Senast granskad 4 november 2026 mot källorna som länkas i det här inlägget.
Pull-förfrågan ser snygg ut. Kodningsassistenten skrev det mesta, testerna klarar det och den lägger till ett bibliotek som ingen i teamet har hört talas om. Slå samman det, och du kan skicka ett paket som inte fanns förra veckan eller en slutpunkt som hoppar över en åtkomstkontroll. Det är det gapet som säkerhetsutbildning för utvecklare måste täcka. OWASP:s Top 10:2025 sätter trasig åtkomstkontroll först och rapporterar att 100 % av de testade applikationerna hade någon form av trasig åtkomstkontroll.
Den här listan är för tekniska chefer och säkerhetsexperter. Du får 10 färdiga kurser i 3 grupper, vad varje grupp åtgärdar och hur man implementerar dem. Varje grupp avslutas med en Vår pickDen enda juridiska punkten beskriver en amerikansk federal regel, så använd detta som en kursplan, inte ett beslut.
Alla 10 kurser i överblick
| Kurs | Vad det täcker | Längd | Lagen bakom det? |
|---|---|---|---|
| Säker AI-assisterad mjukvaruutveckling | Kodningsassistenter, agenter och den säkra AI-kodningsslingan | 45 min | Nej |
| Minnessäkra C och C++ enligt CERT- och MISRA-standarder | Livslängder, punkter, vanliga brister och statisk analys | 45 min | Nej |
| Samtidighetssäkerhet | Trådar, låsningar, tävlingsförhållanden och dödläge | 40 min | Nej |
| Onboarding av företagsplattformsutvecklare | En första säker förändring, utökningar och förändringskontroll | 45 min | Nej |
| Dataklassificering och hantering | Nivåer, lagring, delning och kassering av data | 25 min | Nej |
| AI-säkerhet för alla | Skugg-AI, snabb injektion och okända kodpaket | 30 min | Nej |
| Grundläggande säkerhetsmedvetenhet | Stegen i en attack och grundläggande vanor | 35 min | Ja (amerikanskt täckta finansinstitut) |
| Nätfiske och social ingenjörskonst | Varningssignaler, verifiering och rapportering | 30 min | Nej |
| Lösenord, lösennycklar och flerfaktorsautentisering | Säkra inloggningar, MFA, lösenord och återställning | 30 min | Nej |
| Social ingenjörskonst, bedrägerier och djupförfalskningar | Telefon-, betalnings- och identitetsbedrägerier | 35 min | Nej |
Endast kursen i säkerhetsmedvetenhet bygger på en amerikansk federal regel, och endast för vissa organisationer: FTC:s skyddsregel säger att berörda finansinstitut måste tillhandahålla säkerhetsmedvetenhetsutbildning för deras personalDen stakar inte ut en kurs för alla andra.
Säker och trygg utveckling
Säker AI-assisterad mjukvaruutveckling: kodningsassistenter och agenter utan risk
Denna 45-minuterskurs inleds med ett hallucinerat paket som förvandlas till en attack, och täcker sedan sex sätt som kodningsassistenter och agenter misslyckas på, den säkra AI-kodningsloopen (fråga, inspektera, testa, avslöja), gråzonerna i kunddata, shellkommandon och otestade pull requests, samt godkända verktyg med AI-användningsetiketter på pull requests. Den avslutas med en slutkontroll med 12 frågor där 80 % av poängen är godkänd. "Spot the failure"-rundan fungerar bra som en bild med val av svar. För recensionssidan, se vår guide till utbildning i AI-genererad kodgranskning.
Minnessäkra C och C++ enligt CERT- och MISRA-standarder
Minnessäkerhetsbrister är en välkänd klass av sårbarheter i C och C++. Denna 45-minuterskurs börjar med en krasch från en lös pekare och täcker sedan stack, heap och livslängder, pekare och arrayer, vanliga brister som användning efter frigöring, kodningsregler i praktiken och statisk analys i granskning. En "namnge bristen"-fråga är en naturlig Pick Answer-runda för en kodgranskningssession i ett team.
