Последнее обновление данных: 4 ноября 2026 г., с учетом источников, ссылки на которые приведены в этом посте.
Запрос на слияние выглядит аккуратно. Большую часть кода написал помощник программиста, тесты проходят, и он добавляет библиотеку, о которой никто в команде не слышал. Если его объединить, вы можете выпустить пакет, которого не существовало еще на прошлой неделе, или конечную точку, которая пропускает проверку доступа. Именно этот пробел необходимо восполнить в обучении разработчиков вопросам безопасности. В списке OWASP Top 10:2025 на первом месте стоит проблема неработающего контроля доступа, и сообщается, что В 100% протестированных приложений были обнаружены те или иные нарушения контроля доступа..
Этот список предназначен для руководителей инженерных отделов и специалистов по безопасности. Вы получаете 10 готовых курсов, разделенных на 3 группы, в которых объясняется, что исправляет каждая из них и как их внедрять. Каждая группа завершается подробным описанием. Наш выборУказанный юридический пункт описывает федеральное правило США, поэтому используйте его как краткий обзор, а не как постановление.
Все 10 курса с первого взгляда
| "Курс" | Что это покрывает | Длина | Закон, лежащий в основе этого? |
|---|---|---|---|
| Безопасная разработка программного обеспечения с использованием ИИ. | Помощники в программировании, агенты и безопасный цикл кодирования ИИ. | 45 мин | Нет |
| Безопасный с точки зрения памяти язык C и C++, соответствующий стандартам CERT и MISRA. | Сроки жизни, указатели, распространенные ошибки и статический анализ. | 45 мин | Нет |
| Безопасность параллельного выполнения | Потоки, блокировки, состояния гонки и взаимоблокировка | 40 мин | Нет |
| адаптация разработчиков корпоративных платформ | Первое безопасное изменение, расширения и контроль изменений. | 45 мин | Нет |
| Классификация и обработка данных | Уровни, хранение, обмен и удаление данных | 25 мин | Нет |
| Безопасность ИИ для всех | Теневой ИИ, внедрение кода и пакеты неизвестного кода | 30 мин | Нет |
| Основы осведомленности в области информационной безопасности | Этапы атаки и основные привычки | 35 мин | Да (финансовые учреждения, находящиеся под юрисдикцией США) |
| Фишинг и социальная инженерия | Тревожные сигналы, проверка и отчетность | 30 мин | Нет |
| Пароли, ключи доступа и многофакторная аутентификация | Безопасный вход в систему, многофакторная аутентификация, пароли и восстановление. | 30 мин | Нет |
| Социальная инженерия, мошенничество и дипфейки | Телефонные мошенничества, мошенничества с платежами и мошенничества с использованием чужих личных данных | 35 мин | Нет |
Только курс повышения осведомленности в вопросах безопасности подпадает под действие федеральных правил США, и только для некоторых организаций: Правило FTC о мерах защиты гласит, что соответствующие финансовые учреждения обязаны предоставлять такой курс. обучение персонала основам безопасностиЭто не определяет курс для всех остальных.
Безопасная и надежная разработка
Безопасная разработка программного обеспечения с использованием ИИ: помощники и агенты для программирования без рисков.
Этот 45-минутный курс начинается с иллюзорного пакета, который превращается в атаку, затем рассматривает шесть способов, которыми ассистенты и агенты в программировании допускают ошибки, цикл безопасного ИИ-кодирования (запрос, проверка, тестирование, раскрытие), серые зоны данных клиентов, команды оболочки и непротестированные запросы на слияние, а также утвержденные инструменты с метками использования ИИ в запросах на слияние. Заканчивается он итоговой проверкой из 12 вопросов, для прохождения которой необходимо набрать 80%. Раунд «найди ошибку» хорошо подходит в качестве слайда с выбором ответа. Для повторения материала см. наше руководство по обучению проверке кода с помощью ИИ.
Безопасный с точки зрения памяти язык C и C++, соответствующий стандартам CERT и MISRA.
Уязвимости, связанные с безопасностью памяти, — это хорошо известный класс уязвимостей в C и C++. Этот 45-минутный курс начинается с анализа сбоя, вызванного одним лишним указателем, затем рассматривает стек, кучу и время жизни, указатели и массивы, распространенные уязвимости, такие как использование после освобождения памяти, правила кодирования на практике и статический анализ при проверке кода. Вопрос «назовите уязвимость» — это естественный вариант для командной проверки кода.
