Остання перевірка 4 листопада 2026 року на відповідність джерелам, посилання на які наведено в цій публікації.
Запит на злиття виглядає акуратно. Помічник з кодування написав більшу його частину, тести пройшли успішно, і він додав бібліотеку, про яку ніхто в команді не чув. Злийте його, і ви можете відправити пакет, якого не існувало минулого тижня, або кінцеву точку, яка пропускає перевірку доступу. Це та прогалина, яку має заповнити навчання з безпеки для розробників. OWASP's Top 10:2025 ставить на перше місце порушений контроль доступу та повідомляє, що 100% протестованих програм мали певну форму порушеного контролю доступу.
Цей список призначений для керівників інженерів та лідерів у сфері безпеки. Ви отримуєте 10 готових курсів, розділених на 3 групи, що виправляє кожен з них та як їх впроваджувати. Кожна група завершується... Наш вибірЄдиний юридичний момент описує федеральне правило США, тому використовуйте його як навчальну програму, а не як постанову.
Усі 10 курсів одним поглядом
| Курс | Що воно охоплює | довжина | Закон, що стоїть за цим? |
|---|---|---|---|
| Безпечна розробка програмного забезпечення за допомогою штучного інтелекту | Асистенти кодування, агенти та безпечний цикл кодування зі штучним інтелектом | 45 хв | Немає |
| Безпечні для пам'яті C та C++ відповідно до стандартів CERT та MISRA | Терміни служби, вказівки, поширені недоліки та статичний аналіз | 45 хв | Немає |
| Безпека паралельності | Потоки, блокування, умови гонки та глухий кут | 40 хв | Немає |
| Адаптація розробника корпоративної платформи | Перша безпечна зміна, розширення та контроль змін | 45 хв | Немає |
| Класифікація та обробка даних | Рівні, зберігання, обмін та видалення даних | 25 хв | Немає |
| Безпека зі штучним інтелектом для всіх | Тіньовий ШІ, впровадження запитань та пакети невідомого коду | 30 хв | Немає |
| Основи обізнаності з питань безпеки | Стадії атаки та основні звички | 35 хв | Так (фінансові установи, що охоплені США) |
| Фішинг та соціальна інженерія | Тривожні сигнали, перевірка та звітність | 30 хв | Немає |
| Паролі, ключі доступу та багатофакторна автентифікація | Безпечний вхід, багатофакторна автентифікація, ключі доступу та відновлення | 30 хв | Немає |
| Соціальна інженерія, шахрайство та діпфейки | Телефонне шахрайство, платіжні схеми та шахрайство, пов'язані з видаванням себе за іншу особу | 35 хв | Немає |
Лише курс з підвищення обізнаності з питань безпеки базується на федеральному правилі США, і лише для деяких організацій: правило захисних заходів Федеральної торгової комісії (FTC) говорить, що фінансові установи, на які поширюється дія цього правила, повинні надавати навчання персоналу з питань безпекиЦе не встановлює курс для всіх інших.
Безпечний та надійний розвиток
Безпечна розробка програмного забезпечення за допомогою штучного інтелекту: асистенти та агенти кодування без ризику
Цей 45-хвилинний курс починається з галюцинованого пакета, який перетворюється на атаку, потім охоплює шість способів, якими помічники кодування та агенти зазнають невдачі, безпечний цикл кодування ШІ (запит, перевірка, тестування, розкриття), сірі зони даних клієнтів, команди оболонки та непротестовані пул-реквести, а також схвалені інструменти з позначками використання ШІ на пул-реквестах. Він завершується фінальною перевіркою з 12 запитань на 80% для успішного складання. Раунд «знайди недолік» добре працює як слайд «Вибери відповідь». Щодо сторони огляду див. наш посібник з навчання перегляду коду, згенерованого штучним інтелектом.
Безпечні для пам'яті C та C++ відповідно до стандартів CERT та MISRA
Вразливості, пов'язані з безпекою пам'яті, є добре відомим класом вразливостей у C та C++. Цей 45-хвилинний курс починається з аварії, спричиненої одним випадковим вказівником, потім охоплює стек, купу та час життя, вказівники та масиви, поширені недоліки, такі як використання після free, правила кодування на практиці та статичний аналіз під час перевірки. Запитання «назвіть недолік» – це природний раунд вибору відповіді для сесії командної перевірки коду.
Безпека паралельного виконання: потоки, блокування та умови змагання
Умови гонки спричиняють помилки, які проходять усі тести до продакшену. Цей 40-хвилинний курс розпочинається з лічильника, який помилявся на кожному десятому запуску, а потім охоплює потоки, процеси та асинхронізацію, блокування, м'ютекси та семафори, умови гонки та тупикові блокування, шаблони за мовами та контрольний список для перевірки. Сценарій "вибір інструменту", м'ютексу чи семафора, дає розробникам бекенд-процесів швидку перевірку того, що вони знають.
