Laatst herzien op 4 november 2026 aan de hand van de bronnen waarnaar in dit bericht wordt verwezen.
De pull request ziet er netjes uit. De code-assistent heeft het grootste deel geschreven, de tests slagen en er wordt een bibliotheek toegevoegd waar niemand in het team ooit van gehoord heeft. Als je het samenvoegt, kan het zomaar zijn dat je een pakket levert dat vorige week nog niet bestond, of een endpoint dat een toegangscontrole overslaat. Dat is de lacune die beveiligingstraining voor ontwikkelaars moet dichten. OWASP's Top 10:2025 plaatst gebrekkige toegangscontrole bovenaan en meldt dat Alle geteste applicaties vertoonden een of andere vorm van gebrekkige toegangscontrole..
Deze lijst is bedoeld voor engineeringmanagers en security champions. Je krijgt 10 kant-en-klare cursussen, verdeeld over 3 groepen. Elke cursus beschrijft welke problemen worden opgelost en hoe je ze kunt implementeren. Elke groep eindigt met een Onze keuzeHet ene juridische punt beschrijft een federale regel van de VS, dus beschouw dit als een samenvatting, niet als een bindende uitspraak.
Alle 10 gangen in één oogopslag
| Cursus | Wat het omvat | Lengte | De juridische grondslag hiervoor? |
|---|---|---|---|
| Veilige, door AI ondersteunde softwareontwikkeling | Codeerassistenten, agenten en de veilige AI-codeerlus | 45 min | Nee |
| Geheugenveilige C- en C++-code volgens de CERT- en MISRA-standaarden. | Levensduur, pointers, veelvoorkomende fouten en statische analyse | 45 min | Nee |
| Gelijktijdigheidsveiligheid | Schroefdraad, vergrendelingen, raceomstandigheden en deadlock | 40 min | Nee |
| Inwerken van ontwikkelaars van bedrijfsplatformen | Een eerste veilige wijziging, uitbreidingen en wijzigingsbeheer | 45 min | Nee |
| Gegevensclassificatie en -verwerking | Niveaus, opslag, delen en verwijdering van gegevens | 25 min | Nee |
| AI-beveiliging voor iedereen | Schaduw-AI, promptinjectie en onbekende codepakketten | 30 min | Nee |
| Essentiële aspecten van beveiligingsbewustzijn | De fasen van een aanval en kerngewoonten | 35 min | Ja (financiële instellingen in de VS die onder de regeling vallen) |
| Phishing en social engineering | Waarschuwingssignalen, verificatie en rapportage | 30 min | Nee |
| Wachtwoorden, toegangscodes en multifactorauthenticatie | Veilige aanmeldingen, MFA, wachtwoorden en herstel | 30 min | Nee |
| Social engineering, fraude en deepfakes | Oplichting via telefoon, betalingen en identiteitsfraude | 35 min | Nee |
Alleen de cursus over beveiligingsbewustzijn valt onder een federale Amerikaanse regelgeving, en dan nog alleen voor bepaalde organisaties: de FTC Safeguards Rule stelt dat financiële instellingen die onder de regelgeving vallen, deze cursus moeten aanbieden. Beveiligingsbewustzijnstraining voor hun personeelHet bepaalt niet de koers voor iedereen.
Veilige en betrouwbare ontwikkeling
Veilige softwareontwikkeling met AI-ondersteuning: codeerassistenten en -agenten zonder risico.
Deze cursus van 45 minuten begint met een hallucinatie van een pakket dat uitmondt in een aanval. Vervolgens komen zes manieren aan bod waarop codeerassistenten en -agenten kunnen falen, de veilige AI-codeercyclus (prompt, inspecteert, test, onthult), de grijze gebieden van klantgegevens, shell-commando's en ongeteste pull-requests, en goedgekeurde tools met labels voor AI-gebruik op pull-requests. De cursus eindigt met een afsluitende toets van 12 vragen, waarbij een score van 80% vereist is om te slagen. De "vind de fout"-ronde leent zich goed voor een meerkeuzedia. Voor de review-kant, zie Onze gids voor AI-gestuurde training in codebeoordeling..
Geheugenveilige C- en C++-code volgens de CERT- en MISRA-standaarden.
Geheugenveiligheidsfouten zijn een bekende categorie kwetsbaarheden in C en C++. Deze cursus van 45 minuten begint met een crash veroorzaakt door een onbedoelde pointer, en behandelt vervolgens de stack, heap en lifetimes, pointers en arrays, veelvoorkomende fouten zoals use after free, programmeerregels in de praktijk en statische analyse tijdens een code review. Een vraag als "noem de fout" is een natuurlijke "Kies antwoord"-ronde voor een code review in teamverband.