Samtidighetssäkerhet: trådar, lås och kapplöpningsvillkor
Race-förhållanden orsakar buggar som klarar varje test fram till produktion. Denna 40-minuterskurs följer en räknare som var felaktig var tionde körning, och täcker sedan trådar, processer och asynkronisering, lås, mutex och semaforer, race-förhållanden och dödläge, mönster per språk och en granskningschecklista. Scenariot "välj verktyget", mutex eller semafor, ger backend-utvecklare en snabb kontroll av vad de kan.
Onboarding av företagsplattformsutvecklare: ditt första säkra byte till en affärsplattform
Nya utvecklare på en konfigurerbar affärsplattform misslyckas ofta med sin första ändring. Den här 45-minuterskursen täcker den första ändringen av en livekonfiguration, plattformskoncept, rapporter och bearbetning, tillägg och konfigurationsarkivet, ändringskontroll och att skriva en överlämningsanteckning. Använd den under en nybörjares första vecka, innan de rör ett leverantörsobjekt.
Vårt val: Säker AI-assisterad mjukvaruutveckling. Många team levererar nu assistentskriven kod, och den här kursen ger dem en loop att följa innan de sammanfogar den.
Data- och AI-verktygssäkerhet
Dataklassificering och hantering
Utvecklare kopierar produktionsdata till testsystem och delar loggar i chatten. Denna 25-minuterskurs behandlar varför klassificering finns, företagets nivåer, vad som är tillåtet och inte tillåtet när man märker, lagrar, delar och kasserar data, varningssignaler och hur man eskalerar. Den avslutas med en slutkontroll med 10 frågor där 80 % av poängen är godkänd. "Var ska konfidentiella data lagras?" är en snabb "Välj svar"-fråga.
AI-säkerhet för alla: skugg-AI, snabb injektion och manipulerade utdata
Prompt injection och okända kodpaket påverkar kodningsassistenter direkt. Denna 30-minuterskurs täcker skugg-AI och en komprometterad chatbot, prompt injection och förgiftat innehåll, dolda instruktioner i PDF-filer och e-postmeddelanden, gratis AI-tillägg och okända kodpaket, samt hur man rapporterar en incident eller begär ett godkänt verktyg. Ett ordmoln om "vilka AI-verktyg finns i din editor idag?" visar vad din policy behöver omfatta.
Vårt val: Dataklassificering och hantering. En stackspårning som klistras in i en chatbot är en dataläcka, och den här korta kursen klargör nivåerna innan det händer.
Konto- och nätfiskeförsvar
Grundläggande säkerhetsmedvetenhet
Utvecklare har källkod, hemligheter och pipeline-åtkomst, så baslinjen är viktigare för dem. Denna 35-minuterskurs täcker varför människor blir måltavlor, en attacks anatomi, varningssignaler, hur man skyddar sig själv och hur man reagerar och rapporterar, med en slutkontroll med 12 frågor där 80 % är godkänt. För berörda finansinstitut är det ett färdigt sätt att uppfylla FTC:s säkerhetsreglers krav på säkerhetsmedvetenhetsutbildning, även om regeln inte nämner någon kurs.
Nätfiske och social ingenjörskonst
Utvecklare utsätts för nätfiske för att få tillgång till databas- och molnuppgifter. Denna 30-minuterskurs förklarar hur attacker byggs upp, varningssignalerna, hur du skyddar dig själv och hur du rapporterar, med en slutkontroll med 12 frågor där 80 % är godkänt. Lägg till ett exempel på en falsk inloggningssida för kodhosting i live-presentationen. Din SOC sorterar vad utvecklare rapporterar: se vår lista över utbildningar för SOC-analytiker.
