Última revisão em 4 de novembro de 2026, com base nas fontes citadas nesta publicação.
A solicitação de pull request parece organizada. O assistente de programação escreveu a maior parte dela, os testes passaram e ela adiciona uma biblioteca que ninguém na equipe conhece. Ao ser mesclada, você pode lançar um pacote que não existia na semana passada ou um endpoint que ignora uma verificação de acesso. Essa é a lacuna que o treinamento de segurança para desenvolvedores precisa preencher. O relatório Top 10:2025 da OWASP coloca o controle de acesso falho em primeiro lugar e relata que 100% dos aplicativos testados apresentaram algum tipo de falha no controle de acesso..
Esta lista é destinada a gerentes de engenharia e especialistas em segurança. Você recebe 10 cursos prontos, divididos em 3 grupos, cada um com informações sobre o que corrige e como implementá-los. Cada grupo termina com um guia. Nossa escolhaO único ponto jurídico descreve uma norma federal dos EUA, portanto, use-o como um programa de estudos, não como uma decisão judicial.
Todos os 10 cursos em resumo
| Para | O que cobre | Comprimento | Existe alguma lei que o sustente? |
|---|---|---|---|
| Desenvolvimento de software seguro assistido por IA | Assistentes de codificação, agentes e o ciclo de codificação segura de IA | 45 minutos | Não |
| C e C++ com segurança de memória, em conformidade com os padrões CERT e MISRA. | Tempos de vida, ponteiros, falhas comuns e análise estática | 45 minutos | Não |
| Segurança de concorrência | Roscas, fechaduras, condições de corrida e impasses | 40 minutos | Não |
| Integração de desenvolvedores de plataforma empresarial | Uma primeira alteração segura, extensões e controle de alterações. | 45 minutos | Não |
| Classificação e tratamento de dados | Níveis, armazenamento, compartilhamento e descarte de dados | 25 minutos | Não |
| Segurança de IA para todos | IA Sombra, injeção imediata e pacotes de código desconhecido | 30 minutos | Não |
| Noções básicas de conscientização sobre segurança | As fases de um ataque e os principais hábitos | 35 minutos | Sim (instituições financeiras abrangidas pelos EUA) |
| Phishing e engenharia social | Sinais de alerta, verificação e denúncia | 30 minutos | Não |
| Senhas, chaves de acesso e autenticação multifatorial | Logins seguros, MFA, chaves de acesso e recuperação. | 30 minutos | Não |
| Engenharia social, fraude e deepfakes | Golpes por telefone, pagamento e falsificação de identidade. | 35 minutos | Não |
Apenas o curso de conscientização sobre segurança está sujeito a uma regulamentação federal dos EUA, e somente para algumas organizações: a Regra de Salvaguardas da FTC (Comissão Federal de Comércio) exige que as instituições financeiras abrangidas o forneçam. treinamento de conscientização de segurança para seus funcionáriosIsso não define um rumo para todos os outros.
Desenvolvimento seguro e protegido
Desenvolvimento de software seguro com auxílio de IA: codificando assistentes e agentes sem riscos.
Este curso de 45 minutos começa com um pacote alucinatório que se transforma em um ataque, e em seguida aborda seis maneiras pelas quais assistentes e agentes de codificação falham, o ciclo de codificação segura de IA (solicitar, inspecionar, testar, divulgar), as áreas cinzentas dos dados do cliente, comandos de shell e solicitações de pull não testadas, e ferramentas aprovadas com rótulos de uso de IA em solicitações de pull. O curso termina com uma verificação final de 12 perguntas, sendo necessário acertar 80% para aprovação. A rodada "identifique a falha" funciona bem como um slide de Escolha de Resposta. Para a revisão, veja Nosso guia para treinamento em revisão de código gerada por IA.
C e C++ com segurança de memória, em conformidade com os padrões CERT e MISRA.
Falhas de segurança de memória são uma classe bem conhecida de vulnerabilidades em C e C++. Este curso de 45 minutos começa com uma falha causada por um ponteiro perdido e, em seguida, aborda pilha, heap e tempos de vida, ponteiros e arrays, falhas comuns como uso após liberação (use after free), regras de codificação na prática e análise estática na revisão. Uma pergunta do tipo "nomeie a falha" é uma rodada natural de Escolha da Resposta para uma sessão de revisão de código em equipe.
