ソフトウェア開発者が安全なコードを記述し、AIを安全に利用するために必要な10のコース

最終更新日：2026年11月4日。この記事にリンクされている情報源に基づき確認済み。

プルリクエストは整っているように見える。コーディングアシスタントがほとんどを記述し、テストもパスし、チームの誰も聞いたことのないライブラリを追加している。これをマージすると、先週存在しなかったパッケージやアクセスチェックをスキップするエンドポイントを出荷してしまう可能性がある。これが、開発者向けのセキュリティトレーニングで埋めなければならないギャップだ。OWASPのトップ10:2025は、アクセス制御の不備を第一に挙げ、次のように報告している。 テスト対象となったアプリケーションの100%に、何らかのアクセス制御の不具合が見られた。.

このリストはエンジニアリングマネージャーとセキュリティチャンピオン向けです。3つのグループに分かれた10の既成コース、それぞれの修正内容、展開方法が記載されています。各グループの最後には 私たちのピック唯一の法的論点は米国の連邦規則に関するものなので、これは判決ではなく、概要としてご利用ください。

全10コースの概要

セキュリティ意識向上コースだけが米国の連邦規則の対象であり、しかも一部の組織に限られています。FTCセーフガード規則では、対象となる金融機関はセキュリティ意識向上コースを提供しなければならないと規定されています。 従業員に対するセキュリティ意識向上トレーニングそれは、他のすべての人に当てはまる方向性を示すものではない。

安全で安心な開発

安全なAI支援型ソフトウェア開発：リスクのないコーディングアシスタントとエージェント

この45分間のコースは、攻撃となる幻覚的なパッケージから始まり、コーディングアシスタントとエージェントが失敗する6つの方法、安全なAIコーディングループ（プロンプト、検査、テスト、開示）、顧客データ、シェルコマンド、未テストのプルリクエストのグレーゾーン、プルリクエストにAI使用ラベルが付いた承認済みツールについて解説します。最後に、80%の正答率で合格となる12問の最終チェックを行います。「欠陥を見つける」ラウンドは、選択肢スライドとして効果的です。レビューについては、以下を参照してください。 AIによるコードレビュー研修ガイド.

このテンプレートを使用する

CERTおよびMISRA規格に準拠したメモリセーフなCおよびC++

メモリ安全性の欠陥は、C言語とC++言語におけるよく知られた脆弱性の一種です。この45分間のコースでは、まず1つのポインタの誤動作によるクラッシュから始まり、スタック、ヒープ、ライフタイム、ポインタと配列、解放後使用（use-after-free）などの一般的な欠陥、実践的なコーディング規則、そして静的解析の復習へと進みます。「欠陥を指摘する」問題は、チームでのコードレビューセッションにおける「回答選択」ラウンドとして最適です。

このテンプレートを使用する

並行処理の安全性：スレッド、ロック、および競合状態

競合状態は、本番環境に至るまであらゆるテストを通過してしまうバグの原因となります。この40分間のコースでは、10回に1回は誤った結果を返すカウンターを例に、スレッド、プロセス、非同期処理、ロック、ミューテックス、セマフォ、競合状態とデッドロック、言語別のパターン、そして復習チェックリストについて解説します。「ツールを選択」シナリオ（ミューテックスかセマフォか）では、バックエンド開発者が自身の知識を素早く確認できます。

このテンプレートを使用する

エンタープライズプラットフォーム開発者のオンボーディング：ビジネスプラットフォームへの最初の安全な変更

設定可能なビジネスプラットフォームで初めて開発を行う人は、最初の変更でシステムを壊してしまうことがよくあります。この45分間のコースでは、稼働中の設定への最初の変更、プラットフォームの概念、レポートと処理、拡張機能と設定リポジトリ、変更管理、引き継ぎメモの作成について解説します。ベンダーのオブジェクトに触れる前に、新入社員の最初の週に受講することをお勧めします。

このテンプレートを使用する

私たちのおすすめ：AIを活用した安全なソフトウェア開発。 現在、多くのチームがアシスタントが書いたコードを出荷していますが、このコースでは、マージする前にチームが従うべき手順を一つ示しています。

データおよびAIツールのセキュリティ

データ分類と処理

開発者は本番データをテストシステムにコピーし、ログをチャットで共有します。この 25 分間のコースでは、分類が存在する理由、会社のレベル、データのラベル付け、保存、共有、廃棄時に許可されている事項と許可されていない事項、危険信号、エスカレーション方法について説明します。最後に 10 問の最終チェックがあり、80% で合格となります。「機密データはどこに保存すべきか？」は、すぐに回答を選択できる問題です。

このテンプレートを使用する

すべての人のためのAIセキュリティ：シャドウAI、プロンプトインジェクション、操作された出力

プロンプトの挿入と未知のコードパッケージは、コーディングアシスタントに直接影響を与えます。この30分のコースでは、シャドウAIと侵害されたチャットボット、プロンプトの挿入と汚染されたコンテンツ、PDFやメールに隠された指示、無料のAI拡張機能と未知のコードパッケージ、インシデントの報告方法、承認済みツールのリクエスト方法について説明します。「現在、エディターにはどのようなAIツールが含まれていますか？」というワードクラウドは、ポリシーでカバーする必要がある内容を示しています。