Lösenord, kodnycklar och flerfaktorsautentisering för personal
Utvecklarkonton skyddar kod och pipelines, så de behöver stark autentisering. Den här 30-minuterskursen tar upp varför konton är måltavlan, starka och unika inloggningar, flerfaktors- och lösenordsnycklar, falska inloggningssidor och gråzonerna för delning, genvägar och återställning. En betygsskala på "hur många av dina konton använder MFA?" inleder en ärlig konversation.
Social ingenjörskonst, bedrägerier och djupförfalskningar: telefon-, betalnings- och personifieringsbedrägerier
Bedrägerier med personifiering riktar sig till ingenjörer som kan godkänna åtkomst eller driftsättningar. Denna 35-minuterskurs följer en övertygande förfrågan, täcker taktiken, verifiering med ett känt nummer, förfalskad röst och video, och varför senioritet och sekretess är påtryckningar, inte bevis. Ett "skulle du bevilja denna åtkomst?"-scenario fungerar som en "Välj svar"-runda.
Vårt val: Lösenord, kodnycklar och flerfaktorsautentisering för personal. En stulen utvecklarinloggning kan nå hela pipelinen, och lösenordsnycklar motstår nätfiske, så ett stulet lösenord ensamt öppnar den inte längre.
Hur man implementerar planen
Börja där bristerna är vanligast. Med trasig åtkomstkontroll som hittats i varje applikation OWASP:s data testas, para ihop kurserna i säker kodning med granskningsvanor, inte bara bilder.
- Under en ny utvecklares första vecka: Grundläggande säkerhetsmedvetenhet, lösenord, nycklar och MFA, dataklassificering och plattformens introduktionskurs om ditt team bygger på en sådan.
- Inom den första månaden: säker AI-assisterad utveckling, AI-säkerhet för alla och minnessäkerhets- eller samtidighetskursen för de språk som ditt team använder.
- Varje år: ett repetitionsquiz för varje kurs, plus AI-kurserna när en ny assistent eller agent godkänns.
- När det gäller: Om du är ett finansinstitut som omfattas av bestämmelserna, håll säkerhetsutbildningen aktuell enligt FTC:s säkerhetsregler och fråga ditt ombud vad som gäller i ditt land eller din delstat.
Sätt att genomföra dessa kurser AhaSlides
Du kan bygga vilken som helst av dessa som en kurs i egen takt med AhaSlides kursskaparen, kör dem som en live frågestund, eller båda, med en enkät efter kursen och en 30-dagars incheckning för att se vad som har ändrats.
- Välj svar: visa ett kodavsnitt från kursen och fråga vilken brist den döljer.
- Word Cloud: fråga "Vad kontrollerar du innan du sammanfogar assistentskriven kod?" och jämför svaren med den säkra AI-kodningsloopen.
- Betygsskala: före och efter, fråga "Hur säker är du på att upptäcka ett kappvillkor i granskning?" från 1 till 5.
- Öppet slut: samla in anonyma nära-missar från den sista sprinten i slutet av en live-session.
FAQ
Vilken säkerhetsutbildning behöver utvecklare?
Utvecklare behöver säker kodning, hantering av beroenden och hemligheter, samt säker användning av AI-kodningsverktyg. Kurserna ovan täcker dessa, plus de grundläggande kunskaper som varje anställd behöver.
Är AI-genererad kod säker?
Inte som standard. Den kräver samma granskning, testning och skanning som all annan kod, och en kontroll av att alla föreslagna paket finns och är godkända.
Vad är minnessäkerhet?
Minnessäkerhet handlar om att förebygga fel som buffertöverflöden och "use after free" som angripare utnyttjar. C och C++ behöver regler och statisk analys för att nå dit.
Hur ofta bör utvecklare omskola sig inom säkerhet?
En gång om året, med korta uppdateringar när ramverk, verktyg eller hot ändras.
Det här inlägget är av allmän information, inte juridisk rådgivning. För ett beslut som rör din egen arbetsplats, tala med en kvalificerad jurist eller tillsynsmyndigheten.
