Terakhir ditinjau pada 4 November 2026 berdasarkan sumber yang ditautkan dalam postingan ini.
Permintaan penggabungan (pull request) terlihat rapi. Asisten pengkodean menulis sebagian besar kode, pengujian lolos, dan menambahkan pustaka yang belum pernah didengar siapa pun di tim. Gabungkan, dan Anda mungkin akan merilis paket yang belum ada minggu lalu atau titik akhir (endpoint) yang melewati pemeriksaan akses. Itulah celah yang harus ditutup oleh pelatihan keamanan untuk pengembang. OWASP Top 10:2025 menempatkan kontrol akses yang rusak di urutan pertama dan melaporkan bahwa 100% dari aplikasi yang diuji memiliki beberapa bentuk kerusakan pada kontrol akses..
Daftar ini ditujukan untuk manajer teknik dan pakar keamanan. Anda mendapatkan 10 kursus siap pakai dalam 3 kelompok, yang menjelaskan perbaikan apa yang dilakukan masing-masing dan cara menerapkannya. Setiap kelompok diakhiri dengan sebuah Pilihan kamiSatu poin hukum yang dijelaskan mengacu pada peraturan federal AS, jadi gunakan ini sebagai ringkasan, bukan sebagai putusan.
Sekilas tentang kesebelas kursus
| Kelas | Apa yang dicakupnya | Panjang | Hukum di baliknya? |
|---|---|---|---|
| Pengembangan perangkat lunak yang aman dengan bantuan AI. | Asisten pengkodean, agen, dan siklus pengkodean AI yang aman. | 45 min | Tidak |
| Kode C dan C++ yang aman secara memori sesuai standar CERT dan MISRA. | Masa pakai, petunjuk, kesalahan umum, dan analisis statis. | 45 min | Tidak |
| Keamanan konkurensi | Thread, kunci, kondisi persaingan, dan kebuntuan | 40 min | Tidak |
| Orientasi pengembang platform perusahaan | Perubahan aman pertama, perluasan, dan pengendalian perubahan | 45 min | Tidak |
| Klasifikasi dan penanganan data | Tingkat, penyimpanan, berbagi, dan pembuangan data | 25 min | Tidak |
| Keamanan AI untuk semua orang | Paket AI bayangan, injeksi prompt, dan kode tak dikenal. | 30 min | Tidak |
| Dasar-dasar kesadaran keamanan | Tahapan serangan dan kebiasaan inti | 35 min | Ya (lembaga keuangan yang tercakup di AS) |
| Phishing dan rekayasa sosial | Tanda bahaya, verifikasi, dan pelaporan | 30 min | Tidak |
| Kata sandi, kunci akses, dan otentikasi multi-faktor. | Login aman, MFA (Multi-Factor Authentication), kata sandi, dan pemulihan. | 30 min | Tidak |
| Rekayasa sosial, penipuan, dan deepfake | Penipuan melalui telepon, pembayaran, dan penyamaran identitas | 35 min | Tidak |
Hanya kursus kesadaran keamanan yang tercantum dalam peraturan federal AS, dan hanya untuk beberapa organisasi: Peraturan Perlindungan FTC menyatakan bahwa lembaga keuangan yang tercakup harus menyediakan pelatihan kesadaran keamanan kepada personel merekaHal itu tidak menentukan arah bagi semua orang.
Pembangunan yang aman dan terjamin.
Pengembangan perangkat lunak yang aman dengan bantuan AI: asisten dan agen pengkodean tanpa risiko.
Kursus 45 menit ini dimulai dengan sebuah paket halusinasi yang menjadi serangan, kemudian membahas enam cara asisten dan agen pengkodean gagal, siklus pengkodean AI yang aman (prompt, inspect, test, disclose), area abu-abu data pelanggan, perintah shell dan permintaan pull yang belum diuji, serta alat yang disetujui dengan label penggunaan AI pada permintaan pull. Kursus ini diakhiri dengan pemeriksaan akhir 12 pertanyaan dengan nilai minimal 80% untuk lulus. Babak "temukan kekurangannya" berfungsi dengan baik sebagai slide Pilih Jawaban. Untuk bagian ulasan, lihat panduan kami untuk pelatihan tinjauan kode yang dihasilkan AI.
Kode C dan C++ yang aman secara memori sesuai standar CERT dan MISRA.
Kerentanan keamanan memori adalah kelas kerentanan yang terkenal di C dan C++. Kursus 45 menit ini dimulai dengan crash akibat satu pointer yang salah, kemudian membahas stack, heap dan lifetime, pointer dan array, kelemahan umum seperti use after free, aturan pengkodean dalam praktik, dan analisis statis dalam tinjauan. Pertanyaan "sebutkan kelemahannya" adalah putaran Pilih Jawaban yang tepat untuk sesi tinjauan kode tim.
