Sist gjennomgått 4. november 2026 mot kildene som er lenket i dette innlegget.
Pull-forespørselen ser ryddig ut. Kodeassistenten skrev mesteparten av den, testene består, og den legger til et bibliotek ingen i teamet har hørt om. Slå den sammen, og du kan sende en pakke som ikke eksisterte forrige uke, eller et endepunkt som hopper over en tilgangssjekk. Det er gapet sikkerhetsopplæring for utviklere må tette. OWASPs Topp 10:2025 setter ødelagt tilgangskontroll først og rapporterer at 100 % av applikasjonene som ble testet hadde en eller annen form for ødelagt tilgangskontroll..
Denne listen er for ingeniørledere og sikkerhetsforkjempere. Du får 10 ferdige kurs i 3 grupper, hva hver gruppe fikser og hvordan du ruller dem ut. Hver gruppe avsluttes med en Vårt valgDet ene juridiske punktet beskriver en amerikansk føderal regel, så bruk dette som et pensum, ikke en avgjørelse.
Alle 10 kursene på et blunk
| Kurs | Hva den dekker | Lengde | Loven bak det? |
|---|---|---|---|
| Sikker AI-assistert programvareutvikling | Kodeassistenter, agenter og den sikre AI-kodingsløkken | 45 min | Nei |
| Minnesikker C og C++ i henhold til CERT- og MISRA-standarder | Levetid, pekere, vanlige feil og statisk analyse | 45 min | Nei |
| Samtidighetssikkerhet | Tråder, låsinger, løpsforhold og vranglås | 40 min | Nei |
| Onboarding av utvikler av bedriftsplattformer | En første trygg endring, utvidelser og endringskontroll | 45 min | Nei |
| Dataklassifisering og -håndtering | Nivåer, lagring, deling og avhending av data | 25 min | Nei |
| AI-sikkerhet for alle | Skygge-AI, rask injeksjon og ukjente kodepakker | 30 min | Nei |
| Viktig informasjon om sikkerhetsbevissthet | Stadiene i et angrep og kjernevaner | 35 min | Ja (amerikansk dekkede finansinstitusjoner) |
| Nettfisking og sosial manipulering | Røde flagg, verifisering og rapportering | 30 min | Nei |
| Passord, tilgangsnøkler og flerfaktorautentisering | Sikre pålogginger, MFA, passord og gjenoppretting | 30 min | Nei |
| Sosial manipulering, svindel og deepfakes | Telefon-, betalings- og etterligningssvindel | 35 min | Nei |
Bare kurset i sikkerhetsbevissthet er basert på en amerikansk føderal regel, og bare for noen organisasjoner: FTCs sikkerhetsregel sier at dekkede finansinstitusjoner må tilby sikkerhetsbevissthetsopplæring for sine ansatteDen setter ikke en kurs for alle andre.
Sikker og trygg utvikling
Sikker AI-assistert programvareutvikling: kodeassistenter og agenter uten risiko
Dette 45-minutters kurset åpner med en hallusinert pakke som blir til et angrep, og dekker deretter seks måter kodeassistenter og -agenter feiler på, den sikre AI-kodingsløkken (spør, inspiser, test, avslør), gråsonene i kundedata, skallkommandoer og uprøvde pull-forespørsler, og godkjente verktøy med AI-bruksetiketter på pull-forespørsler. Det avsluttes med en sluttsjekk på 12 spørsmål med 80 % bestått. «Finn feilen»-runden fungerer bra som et «Velg svar»-lysbilde. For gjennomgangssiden, se vår guide til opplæring i AI-generert kodegjennomgang.
Minnesikker C og C++ i henhold til CERT- og MISRA-standarder
Minnesikkerhetsfeil er en velkjent type sårbarhet i C og C++. Dette 45-minutters kurset starter med et krasj fra én løspeker, og dekker deretter stack, heap og levetider, pekere og arrayer, vanlige feil som bruk etter ledig tid, koderegler i praksis og statisk analyse i gjennomgang. Et «navngi feilen»-spørsmål er en naturlig «Velg svar»-runde for en team-kodegjennomgangsøkt.