このテンプレートを使用する

おすすめ：データ分類と処理。 スタックトレースをチャットボットに貼り付けるのはデータ漏洩であり、この短期講座では、それが起こる前にそのレベルを明確にします。

アカウントとフィッシング対策

セキュリティ意識向上の基本

開発者はソースコード、機密情報、パイプラインへのアクセス権を保持しているため、ベースラインのセキュリティ意識向上は彼らにとってより重要です。この35分間のコースでは、なぜ人々が標的になるのか、攻撃の構造、危険信号、身を守る方法、対応と報告の方法について解説し、80%以上の正答率で合格となる12問の最終チェックを行います。対象となる金融機関にとっては、FTCセーフガード規則のセキュリティ意識向上トレーニング要件を満たすための既成の方法となりますが、規則には特定のコースは指定されていません。

このテンプレートを使用する

フィッシングとソーシャルエンジニアリング

開発者はリポジトリやクラウドの認証情報をフィッシングで盗まれています。この30分のコースでは、攻撃の構築方法、危険信号、身を守る方法、報告方法について説明し、80%以上の正答率で合格となる12問の最終チェックを行います。ライブデッキに偽のコードホスティングサインインページの例を追加してください。SOCは開発者からの報告をトリアージします。 当社のSOCアナリスト研修リスト.

このテンプレートを使用する

スタッフ向けのパスワード、パスキー、多要素認証

開発者アカウントはコードとパイプラインを保護するため、強力な認証が必要です。この30分のコースでは、アカウントが攻撃の標的となる理由、強力で固有のサインイン方法、多要素認証とパスキー、偽のサインインページ、そして共有、ショートカット、復旧におけるグレーゾーンについて解説します。「MFAを使用しているアカウントはいくつありますか？」という評価尺度を用いて、率直な議論を始めましょう。

このテンプレートを使用する

ソーシャルエンジニアリング、詐欺、ディープフェイク：電話、決済、なりすまし詐欺

なりすまし詐欺は、アクセス権限やデプロイ権限を持つエンジニアを標的にします。この35分間のコースでは、巧妙な要求から始まり、手口、既知の番号による本人確認、偽の音声や動画、そしてなぜ地位や秘密保持がプレッシャーであって証明にならないのかを解説します。「このアクセスを許可しますか？」というシナリオは、回答を選択する形式で行われます。

このテンプレートを使用する

おすすめ：従業員向けのパスワード、パスキー、多要素認証。 開発者ログイン情報が1つ盗まれるとパイプライン全体にアクセスできる可能性があり、パスキーはフィッシング攻撃を防ぐため、盗まれたパスワードだけではアクセスできなくなっている。

計画の展開方法

欠陥が最も多い場所から始めましょう。 OWASPのデータがテストしたすべてのアプリケーション安全なコーディングコースは、スライドだけではなく、復習習慣と組み合わせるべきです。

1. 新人開発者の最初の1週間： セキュリティ意識の基本、パスワード、パスキーと多要素認証、データ分類、そしてチームがプラットフォーム導入コースをベースとする場合はそのコース。
2. 最初の1ヶ月以内に： 安全なAI支援開発、すべての人に向けたAIセキュリティ、そしてチームが使用する言語のためのメモリ安全性または並行処理に関するコース。
3. 毎年： 各コースの復習クイズに加え、新しいアシスタントまたはエージェントが承認されるたびにAIコースの復習クイズが実施されます。
4. 適用される場合: 対象となる金融機関である場合は、FTCの安全対策規則に規定されているとおり、セキュリティ意識向上トレーニングを最新の状態に維持し、自国または州で他に適用される事項について顧問弁護士に確認してください。

これらのコースを実施する方法 AhaSlides

これらのいずれも、自己ペース学習コースとして構築できます。 AhaSlides コース作成者は、ライブQ&Aセッションの資料として活用したり、両方を組み合わせたり、コース終了後のアンケートや30日後のフォローアップを実施して、何が変わったかを確認したりできます。

1. 答えを選んでください: コースで使用したコードスニペットを示し、そこに隠された欠陥を質問してください。
2. ワードクラウド： 「アシスタントが作成したコードをマージする前に、何をチェックしますか？」と質問し、その回答を安全なAIコーディングループと比較します。
3. 評価尺度: 前後で、「レビューでレースコンディションを見つける自信はどのくらいありますか？」を1から5の段階で尋ねてください。
4. 自由回答形式： ライブセッション終了時に、前回のスプリントから匿名でニアミス事例を収集する。

FAQ

開発者にはどのようなセキュリティ研修が必要でしょうか？

開発者には、セキュアなコーディング、依存関係と機密情報の取り扱い、そしてAIコーディングツールの安全な使用方法が求められます。上記のコースでは、これらの内容に加え、すべての従業員が知っておくべき基本的な知識も網羅しています。

AIが生成したコードは安全ですか？

デフォルトではそうではありません。他のコードと同様に、レビュー、テスト、スキャンが必要であり、提案されたすべてのパッケージが存在し、承認されていることを確認する必要があります。

メモリの安全性とは何ですか？

メモリ安全性とは、攻撃者が悪用するバッファオーバーフローや解放後使用などのエラーを防止することです。C言語とC++言語では、これを実現するためにルールと静的解析が必要です。

開発者はどのくらいの頻度でセキュリティに関する再研修を受けるべきでしょうか？

年に一度、フレームワーク、ツール、または脅威に変更があった場合に、簡単なアップデートを行います。

この記事は一般的な情報提供であり、法的助言ではありません。ご自身の職場に関する決定については、資格のある弁護士または規制当局にご相談ください。