Безопасность параллельного выполнения: потоки, блокировки и состояния гонки
Состояние гонки приводит к ошибкам, которые проходят все тесты до момента запуска в продакшене. Этот 40-минутный курс, основанный на подсчете ошибок, который не срабатывал каждые десять запусков, затем рассматривает потоки, процессы и асинхронность, блокировки, мьютексы и семафоры, состояние гонки и взаимоблокировку, шаблоны для разных языков программирования и контрольный список для проверки знаний. Сценарий «выбери инструмент» — мьютекс или семафор — позволяет бэкенд-разработчикам быстро проверить свои знания.
Внедрение новых разработчиков на корпоративные платформы: ваш первый безопасный шаг при переходе на бизнес-платформу.
Новые разработчики, работающие с настраиваемой бизнес-платформой, часто допускают ошибки уже при первом изменении. Этот 45-минутный курс охватывает первое изменение в рабочей конфигурации, концепции платформы, отчеты и обработку данных, расширения и репозиторий конфигурации, управление изменениями и написание акта о передаче проекта. Используйте его в первую неделю работы нового сотрудника, прежде чем он начнет работать с объектами сторонних поставщиков.
Наш выбор: Безопасная разработка программного обеспечения с использованием искусственного интеллекта. Сейчас многие команды выпускают код, написанный помощником, и этот курс предлагает им один из этапов, который необходимо пройти перед слиянием кода.
Безопасность инструментов обработки данных и искусственного интеллекта
Классификация и обработка данных
Разработчики копируют производственные данные в тестовые системы и обмениваются логами в чате. Этот 25-минутный курс рассказывает о том, почему существует классификация, об уровнях в компании, что разрешено и что запрещено при маркировке, хранении, передаче и удалении данных, о тревожных сигналах и о том, как эскалировать проблему. Он завершается итоговой проверкой из 10 вопросов, для прохождения которой необходимо набрать 80%. Вопрос «Где следует хранить конфиденциальные данные?» — это вопрос с возможностью быстрого выбора ответа.
Безопасность ИИ для всех: теневой ИИ, внедрение вредоносного кода и манипулирование результатами.
Внедрение подсказок и неизвестные пакеты кода напрямую влияют на помощников в программировании. Этот 30-минутный курс охватывает теневой ИИ и скомпрометированный чат-бот, внедрение подсказок и отравленный контент, скрытые инструкции в PDF-файлах и электронных письмах, бесплатные расширения ИИ и неизвестные пакеты кода, а также как сообщить об инциденте или запросить утвержденный инструмент. Облако слов на тему «Какие инструменты ИИ уже есть в вашем редакторе?» показывает, что должна охватывать ваша политика.
Наш выбор: Классификация и обработка данных. Вставленный в чат-бот трассировочный стек указывает на утечку данных, и этот краткий курс поможет разобраться в ситуации еще до того, как она произойдет.
Защита от фишинга и защита от учётных записей
Основы осведомленности в области информационной безопасности
Разработчики владеют исходным кодом, секретами и доступом к конвейеру обработки данных, поэтому базовые требования для них имеют первостепенное значение. Этот 35-минутный курс охватывает причины, по которым люди становятся мишенью для атак, структуру атаки, признаки угроз, способы защиты, а также порядок реагирования и сообщения о происшествиях. В конце курса проводится проверка знаний с помощью 12 вопросов, для прохождения которой необходимо набрать 80% правильных ответов. Для финансовых учреждений, подпадающих под действие правил, это готовый способ выполнить требование FTC о проведении обучения по вопросам информационной безопасности, хотя в самих правилах этот курс не указан.
Фишинг и социальная инженерия
Разработчиков охотятся за учетными данными репозиториев и облачных сервисов с помощью фишинга. Этот 30-минутный курс объясняет, как создаются атаки, какие признаки указывают на них, как защититься и как сообщать о них. В конце курса проводится проверка знаний с помощью 12 вопросов, для прохождения которой необходимо набрать 80%. Добавьте в презентацию пример поддельной страницы входа на хостинг кода. Ваш центр оперативного реагирования (SOC) обрабатывает сообщения от разработчиков: см. наш список обучающих материалов для аналитиков SOC.
Пароли, ключи доступа и многофакторная аутентификация для персонала.