Gelijktijdigheidsveiligheid: threads, vergrendelingen en racecondities
Racecondities veroorzaken bugs die elke test doorstaan tot aan de productieomgeving. Deze cursus van 40 minuten volgt een teller die elke tiende run een fout gaf, en behandelt vervolgens threads, processen en asynchrone programmering, locks, mutexen en semaforen, racecondities en deadlocks, patronen per programmeertaal en een checklist voor evaluatie. Het scenario "kies de tool", mutex of semafoor, geeft back-end ontwikkelaars een snelle controle van hun kennis.
Onboarding voor ontwikkelaars van bedrijfsplatformen: uw eerste veilige overstap naar een bedrijfsplatform
Nieuwe ontwikkelaars die werken met een configureerbaar bedrijfsplatform, veroorzaken vaak problemen bij hun eerste wijziging. Deze cursus van 45 minuten behandelt die eerste wijziging in een live configuratie, platformconcepten, rapportage en verwerking, extensies en de configuratierepository, wijzigingsbeheer en het schrijven van een overdrachtsnota. Gebruik deze cursus in de eerste week van een nieuwe medewerker, voordat hij of zij aan een object van een externe leverancier werkt.
Onze keuze: Veilige softwareontwikkeling met behulp van AI. Veel teams leveren tegenwoordig code op die door assistenten is geschreven, en deze cursus biedt hen een stappenplan voordat ze de code samenvoegen.
Beveiliging van gegevens en AI-tools
Gegevensclassificatie en -verwerking
Ontwikkelaars kopiëren productiedata naar testsystemen en delen logs in de chat. Deze cursus van 25 minuten behandelt het bestaan van classificatie, de niveaus binnen het bedrijf, wat wel en niet is toegestaan bij het labelen, opslaan, delen en verwijderen van data, waarschuwingssignalen en hoe je problemen kunt escaleren. De cursus eindigt met een afsluitende toets van 10 vragen, waarbij je 80% van de vragen moet beantwoorden om te slagen. "Waar moeten vertrouwelijke gegevens worden opgeslagen?" is een snelle meerkeuzevraag.
AI-beveiliging voor iedereen: schaduw-AI, promptinjectie en gemanipuleerde outputs.
Promptinjectie en onbekende codepakketten hebben directe gevolgen voor code-assistenten. Deze cursus van 30 minuten behandelt schaduw-AI en een gecompromitteerde chatbot, promptinjectie en vergiftigde content, verborgen instructies in pdf's en e-mails, gratis AI-extensies en onbekende codepakketten, en hoe u een incident kunt melden of een goedgekeurd hulpmiddel kunt aanvragen. Een woordwolk over "Welke AI-tools zitten er momenteel in uw editor?" laat zien wat uw beleid moet dekken.
Onze keuze: Gegevensclassificatie en -verwerking. Een stack trace die in een chatbot wordt geplakt, is een datalek, en deze korte cursus maakt de verschillende niveaus duidelijk voordat het gebeurt.
Account- en phishingbeveiliging
Essentiële aspecten van beveiligingsbewustzijn
Ontwikkelaars hebben toegang tot broncode, geheimen en pipelines, dus de basiskennis is voor hen extra belangrijk. Deze cursus van 35 minuten behandelt waarom mensen doelwit zijn, de anatomie van een aanval, waarschuwingssignalen, hoe u uzelf kunt beschermen en hoe u moet reageren en rapporteren. De cursus wordt afgesloten met een toets van 12 vragen, waarbij u 80% van de vragen moet beantwoorden om te slagen. Voor financiële instellingen die onder de regelgeving vallen, is dit een kant-en-klare manier om te voldoen aan de beveiligingsbewustzijnstraining die de FTC Safeguards Rule vereist, hoewel de regelgeving geen specifieke cursus noemt.
Phishing en social engineering
Ontwikkelaars worden slachtoffer van phishing om inloggegevens voor repositories en cloudomgevingen te bemachtigen. Deze cursus van 30 minuten legt uit hoe aanvallen worden opgezet, wat de waarschuwingssignalen zijn, hoe u uzelf kunt beschermen en hoe u incidenten kunt melden. De cursus wordt afgesloten met een toets van 12 vragen, waarbij u 80% van de vragen moet beantwoorden om te slagen. Voeg een voorbeeld van een nep-inlogpagina voor codehosting toe aan de live presentatie. Uw SOC beoordeelt de meldingen van ontwikkelaars: zie onze lijst met trainingen voor SOC-analisten.
