live-esimerkki väärennetystä koodin ylläpitoon tarkoitetusta kirjautumissivusta. SOC-kurssisi luokittelee kehittäjien raportoimat asiat: katso SOC-analyytikoiden koulutuslistamme.
Salasanat, todennukset ja monivaiheinen todennus henkilökunnalle
Kehittäjätilit suojaavat koodia ja kehitysputkia, joten ne tarvitsevat vahvan todennuksen. Tämä 30 minuutin kurssi käsittelee sitä, miksi tilit ovat kohteena, vahvoja ja yksilöllisiä kirjautumisia, monivaiheisia todennuksia ja salasanoja, väärennettyjä kirjautumissivuja sekä jakamisen, oikopolkujen ja palautuksen harmaita alueita. Arviointiasteikko kysymyksellä "kuinka moni tileistäsi käyttää monivaiheista todennusta?" aloittaa rehellisen keskustelun.
Sosiaalinen manipulointi, petokset ja syvähuijaukset: puhelin-, maksu- ja henkilöllisyyden anastushuijaukset
Toisena henkilönä esiintymiseen tähtäävät huijaukset kohdistuvat insinööreihin, jotka voivat hyväksyä käyttöoikeuksia tai käyttöönottoja. Tämä 35 minuutin kurssi seuraa vakuuttavaa pyyntöä ja käsittelee taktiikoita, vahvistusta tunnetulla numerolla, väärennettyä ääntä ja videota sekä sitä, miksi virka-asema ja salassapito ovat paineita, eivät todisteita. "Myöntäisitkö tämän käyttöoikeuden?" -skenaario toimii ikään kuin Valitse vastaus -kierroksena.
Valintamme: Salasanat, todennukset ja monivaiheinen todennus henkilökunnalle. Yksi varastettu kehittäjän kirjautumistunnus voi kattaa koko prosessin, ja salasanat kestävät tietojenkalastelua, joten pelkkä varastettu salasana ei enää avaa sitä.
Kuinka ottaa suunnitelma käyttöön
Aloita sieltä, missä vikoja on yleisimmin. Rikkoutuneella pääsynvalvonnalla jokaisen sovelluksen OWASP-data testattuYhdistä turvallisen koodauksen kurssit arviointitapoihin, älä pelkästään dioihin.
- Uuden kehittäjän ensimmäisellä viikolla: tietoturvatietoisuuden perusteet, salasanat, todentamisavaimet ja monitoimitunnistus, tietojen luokittelu sekä alustan käyttöönottokurssi, jos tiimisi rakentaa sellaisen pohjalle.
- Ensimmäisen kuukauden aikana: turvallinen tekoälyavusteinen kehitys, tekoälyn tietoturva kaikille sekä muistin tietoturva- tai rinnakkaiskurssi tiimisi käyttämille kielille.
- Joka vuosi: kertauskysely jokaisella kurssilla sekä tekoälykurssit aina, kun uusi avustaja tai agentti hyväksytään.
- Milloin se soveltuu: Jos olet suojattu rahoituslaitos, pidä turvallisuustietoisuuskoulutus ajan tasalla FTC:n suojaussäännön mukaisesti ja kysy neuvonantajaltasi, mitä muuta maassasi tai osavaltiossasi sovelletaan.
Tapoja näiden kurssien järjestämiseen AhaSlides
Voit rakentaa minkä tahansa näistä omaan tahtiin etenevän kurssin käyttämällä AhaSlides kurssin luoja, käytä niitä live-kysymys- ja vastausosioina tai molempina, ja tee kurssin jälkeinen kysely ja 30 päivän tarkistus, jolla näet, mikä on muuttunut.
- Valitse vastaus: Näytä kurssin koodinpätkä ja kysy, minkä virheen se piilottaa.
- Sanapilvi: kysy "Mitä tarkistat ennen avustajan kirjoittaman koodin yhdistämistä?" ja vertaa vastauksia suojattuun tekoälykoodaussilmukkaan.
- Arviointiasteikko: ennen ja jälkeen, kysy "Kuinka varma olet siitä, että havaitset kilpailutilanteen tarkastelun aikana?" asteikolla 1-5.
- Avoin päättynyt: Kerää nimettömiä läheltä piti -tilanteita viimeisestä sprintistä live-session lopussa.
FAQ
Millaista tietoturvakoulutusta kehittäjät tarvitsevat?
Kehittäjät tarvitsevat tietoa turvallisesta koodauksesta, riippuvuuksien ja salaisuuksien käsittelystä sekä tekoälykoodaustyökalujen turvallisesta käytöstä. Yllä olevat kurssit kattavat nämä sekä jokaisen työntekijän tarvitsemat perusasiat.
Onko tekoälyn luoma koodi turvallista?
Ei oletuksena. Se vaatii saman tarkistuksen, testauksen ja skannauksen kuin mikä tahansa muu koodi, ja tarkistuksen, että jokainen ehdotettu paketti on olemassa ja hyväksytty.
Mitä on muistin turvallisuus?
Muistin turvallisuus tarkoittaa virheiden, kuten puskurin ylivuotojen ja hyökkääjien hyödyntämien virheiden, estämistä. C ja C++ tarvitsevat sääntöjä ja staattista analyysia päästäkseen tähän pisteeseen.
Kuinka usein kehittäjien tulisi kouluttautua uudelleen tietoturvan suhteen?
Kerran vuodessa, lyhyillä päivityksillä, kun kehykset, työkalut tai uhat muuttuvat.
Tämä viesti on yleistä tietoa, ei oikeudellista neuvontaa. Jos haluat tehdä oman työpaikkasi suhteen päätöksen, keskustele pätevän asianajajan tai sääntelyviranomaisen kanssa.