Segurança em concorrência: threads, locks e condições de corrida
Condições de corrida causam bugs que passam em todos os testes até chegarem à produção. Este curso de 40 minutos analisa um contador que apresentava erros a cada dez execuções e, em seguida, aborda threads, processos e assincronismo, locks, mutexes e semáforos, condições de corrida e deadlock, padrões por linguagem e uma lista de verificação para revisão. O cenário "escolha a ferramenta", mutex ou semáforo, oferece aos desenvolvedores de back-end uma verificação rápida de seus conhecimentos.
Integração de desenvolvedores de plataforma empresarial: sua primeira transição segura para uma plataforma de negócios.
Desenvolvedores iniciantes em uma plataforma de negócios configurável frequentemente causam problemas com a primeira alteração. Este curso de 45 minutos aborda essa primeira alteração em uma configuração em produção, conceitos da plataforma, relatórios e processamento, extensões e o repositório de configuração, controle de alterações e a elaboração de um relatório de transição. Utilize-o na primeira semana de um novo funcionário, antes que ele mexa em qualquer objeto do fornecedor.
Nossa escolha: Desenvolvimento de software seguro com auxílio de IA. Muitas equipes agora entregam código escrito por assistentes, e este curso oferece a elas um ciclo a seguir antes de integrá-lo ao código.
Segurança de dados e ferramentas de IA
Classificação e tratamento de dados
Os desenvolvedores copiam dados de produção para sistemas de teste e compartilham registros no chat. Este curso de 25 minutos aborda o porquê da existência da classificação de dados, os níveis da empresa, o que é permitido e o que não é permitido ao rotular, armazenar, compartilhar e descartar dados, sinais de alerta e como escalar problemas. Ao final, há uma verificação final de 10 perguntas, com 80% de acertos para aprovação. "Onde os dados confidenciais devem ser armazenados?" é uma pergunta de múltipla escolha.
Segurança da IA para todos: IA paralela, injeção imediata e resultados manipulados.
Injeção de código malicioso e pacotes de código desconhecidos afetam diretamente os assistentes de codificação. Este curso de 30 minutos aborda IA oculta e chatbots comprometidos, injeção de código malicioso e conteúdo envenenado, instruções ocultas em PDFs e e-mails, extensões de IA gratuitas e pacotes de código desconhecidos, além de como relatar um incidente ou solicitar uma ferramenta aprovada. Uma nuvem de palavras sobre "quais ferramentas de IA estão disponíveis no seu editor hoje?" mostra o que sua política precisa abranger.
Nossa escolha: Classificação e tratamento de dados. Um rastreamento de pilha colado em um chatbot é um vazamento de dados, e este breve curso esclarece os riscos antes que isso aconteça.
Defesa contra contas e phishing
Noções básicas de conscientização sobre segurança
Os desenvolvedores detêm o código-fonte, segredos e acesso ao pipeline, portanto, a base de conhecimento é ainda mais importante para eles. Este curso de 35 minutos aborda por que as pessoas são alvos de ataques, a anatomia de um ataque, sinais de alerta, como se proteger e como responder e denunciar, com uma verificação final de 12 questões, sendo necessário acertar 80% para aprovação. Para instituições financeiras abrangidas pela norma, é uma maneira prática de atender ao requisito de treinamento de conscientização em segurança da Regra de Salvaguardas da FTC, embora a regra não mencione nenhum curso específico.
Phishing e engenharia social
Desenvolvedores são vítimas de phishing que visam obter credenciais de repositório e nuvem. Este curso de 30 minutos explica como os ataques são construídos, os sinais de alerta, como se proteger e como denunciar, com uma verificação final de 12 perguntas, sendo necessário acertar 80% para aprovação. Adicione um exemplo de uma página de login falsa de hospedagem de código à apresentação ao vivo. Seu SOC tria o que os desenvolvedores relatam: veja nossa lista de treinamento para analistas de SOC.