Keamanan konkurensi: thread, kunci, dan kondisi persaingan
Kondisi race menyebabkan bug yang lolos setiap pengujian hingga produksi. Kursus 40 menit ini mengikuti penghitung yang salah setiap sepuluh kali dijalankan, kemudian membahas thread, proses dan async, lock, mutex dan semaphore, kondisi race dan deadlock, pola berdasarkan bahasa, dan daftar periksa tinjauan. Skenario "pilih alat", mutex atau semaphore, memberikan pengembang back-end pengecekan cepat tentang apa yang mereka ketahui.
Onboarding pengembang platform perusahaan: perubahan aman pertama Anda ke platform bisnis.
Pengembang baru pada platform bisnis yang dapat dikonfigurasi sering kali membuat kesalahan dengan perubahan pertama mereka. Kursus 45 menit ini membahas perubahan pertama pada konfigurasi yang sedang berjalan, konsep platform, laporan dan pemrosesan, ekstensi dan repositori konfigurasi, kontrol perubahan, dan penulisan catatan serah terima. Gunakan kursus ini di minggu pertama karyawan baru, sebelum mereka menyentuh objek vendor.
Pilihan kami: Pengembangan perangkat lunak yang aman dengan bantuan AI. Banyak tim sekarang mengirimkan kode yang ditulis oleh asisten, dan kursus ini memberi mereka satu siklus yang harus diikuti sebelum mereka menggabungkannya.
Keamanan data dan alat AI
Klasifikasi dan penanganan data
Pengembang menyalin data produksi ke sistem pengujian dan berbagi log di obrolan. Kursus 25 menit ini membahas mengapa klasifikasi ada, tingkatan perusahaan, apa yang diperbolehkan dan tidak diperbolehkan saat Anda memberi label, menyimpan, berbagi, dan membuang data, tanda bahaya, dan cara untuk meningkatkan masalah. Kursus ini diakhiri dengan pemeriksaan akhir 10 pertanyaan dengan nilai minimal 80% untuk lulus. Pertanyaan "Di mana data rahasia harus disimpan?" adalah pertanyaan pilihan jawaban cepat.
Keamanan AI untuk semua orang: AI bayangan, injeksi prompt, dan output yang dimanipulasi
Injeksi prompt dan paket kode yang tidak dikenal secara langsung memengaruhi asisten pengkodean. Kursus 30 menit ini membahas AI bayangan dan chatbot yang disusupi, injeksi prompt dan konten yang diracuni, instruksi tersembunyi dalam PDF dan email, ekstensi AI gratis dan paket kode yang tidak dikenal, serta cara melaporkan insiden atau meminta alat yang disetujui. Sebuah Word Cloud tentang "alat AI apa yang ada di editor Anda saat ini?" menunjukkan apa yang perlu dicakup oleh kebijakan Anda.
Pilihan kami: Klasifikasi & penanganan data. Jejak tumpukan (stack trace) yang disalin ke dalam chatbot merupakan kebocoran data, dan kursus singkat ini menjelaskan berbagai tingkatan kebocoran data sebelum hal itu terjadi.
Perlindungan akun dan phishing
Dasar-dasar kesadaran keamanan
Para pengembang memegang kode sumber, rahasia, dan akses ke alur kerja, sehingga standar dasar lebih penting bagi mereka. Kursus 35 menit ini membahas mengapa orang menjadi target, anatomi serangan, tanda-tanda peringatan, cara melindungi diri sendiri, dan cara merespons serta melaporkan, dengan pengecekan akhir 12 pertanyaan pada skor 80% untuk lulus. Bagi lembaga keuangan yang tercakup, ini adalah cara siap pakai untuk memenuhi persyaratan pelatihan kesadaran keamanan Peraturan Perlindungan FTC, meskipun peraturan tersebut tidak menyebutkan kursus tertentu.
Phishing dan rekayasa sosial
Pengembang menjadi sasaran phishing untuk mendapatkan kredensial repositori dan cloud. Kursus 30 menit ini menjelaskan bagaimana serangan dibuat, tanda-tanda peringatan, cara melindungi diri, dan cara melaporkan, dengan pengecekan akhir 12 pertanyaan pada skor 80% untuk lulus. Tambahkan contoh halaman masuk hosting kode palsu ke presentasi langsung. SOC Anda akan menindaklanjuti laporan pengembang: lihat daftar pelatihan analis SOC kami.
Kata sandi, kunci akses, dan otentikasi multi-faktor untuk staf.
Akun pengembang melindungi kode dan alur kerja, jadi mereka membutuhkan otentikasi yang kuat. Kursus 30 menit ini membahas mengapa akun menjadi target, login yang kuat dan unik, otentikasi multi-faktor dan kata sandi, halaman login palsu, serta area abu-abu dalam berbagi, pintasan, dan pemulihan. Skala Penilaian tentang "berapa banyak akun Anda yang menggunakan MFA?" memulai percakapan yang jujur.
