Dernière vérification le 4 novembre 2026 par rapport aux sources mentionnées dans cet article.
La demande de fusion semble correcte. L'assistant de développement en a écrit la majeure partie, les tests sont concluants et elle ajoute une bibliothèque inconnue de tous dans l'équipe. Fusionnez-la, et vous risquez de déployer un package qui n'existait pas la semaine dernière ou un point de terminaison qui contourne le contrôle d'accès. C'est précisément la lacune que la formation à la sécurité des développeurs doit combler. Le Top 10:2025 de l'OWASP place les failles de contrôle d'accès en tête et signale que… 100 % des applications testées présentaient une forme ou une autre de défaillance du contrôle d'accès..
Cette liste s'adresse aux responsables d'ingénierie et aux référents sécurité. Elle comprend 10 formations prêtes à l'emploi, réparties en 3 groupes, détaillant les problèmes résolus et leur mise en œuvre. Chaque groupe se termine par un Notre choixLe seul point juridique décrit une règle fédérale américaine ; il faut donc l'utiliser comme un programme de cours, et non comme une décision de justice.
Aperçu des 10 cours
| Cours | Ce qu'il couvre | longueur du câble | La loi qui sous-tend cela ? |
|---|---|---|---|
| Développement de logiciels sécurisés assisté par l'IA | Assistants de codage, agents et boucle de codage IA sécurisée | 45 min | Non |
| Programmation C et C++ sécurisée en mémoire conforme aux normes CERT et MISRA | Durées de vie, pointeurs, défauts courants et analyse statique | 45 min | Non |
| sécurité de la concurrence | Threads, verrous, conditions de concurrence et interblocage | 40 min | Non |
| Intégration des développeurs de plateformes d'entreprise | Un premier changement sécurisé, des extensions et le contrôle des changements | 45 min | Non |
| Classification et traitement des données | Niveaux, stockage, partage et élimination des données | 25 min | Non |
| La sécurité IA pour tous | Shadow AI, injection de prompt et packages de code inconnu | 30 min | Non |
| notions essentielles de sensibilisation à la sécurité | Les étapes d'une attaque et les habitudes fondamentales | 35 min | Oui (institutions financières américaines couvertes) |
| Hameçonnage et ingénierie sociale | Signaux d'alerte, vérification et signalement | 30 min | Non |
| Mots de passe, clés d'accès et authentification multifacteurs | Connexions sécurisées, authentification multifacteur, mots de passe et récupération | 30 min | Non |
| Ingénierie sociale, fraude et deepfakes | Arnaques téléphoniques, escroqueries au paiement et usurpation d'identité | 35 min | Non |
Seule la formation de sensibilisation à la sécurité est soumise à une réglementation fédérale américaine, et seulement pour certaines organisations : la règle de la FTC relative aux garanties stipule que les institutions financières concernées doivent la dispenser. formation de leur personnel à la sensibilisation à la sécuritéCela ne donne pas de cap à tous les autres.
développement sûr et sécurisé
Développement logiciel sécurisé assisté par l'IA : des assistants et agents de programmation sans risque
Ce cours de 45 minutes débute par la simulation d'un package halluciné qui se transforme en attaque, puis aborde six erreurs courantes des assistants et agents de programmation, la boucle de codage sécurisée pour l'IA (invite, inspection, test, divulgation), les zones grises liées aux données client, aux commandes shell et aux demandes de fusion non testées, ainsi qu'aux outils approuvés avec des étiquettes d'utilisation de l'IA sur les demandes de fusion. Il se termine par un questionnaire final de 12 questions, avec un seuil de réussite de 80 %. Le module « Repérer la faille » fonctionne bien avec une diapositive à choix multiple. Pour la partie révision, voir… Notre guide sur la formation à la revue de code générée par l'IA.
Programmation C et C++ sécurisée en mémoire conforme aux normes CERT et MISRA
Les failles de sécurité mémoire constituent une catégorie de vulnérabilités bien connue en C et C++. Ce cours de 45 minutes débute par un plantage dû à un pointeur errant, puis aborde la pile, le tas et la durée de vie des variables, les pointeurs et les tableaux, les erreurs courantes telles que l'utilisation de mémoire après sa libération, les règles de codage en pratique et l'analyse statique lors des revues de code. Une question du type « Identifiez la faille » constitue un exercice naturel lors d'une session de revue de code en équipe.