Samtidighetssikkerhet: tråder, låser og kappløpsbetingelser
Kappløpsbetingelser forårsaker feil som består hver test frem til produksjon. Dette 40-minutters kurset følger en teller som var feil hver tiende kjøring, og dekker deretter tråder, prosesser og asynkronisering, låser, mutexer og semaforer, kappløpsbetingelser og vranglås, mønstre etter språk og en sjekkliste for gjennomgang. "Velg verktøyet"-scenariet, mutex eller semafor, gir backend-utviklere en rask sjekk av hva de kan.
Onboarding av utvikler av bedriftsplattformer: din første trygge endring til en forretningsplattform
Nye utviklere på en konfigurerbar forretningsplattform ødelegger ofte ting allerede ved sin første endring. Dette 45-minutters kurset dekker den første endringen i en livekonfigurasjon, plattformkonsepter, rapporter og behandling, utvidelser og konfigurasjonsarkivet, endringskontroll og skriving av et overleveringsbrev. Bruk det i en ny ansatts første uke, før de berører et leverandørobjekt.
Vårt valg: Sikker AI-assistert programvareutvikling. Mange team leverer nå assistentskrevet kode, og dette kurset gir dem én sløyfe å følge før de slår den sammen.
Data- og AI-verktøysikkerhet
Dataklassifisering og -håndtering
Utviklere kopierer produksjonsdata til testsystemer og deler logger i chatten. Dette 25-minutters kurset dekker hvorfor klassifisering eksisterer, selskapets nivåer, hva som er tillatt og ikke tillatt når du merker, lagrer, deler og avhender data, røde flagg og hvordan du eskalerer. Det avsluttes med en sluttsjekk på 10 spørsmål der 80 % er bestått. «Hvor bør konfidensielle data lagres?» er et raskt «Velg svar»-spørsmål.
AI-sikkerhet for alle: skygge-AI, rask injeksjon og manipulerte utganger
Rask injeksjon og ukjente kodepakker påvirker kodeassistenter direkte. Dette 30-minutters kurset dekker skygge-AI og en kompromittert chatbot, rask injeksjon og forgiftet innhold, skjulte instruksjoner i PDF-er og e-poster, gratis AI-utvidelser og ukjente kodepakker, og hvordan du rapporterer en hendelse eller ber om et godkjent verktøy. En ordsky om «hvilke AI-verktøy finnes i editoren din i dag?» viser hva policyen din må dekke.
Vårt valg: Dataklassifisering og -håndtering. En stakksporing limt inn i en chatbot er en datalekkasje, og dette korte kurset gjør nivåene klare før det skjer.
Konto- og phishing-forsvar
Viktig informasjon om sikkerhetsbevissthet
Utviklere har kildekode, hemmeligheter og tilgang til pipelines, så grunnlinjen er viktigere for dem. Dette 35-minutters kurset dekker hvorfor folk blir målrettet, anatomien til et angrep, røde flagg, hvordan du beskytter deg selv og hvordan du reagerer og rapporterer, med en avsluttende sjekk på 12 spørsmål der 80 % er bestått. For dekkede finansinstitusjoner er dette en ferdiglaget måte å oppfylle kravet om sikkerhetsbevissthetstrening i FTC Safeguards Rules, selv om regelen ikke nevner noe kurs.
Nettfisking og sosial manipulering
Utviklere blir phishet for å få tilgang til arkiv- og skylegitimasjon. Dette 30-minutters kurset forklarer hvordan angrep bygges opp, de røde flaggene, hvordan du beskytter deg selv og hvordan du rapporterer, med en avsluttende sjekk på 12 spørsmål med 80 % bestått. Legg til et eksempel på en falsk påloggingsside for kodehosting i live-dekket. SOC-en din sorterer hva utviklere rapporterer: se vår liste over opplæringsprogrammer for SOC-analytikere.