Rekayasa sosial, penipuan, dan deepfake: penipuan telepon, pembayaran, dan peniruan identitas.
Penipuan penyamaran menargetkan para insinyur yang dapat menyetujui akses atau melakukan deployment. Kursus 35 menit ini mengikuti permintaan yang meyakinkan, membahas taktik, verifikasi dengan nomor yang dikenal, suara dan video palsu, dan mengapa senioritas dan kerahasiaan adalah tekanan, bukan bukti. Skenario "Apakah Anda akan memberikan akses ini?" berfungsi sebagai babak Pilih Jawaban.
Pilihan kami: Kata sandi, kunci akses, dan otentikasi multi-faktor untuk staf. Satu login pengembang yang dicuri dapat mengakses seluruh alur kerja, dan kata sandi pengaman tahan terhadap upaya phishing, sehingga kata sandi yang dicuri saja tidak lagi dapat membuka akses ke sistem tersebut.
Bagaimana cara melaksanakan rencana tersebut?
Mulailah dari tempat kelemahan paling umum ditemukan. Dengan kontrol akses yang rusak ditemukan di Setiap aplikasi diuji menggunakan data OWASP.Padukan kursus pengkodean yang aman dengan kebiasaan meninjau materi, bukan hanya slide presentasi saja.
- Pada minggu pertama seorang pengembang baru: Dasar-dasar kesadaran keamanan, kata sandi, kunci akses dan MFA, klasifikasi data, dan kursus orientasi platform jika tim Anda menggunakan platform tersebut.
- Dalam bulan pertama: Pengembangan yang dibantu AI yang aman, keamanan AI untuk semua orang, dan kursus keamanan memori atau konkurensi untuk bahasa yang digunakan tim Anda.
- Setiap tahun: Kuis penyegaran untuk setiap kursus, ditambah kursus AI setiap kali asisten atau agen baru disetujui.
- Kapan hal ini berlaku: Jika Anda adalah lembaga keuangan yang tercakup, pastikan pelatihan kesadaran keamanan selalu diperbarui sesuai dengan Aturan Perlindungan FTC, dan tanyakan kepada penasihat hukum Anda tentang hal lain yang berlaku di negara atau negara bagian Anda.
Cara menjalankan kursus-kursus ini AhaSlides
Anda dapat membangun salah satu dari ini sebagai kursus mandiri dengan AhaSlides Pembuat kursus dapat menjalankannya sebagai sesi tanya jawab langsung, atau keduanya, dengan survei pasca-kursus dan pengecekan 30 hari untuk melihat perubahan apa yang terjadi.
- Pilih Jawaban: Tunjukkan cuplikan kode dari kursus tersebut dan tanyakan kekurangan apa yang disembunyikannya.
- Awan Kata: Ajukan pertanyaan "Apa yang Anda periksa sebelum menggabungkan kode yang ditulis oleh asisten?" dan bandingkan jawabannya dengan siklus pengkodean AI yang aman.
- Skala Penilaian: Sebelum dan sesudah, tanyakan "Seberapa yakin Anda mendeteksi kondisi race dalam tinjauan?" dari 1 hingga 5.
- Terbuka: Kumpulkan insiden nyaris celaka secara anonim dari sprint terakhir di akhir sesi langsung.
FAQ (Pertanyaan Umum)
Pelatihan keamanan apa yang dibutuhkan oleh para pengembang?
Para pengembang membutuhkan pengkodean yang aman, penanganan dependensi dan rahasia, serta penggunaan alat pengkodean AI yang aman. Kursus-kursus di atas mencakup hal-hal tersebut, ditambah kesadaran dasar yang dibutuhkan setiap karyawan.
Apakah kode yang dihasilkan AI aman?
Tidak secara otomatis. Kode tersebut memerlukan peninjauan, pengujian, dan pemindaian yang sama seperti kode lainnya, serta pengecekan bahwa setiap paket yang disarankan ada dan telah disetujui.
Apa itu keamanan memori?
Keamanan memori adalah pencegahan kesalahan seperti buffer overflow dan use after free yang dieksploitasi oleh penyerang. C dan C++ membutuhkan aturan dan analisis statis untuk mencapai hal tersebut.
Seberapa sering pengembang perlu mengikuti pelatihan ulang tentang keamanan?
Setahun sekali, dengan pembaruan singkat ketika kerangka kerja, alat, atau ancaman berubah.
Postingan ini berisi informasi umum, bukan nasihat hukum. Untuk keputusan terkait tempat kerja Anda sendiri, konsultasikan dengan pengacara yang berkualifikasi atau regulator.