Sécurité en cas de concurrence : threads, verrous et conditions de concurrence
Les conditions de concurrence provoquent des bogues qui passent tous les tests jusqu'à la production. Ce cours de 40 minutes part du constat d'un compteur erroné une fois sur dix, puis aborde les threads, les processus et l'asynchrone, les verrous, les mutex et les sémaphores, les conditions de concurrence et les interblocages, les modèles de programmation par langage et une liste de vérification. Le scénario « choisissez l'outil », mutex ou sémaphore, permet aux développeurs back-end de tester rapidement leurs connaissances.
Intégration des développeurs de plateformes d'entreprise : votre première transition sécurisée vers une plateforme métier
Sur une plateforme métier configurable, les nouveaux développeurs commettent souvent des erreurs lors de leur première modification. Ce cours de 45 minutes aborde cette première intervention sur une configuration en production, les concepts de la plateforme, les rapports et le traitement des données, les extensions et le référentiel de configuration, la gestion des changements et la rédaction d'une note de passation de consignes. Il est recommandé de l'utiliser lors de la première semaine d'intégration d'un nouvel employé, avant toute intervention sur un objet du fournisseur.
Notre choix : le développement de logiciels sécurisés assisté par l’IA. De nombreuses équipes livrent désormais du code écrit par des assistants, et ce cours leur fournit une boucle de contrôle à suivre avant de le fusionner.
Sécurité des données et des outils d'IA
Classification et traitement des données
Les développeurs copient les données de production dans les systèmes de test et partagent les journaux via une messagerie instantanée. Ce cours de 25 minutes explique pourquoi la classification existe, les niveaux de classification de l'entreprise, ce qui est autorisé et interdit lors de l'étiquetage, du stockage, du partage et de la suppression des données, les signaux d'alerte et la procédure d'escalade. Il se termine par un quiz final de 10 questions ; un score de 80 % est requis pour réussir. « Où les données confidentielles doivent-elles être stockées ? » est une question à choix multiple.
La sécurité de l'IA pour tous : IA fantôme, injection de prompts et résultats manipulés
L'injection de prompts et les packages de code inconnus affectent directement les assistants de programmation. Ce cours de 30 minutes aborde l'IA fantôme et les chatbots compromis, l'injection de prompts et le contenu empoisonné, les instructions cachées dans les PDF et les e-mails, les extensions d'IA gratuites et les packages de code inconnus, ainsi que la procédure de signalement d'un incident ou de demande d'un outil approuvé. Un nuage de mots intitulé « Quels outils d'IA sont actuellement utilisés dans votre éditeur ? » illustre les points que votre politique doit couvrir.
Notre choix : Classification et traitement des données. Une trace de pile collée dans un chatbot constitue une fuite de données, et ce court cours permet d'en identifier les différents niveaux avant que cela ne se produise.
Protection contre le phishing et les comptes
notions essentielles de sensibilisation à la sécurité
Les développeurs détiennent le code source, les secrets et l'accès au pipeline ; par conséquent, la configuration de base est primordiale pour eux. Ce cours de 35 minutes explique pourquoi les individus sont ciblés, le déroulement d'une attaque, les signaux d'alerte, comment se protéger et comment réagir et signaler les incidents. Un questionnaire final de 12 questions est requis pour réussir, avec un score de 80 %. Pour les institutions financières concernées, il s'agit d'une solution clé en main pour satisfaire aux exigences de formation à la sensibilisation à la sécurité de la règle de la FTC sur les garanties, bien que cette règle ne mentionne aucun cours spécifique.
Hameçonnage et ingénierie sociale
Les développeurs sont victimes d'hameçonnage visant à obtenir leurs identifiants de dépôt et de cloud. Ce cours de 30 minutes explique le fonctionnement des attaques, les signes d'alerte, comment se protéger et comment les signaler. Un questionnaire final de 12 questions est requis pour réussir (80 % de réussite). Un exemple de fausse page de connexion à un service d'hébergement de code sera ajouté à la présentation. Votre SOC trie les signalements des développeurs : voir notre liste de formation d'analyste SOC.
Mots de passe, clés d'accès et authentification multifacteurs pour le personnel
Les comptes développeurs protègent le code et les pipelines, d'où la nécessité d'une authentification forte. Ce cours de 30 minutes explique pourquoi les comptes sont une cible prioritaire, les identifiants de connexion robustes et uniques, l'authentification multifacteurs et les mots de passe, les fausses pages de connexion et les zones grises liées au partage, aux raccourcis et à la récupération. Un questionnaire sur le nombre de vos comptes utilisant l'authentification multifacteurs permettra d'amorcer une discussion franche.