Passord, tilgangsnøkler og flerfaktorautentisering for ansatte
Utviklerkontoer beskytter kode og pipelines, så de trenger sterk autentisering. Dette 30-minutters kurset dekker hvorfor kontoer er målet, sterke og unike pålogginger, flerfaktor- og passordnøkler, falske påloggingssider og gråsonene innen deling, snarveier og gjenoppretting. En vurderingsskala på «hvor mange av kontoene dine bruker MFA?» starter en ærlig samtale.
Sosial manipulering, svindel og deepfakes: telefon-, betalings- og etterligningssvindel
Etterligningssvindel retter seg mot ingeniører som kan godkjenne tilgang eller utplasseringer. Dette 35-minutters kurset følger en overbevisende forespørsel, dekker taktikken, verifisering av et kjent nummer, forfalsket tale og video, og hvorfor ansiennitet og hemmelighold er press, ikke bevis. Et "ville du gitt denne tilgangen?"-scenario fungerer som en "Vil du gi denne tilgangen?"-runde.
Vårt valg: Passord, tilgangsnøkler og flerfaktorautentisering for ansatte. Én stjålet utviklerpålogging kan nå hele pipelinen, og passord motstår phishing, så et stjålet passord alene åpner den ikke lenger.
Hvordan rulle ut planen
Start der feilene er mest vanlige. Med ødelagte adgangskontroller funnet i alle applikasjoner OWASP-data testet, kombiner de sikre kodingskursene med gjennomgangsvaner, ikke bare lysbilder.
- I en ny utviklers første uke: Viktige elementer i sikkerhetsbevissthet, passord, tilgangsnøkler og MFA, dataklassifisering og introduksjonskurs for plattformen hvis teamet ditt bygger på et.
- Innen den første måneden: sikker AI-assistert utvikling, AI-sikkerhet for alle og minnesikkerhets- eller samtidighetskurs for språkene teamet ditt bruker.
- Hvert år: en oppfriskningsquiz på hvert kurs, pluss AI-kursene når en ny assistent eller agent blir godkjent.
- Når det gjelder: Hvis du er en dekket finansinstitusjon, hold sikkerhetsopplæringen oppdatert slik FTC-sikkerhetsregelen beskriver, og spør advokaten din hva annet som gjelder i ditt land eller din stat.
Måter å gjennomføre disse kursene på AhaSlides
Du kan bygge hvilken som helst av disse som et kurs i eget tempo med AhaSlides kursoppretter, kjør dem som en live spørsmål og svar-økt, eller begge deler, med en undersøkelse etter kurset og en 30-dagers innsjekking for å se hva som har endret seg.
- Velg svar: vis en kodebit fra kurset og spør hvilken feil den skjuler.
- Word Cloud: spør «Hva sjekker du før du slår sammen assistentskrevet kode?» og sammenlign svarene med den sikre AI-kodingsløkken.
- Vurderingsskala: Før og etter, spør «Hvor sikker er du på at du oppdager en kappløpstilstand i gjennomgangen?» fra 1 til 5.
- Åpent slutt: samle inn anonyme nestenulykker fra den siste sprinten på slutten av en live-økt.
FAQ
Hvilken sikkerhetsopplæring trenger utviklere?
Utviklere trenger sikker koding, håndtering av avhengigheter og hemmeligheter, og sikker bruk av AI-kodingsverktøy. Kursene ovenfor dekker dette, i tillegg til den grunnleggende bevisstheten alle ansatte trenger.
Er AI-generert kode sikker?
Ikke som standard. Den trenger samme gjennomgang, testing og skanning som all annen kode, og en sjekk av at alle foreslåtte pakker finnes og er godkjent.
Hva er minnesikkerhet?
Minnesikkerhet er forebygging av feil som bufferoverløp og bruk etter ledig lagring som angripere utnytter. C og C++ trenger regler og statisk analyse for å komme dit.
Hvor ofte bør utviklere etterutdanne seg i sikkerhet?
Én gang i året, med korte oppdateringer når rammeverk, verktøy eller trusler endres.
Dette innlegget er generell informasjon, ikke juridisk rådgivning. For å ta en avgjørelse om din egen arbeidsplass, snakk med en kvalifisert advokat eller tilsynsmyndighetene.