Senhas, chaves de acesso e autenticação multifatorial para funcionários
As contas de desenvolvedor protegem o código e os fluxos de trabalho, por isso precisam de autenticação forte. Este curso de 30 minutos aborda por que as contas são o alvo, logins fortes e exclusivos, autenticação multifator e senhas, páginas de login falsas e as áreas cinzentas do compartilhamento, atalhos e recuperação. Uma escala de avaliação sobre "quantas de suas contas usam MFA?" inicia uma conversa franca.
Engenharia social, fraudes e deepfakes: golpes por telefone, pagamento e falsificação de identidade.
Golpes de falsificação de identidade visam engenheiros que podem aprovar acessos ou implantações. Este curso de 35 minutos parte de uma solicitação convincente, aborda as táticas, a verificação por um número conhecido, a falsificação de voz e vídeo e por que a hierarquia e o sigilo são formas de pressão, não de comprovação. Um cenário do tipo "você concederia este acesso?" funciona como uma rodada de Escolha de Respostas.
Nossa escolha: Senhas, chaves de acesso e autenticação multifatorial para funcionários. Um único login de desenvolvedor roubado pode acessar todo o sistema, e as chaves de acesso resistem a phishing, portanto, uma senha roubada sozinha não é mais suficiente para abri-lo.
Como implementar o plano
Comece onde as falhas são mais comuns. Com o controle de acesso defeituoso encontrado em todos os aplicativos testados com base nos dados da OWASPCombine os cursos de programação segura com hábitos de revisão, e não apenas com slides.
- Na primeira semana de um novo desenvolvedor: Conceitos básicos de conscientização sobre segurança, senhas, chaves de acesso e MFA (autenticação multifator), classificação de dados e o curso de integração da plataforma, caso sua equipe utilize um.
- No primeiro mês: Desenvolvimento seguro assistido por IA, segurança de IA para todos e o curso de segurança de memória ou concorrência para as linguagens que sua equipe usa.
- A cada ano: Um questionário de atualização sobre cada curso, além dos cursos de IA, sempre que um novo assistente ou agente for aprovado.
- Quando se aplica: Se você representa uma instituição financeira abrangida pela legislação, mantenha o treinamento de conscientização sobre segurança atualizado, conforme descrito na Regra de Salvaguardas da FTC, e consulte seu advogado para saber quais outras medidas se aplicam em seu país ou estado.
Formas de ministrar esses cursos em AhaSlides
Você pode criar qualquer um desses cursos em seu próprio ritmo com o AhaSlides Criador de cursos, execute-os como uma sessão de perguntas e respostas ao vivo ou ambos, com uma pesquisa pós-curso e um acompanhamento de 30 dias para verificar o que mudou.
- Escolha a resposta: Mostre um trecho de código do curso e pergunte qual falha ele esconde.
- Palavra nuvem: Pergunte "O que você verifica antes de mesclar o código escrito pelo assistente?" e compare as respostas com o ciclo de codificação segura de IA.
- Escala de classificação: Antes e depois, pergunte: "Qual o seu nível de confiança em identificar uma condição de corrida durante a revisão?", numa escala de 1 a 5.
- Pergunta aberta: Coletar, de forma anônima, os incidentes que quase resultaram em acertos (quase-acertos) ocorridos no último sprint, ao final de uma sessão ao vivo.
Perguntas frequentes
Que tipo de treinamento em segurança os desenvolvedores precisam?
Os desenvolvedores precisam de programação segura, gerenciamento de dependências e segredos, e uso seguro de ferramentas de programação com IA. Os cursos acima abordam esses tópicos, além dos conceitos básicos de conscientização que todo funcionário precisa ter.
O código gerado por IA é seguro?
Não por padrão. Ele precisa da mesma revisão, testes e verificação que qualquer outro código, além de uma checagem para garantir que todos os pacotes sugeridos existam e sejam aprovados.
O que é segurança de memória?
Segurança de memória é a prevenção de erros como estouro de buffer e uso após liberação (use after free), que são explorados por atacantes. C e C++ precisam de regras e análise estática para atingir esse objetivo.
Com que frequência os desenvolvedores devem passar por treinamentos de reciclagem em segurança?
Uma vez por ano, com atualizações breves quando surgem mudanças em estruturas, ferramentas ou ameaças.
Este post contém informações gerais e não constitui aconselhamento jurídico. Para decisões relativas ao seu local de trabalho específico, consulte um advogado qualificado ou o órgão regulador.