Wachtwoorden, toegangscodes en multifactorauthenticatie voor personeel
Ontwikkelaarsaccounts beschermen code en pipelines, dus sterke authenticatie is essentieel. Deze cursus van 30 minuten behandelt waarom accounts een doelwit zijn, sterke en unieke aanmeldingsmethoden, multifactorauthenticatie en wachtwoorden, nep-aanmeldingspagina's en de grijze gebieden rondom delen, snelkoppelingen en herstel. Een beoordelingsschaal met de vraag "Hoeveel van uw accounts gebruiken MFA?" vormt de basis voor een openhartig gesprek.
Social engineering, fraude en deepfakes: telefoon-, betaal- en identiteitsfraude
Identiteitsfraude richt zich op engineers die toegang kunnen goedkeuren of software kunnen implementeren. Deze cursus van 35 minuten behandelt een overtuigend verzoek, de tactieken, verificatie via een bekend nummer, vervalste stem en video, en waarom anciënniteit en geheimhouding druk uitoefenen, maar geen bewijs vormen. Een scenario met de vraag "Zou u deze toegang verlenen?" fungeert als een meerkeuzevraag.
Onze keuze: Wachtwoorden, toegangscodes en multifactorauthenticatie voor medewerkers. Eén gestolen ontwikkelaarslogin kan toegang geven tot de hele pipeline, en wachtwoorden zijn bestand tegen phishing, dus een gestolen wachtwoord alleen is niet langer voldoende om de pipeline te openen.
Hoe voer je het plan uit?
Begin waar de gebreken het meest voorkomen. Bij gebrekkige toegangscontrole die is aangetroffen in elke applicatie OWASP's data getestCombineer de veilige codeercursussen met herhalingsgewoonten, niet alleen met dia's.
- In de eerste week van een nieuwe ontwikkelaar: Essentiële beveiligingskennis, wachtwoorden, toegangscodes en MFA, gegevensclassificatie en de onboardingcursus voor het platform, indien uw team daarop voortbouwt.
- Binnen de eerste maand: Veilige AI-ondersteunde ontwikkeling, AI-beveiliging voor iedereen en een cursus over geheugenveiligheid of gelijktijdigheid voor de programmeertalen die uw team gebruikt.
- Elk jaar: Een opfrisquiz over elke cursus, plus de AI-cursussen telkens wanneer een nieuwe assistent of agent wordt goedgekeurd.
- Wanneer van toepassing: Als uw financiële instelling onder de regelgeving valt, zorg er dan voor dat de trainingen over beveiligingsbewustzijn actueel blijven, zoals beschreven in de FTC Safeguards Rule, en vraag uw juridisch adviseur welke andere regels van toepassing zijn in uw land of staat.
Manieren om deze cursussen te geven op AhaSlides
Je kunt elk van deze cursussen in je eigen tempo samenstellen met behulp van de AhaSlides Je kunt de cursus als volgt organiseren: als een live vraag- en antwoordsessie, met een enquête na afloop en een evaluatie na 30 dagen om te zien wat er veranderd is.
- Kies antwoord: Laat een codefragment uit de cursus zien en vraag welke fout daarin verborgen zit.
- Woordwolk: Stel de vraag: "Wat controleer je voordat je door een assistent geschreven code samenvoegt?" en vergelijk de antwoorden met de beveiligde AI-codeercyclus.
- Schaal: Vraag vóór en na de evaluatie: "Hoe zeker bent u ervan dat u een raceconditie tijdens de evaluatie herkent?" en geef een score van 1 tot 5.
- Open einde: Verzamel anonieme bijna-ongelukken van de laatste sprint aan het einde van een live sessie.
FAQ
Welke beveiligingstraining hebben ontwikkelaars nodig?
Ontwikkelaars hebben behoefte aan veilige code, het beheren van afhankelijkheden en geheimen, en het veilig gebruik van AI-codeertools. De bovenstaande cursussen behandelen deze onderwerpen, plus de basiskennis die elke medewerker nodig heeft.
Is door AI gegenereerde code veilig?
Niet standaard. Het vereist dezelfde beoordeling, testen en controle als elke andere code, en een controle of elk voorgesteld pakket bestaat en is goedgekeurd.
Wat is geheugenveiligheid?
Geheugenveiligheid is het voorkomen van fouten zoals bufferoverloop en gebruik na vrijgave, die door aanvallers worden misbruikt. C en C++ hebben regels en statische analyse nodig om dit te bereiken.
Hoe vaak moeten ontwikkelaars zich bijscholen op het gebied van beveiliging?
Eenmaal per jaar, met korte updates wanneer frameworks, tools of bedreigingen veranderen.
Dit bericht bevat algemene informatie en is geen juridisch advies. Voor een beslissing over uw eigen werkplek dient u contact op te nemen met een gekwalificeerde advocaat of de toezichthouder.