Учетные записи разработчиков защищают код и конвейеры обработки данных, поэтому им необходима надежная аутентификация. Этот 30-минутный курс рассказывает о том, почему эти учетные записи становятся объектом атак, о надежных и уникальных способах входа в систему, многофакторной аутентификации и паролях, о поддельных страницах входа и о серых зонах совместного использования, ярлыков и восстановления. Шкала оценки «Сколько ваших учетных записей используют многофакторную аутентификацию?» положит начало откровенному обсуждению.
Социальная инженерия, мошенничество и дипфейки: телефонные, платежные и мошеннические схемы с использованием поддельных данных.
Мошеннические схемы с использованием поддельных удостоверений личности нацелены на инженеров, которые могут подтвердить доступ или выполнить развертывание. Этот 35-минутный курс, основанный на убедительном запросе, рассматривает тактику, проверку по известному номеру, поддельные голосовые и видеозаписи, а также объясняет, почему старшинство и секретность являются давлением, а не доказательством. Сценарий «Вы бы предоставили этот доступ?» работает как раунд «Выбери ответ».
Наш выбор: пароли, ключи доступа и многофакторная аутентификация для персонала. Украденный логин разработчика может получить доступ ко всему конвейеру, а пароли устойчивы к фишингу, поэтому украденный пароль сам по себе уже не позволит открыть его.
Как реализовать план
Начните с того, где чаще всего встречаются недостатки. Например, с неисправных систем контроля доступа, обнаруженных в Каждое приложение протестировано с использованием данных OWASP.Сочетайте курсы по безопасному программированию с привычкой к повторению материала, а не только с слайдами.
- В первую неделю работы нового разработчика: Основы информационной безопасности, пароли, ключи доступа и многофакторная аутентификация, классификация данных, а также курс по внедрению платформы, если ваша команда его использует.
- В течение первого месяца: Безопасная разработка с использованием ИИ, безопасность ИИ для всех, а также обеспечение безопасности памяти и параллельного выполнения для языков программирования, используемых вашей командой.
- Каждый год: Повторительный тест по каждому курсу, а также по курсам искусственного интеллекта при утверждении нового ассистента или агента.
- Когда это применяется: Если вы являетесь финансовым учреждением, подпадающим под действие правил FTC, регулярно проводите обучение по вопросам информационной безопасности в соответствии с требованиями Правил защиты данных FTC и проконсультируйтесь с юристом о том, какие еще правила действуют в вашей стране или штате.
Способы проведения этих курсов на AhaSlides
Любой из этих курсов можно создать в удобном для вас темпе. AhaSlides С помощью создателя курса можно провести его в формате интерактивной сессии вопросов и ответов, или и то, и другое, с последующим опросом и проверкой результатов через 30 дней, чтобы увидеть, что изменилось.
- Выберите ответ: Покажите фрагмент кода из курса и спросите, какую ошибку он скрывает.
- Облако слов: Спросите: «Что вы проверяете перед слиянием кода, написанного помощником?» и сравните ответы с циклом безопасного кодирования ИИ.
- Шкала оценок: До и после задайте вопрос: «Насколько вы уверены в способности распознать условия гонки во время обзора?» по шкале от 1 до 5.
- Вопрос открытого типа: Собирайте анонимные данные о почти произошедших инцидентах в последнем спринте в конце сессии.
FAQ
Какое обучение по вопросам безопасности необходимо разработчикам?
Разработчикам необходимы навыки безопасного программирования, работы с зависимостями и секретами, а также безопасного использования инструментов для программирования ИИ. Представленные выше курсы охватывают эти аспекты, а также базовые знания, необходимые каждому сотруднику.
Насколько безопасен код, сгенерированный искусственным интеллектом?
По умолчанию — нет. Требуется такая же проверка, тестирование и сканирование, как и для любого другого кода, а также проверка наличия и одобрения каждого предложенного пакета.
Что такое безопасность памяти?
Безопасность памяти — это предотвращение ошибок, таких как переполнение буфера и использование памяти после освобождения, которые используют злоумышленники. Для достижения этой цели в C и C++ необходимы правила и статический анализ.
Как часто разработчикам следует проходить переподготовку по вопросам безопасности?
Раз в год, с краткими обновлениями при изменении фреймворков, инструментов или угроз.
Данная публикация содержит общую информацию, а не юридическую консультацию. Для принятия решения относительно вашего рабочего места обратитесь к квалифицированному юристу или в регулирующий орган.