Ingénierie sociale, fraude et deepfakes : escroqueries téléphoniques, de paiement et d’usurpation d’identité
Les arnaques par usurpation d'identité ciblent les ingénieurs habilités à approuver les accès ou les déploiements. Ce cours de 35 minutes présente une demande convaincante, les tactiques employées, la vérification par un numéro connu, la falsification de voix et de vidéo, et explique pourquoi l'ancienneté et la confidentialité constituent une pression, et non une preuve. Un scénario du type « Accéderiez-vous à cet accès ? » sert de jeu de questions-réponses.
Notre choix : mots de passe, clés d’accès et authentification multifacteurs pour le personnel. Un seul identifiant de développeur volé peut compromettre l'ensemble du processus, et les clés d'accès résistent au phishing, donc un mot de passe volé seul ne suffit plus à l'ouvrir.
Comment déployer le plan
Commencez par les zones où les défauts sont les plus fréquents. Avec des contrôles d'accès défaillants constatés dans chaque application testée avec les données OWASPAssociez les cours de programmation sécurisée à des habitudes de révision, et pas seulement à des diapositives.
- La première semaine d'un nouveau développeur : notions essentielles de sensibilisation à la sécurité, mots de passe, clés d'accès et authentification multifacteur, classification des données et cours d'intégration à la plateforme si votre équipe s'appuie sur une plateforme existante.
- Au cours du premier mois : Développement sécurisé assisté par l'IA, sécurité de l'IA pour tous et cours sur la sécurité de la mémoire ou la concurrence pour les langages utilisés par votre équipe.
- Chaque année : un quiz de révision pour chaque cours, ainsi que des cours d'IA à chaque fois qu'un nouvel assistant ou agent est approuvé.
- Quand cela s'applique : Si vous êtes un établissement financier concerné, veillez à ce que votre formation de sensibilisation à la sécurité soit à jour conformément à la règle de protection de la FTC et demandez à votre conseiller juridique ce qui s'applique également dans votre pays ou votre État.
Façons de dispenser ces cours sur AhaSlides
Vous pouvez créer n'importe lequel de ces cours à votre propre rythme avec AhaSlides Le créateur du cours peut les animer sous forme de session de questions-réponses en direct, ou les deux, avec un sondage post-cours et un bilan 30 jours plus tard pour voir ce qui a changé.
- Choisissez la réponse : Montrez un extrait de code du cours et demandez quel défaut il dissimule.
- Mot nuage: Demandez-vous « Que vérifiez-vous avant de fusionner le code écrit par l'assistant ? » et comparez les réponses avec la boucle de codage IA sécurisée.
- Échelle de notation: Avant et après, demandez : « Dans quelle mesure êtes-vous sûr de repérer une condition de course lors de l'examen ? » de 1 à 5.
- Ouvert : Collecter les incidents évités de justesse de manière anonyme lors du dernier sprint à la fin d'une session en direct.
QFP
De quelle formation en sécurité les développeurs ont-ils besoin ?
Les développeurs doivent maîtriser la programmation sécurisée, la gestion des dépendances et des secrets, ainsi que l'utilisation sûre des outils de programmation d'IA. Les formations mentionnées ci-dessus abordent ces points, ainsi que les notions de base que tout employé doit connaître.
Le code généré par l'IA est-il sécurisé ?
Pas par défaut. Il nécessite le même examen, les mêmes tests et la même analyse que tout autre code, ainsi qu'une vérification de l'existence et de l'approbation de chaque paquetage suggéré.
Qu'est-ce que la sécurité de la mémoire ?
La sécurité de la mémoire consiste à prévenir les erreurs telles que les dépassements de tampon et l'utilisation de mémoire après libération, que les attaquants exploitent. Le C et le C++ nécessitent des règles et une analyse statique pour y parvenir.
À quelle fréquence les développeurs doivent-ils se former à la sécurité ?
Une fois par an, avec de brèves mises à jour en cas d'évolution des cadres de référence, des outils ou des menaces.
Ce message contient des informations générales et ne constitue pas un avis juridique. Pour toute décision concernant votre lieu de travail, veuillez consulter un avocat qualifié ou l'autorité de réglementation compétente.