Адаптація розробника корпоративної платформи: ваша перша безпечна зміна на бізнес-платформі
Нові розробники на конфігурованій бізнес-платформі часто ламають все з першої ж зміни. Цей 45-хвилинний курс охоплює першу зміну в активній конфігурації, концепції платформи, звіти та обробку, розширення та репозиторій конфігурації, контроль змін та написання записки про передачу. Використовуйте його протягом першого тижня роботи новачка, перш ніж він торкнеться об'єкта постачальника.
Наш вибір: Безпечна розробка програмного забезпечення за допомогою штучного інтелекту. Багато команд зараз розробляють код, написаний помічниками, і цей курс дає їм один цикл, який потрібно виконати, перш ніж об'єднати його.
Безпека даних та інструментів штучного інтелекту
Класифікація та обробка даних
Розробники копіюють виробничі дані в тестові системи та діляться журналами в чаті. Цей 25-хвилинний курс охоплює причини існування класифікації, рівні компанії, що дозволено, а що не дозволено під час маркування, зберігання, обміну та видалення даних, тривожні сигнали та способи ескалації. Він завершується фінальною перевіркою з 10 запитань на 80% успішності. «Де слід зберігати конфіденційні дані?» – це швидке запитання типу «Вибери відповідь».
Безпека ШІ для всіх: тіньовий ШІ, оперативне впровадження та маніпульовані виходи
Промови для впровадження коду та пакети невідомого коду безпосередньо впливають на помічників з кодування. Цей 30-хвилинний курс охоплює тіньовий штучний інтелект та скомпрометований чат-бот, промови для впровадження коду та отруєний контент, приховані інструкції у PDF-файлах та електронних листах, безкоштовні розширення штучного інтелекту та пакети невідомого коду, а також те, як повідомити про інцидент або запросити схвалений інструмент. Хмара слів на тему «які інструменти штучного інтелекту є у вашому редакторі сьогодні?» показує, що має охоплювати ваша політика.
Наш вибір: Класифікація та обробка даних. Трасування стека, вставлене в чат-бота, є витоком даних, і цей короткий курс пояснює рівні, перш ніж це станеться.
Захист облікових записів та фішингу
Основи обізнаності з питань безпеки
Розробники мають вихідний код, секрети та доступ до конвеєра, тому базові умови для них важливіші. Цей 35-хвилинний курс охоплює причини, чому люди стають цілями атаки, анатомію атаки, ознаки, як захистити себе, як реагувати та повідомляти про небезпеку, а також завершальний тест із 12 запитань на 80% успішний результат. Для фінансових установ, на які поширюється дія цього правила, це готовий спосіб виконати вимогу щодо навчання з питань безпеки, передбачену Правилом про захисні заходи FTC, хоча в самому правилі не згадується жодний курс.
Фішинг та соціальна інженерія
Розробників фішингом виманюють облікові дані репозиторію та хмари. Цей 30-хвилинний курс пояснює, як створюються атаки, які тривожні сигнали, як захистити себе та як повідомляти про них, а також завершальний тест із 12 запитань на 80% успішності. Додайте приклад фальшивої сторінки входу для хостингу коду до онлайн-версії. Ваш SOC сортує те, про що повідомляють розробники: див. наш список тренінгів для аналітиків SOC.
Паролі, ключі доступу та багатофакторна автентифікація для персоналу
Облікові записи розробників захищають код і конвеєри, тому їм потрібна надійна автентифікація. Цей 30-хвилинний курс охоплює причини, чому облікові записи є цільовою аудиторією, надійні та унікальні входи, багатофакторну автентифікацію та ключі доступу, фальшиві сторінки входу та сірі зони спільного доступу, швидких доступів та відновлення. Шкала оцінювання на тему «скільки ваших облікових записів використовують багатофакторну автентифікацію?» розпочинає чесну розмову.
Соціальна інженерія, шахрайство та діпфейки: телефонні, платіжні та імперсонаційні шахрайства
Шахрайство під виглядом особи, спрямоване на інженерів, які можуть схвалювати доступ або розгортати системи. Цей 35-хвилинний курс триває після переконливого запиту, охоплює тактики, перевірку за відомим номером, підробку голосу та відео, а також пояснює, чому старшинство та секретність є тиском, а не доказом. Сценарій «чи надасте ви цей доступ?» працює як раунд «Виберіть відповідь».
Наш вибір: Паролі, ключі доступу та багатофакторна автентифікація для персоналу. Один викрадений логін розробника може охопити весь конвеєр, а ключі доступу стійкі до фішингу, тому одного лише викраденого пароля його більше не можна відкрити.
Як розгорнути план
Почніть там, де недоліки є найпоширенішими. Зі зламаним контролем доступу, знайденим у дані OWASP для кожної програми перевірені, поєднуйте курси безпечного кодування з навичками повторення, а не лише зі слайдами.
- У перший тиждень роботи нового розробника: основи безпеки, паролі, ключі доступу та багатофакторна автентифікація (MFA), класифікація даних, а також курс адаптації до платформи, якщо ваша команда будує на ній.
- Протягом першого місяця: безпечна розробка за допомогою штучного інтелекту, безпека штучного інтелекту для всіх та курс безпеки пам'яті або паралельного програмування для мов, які використовує ваша команда.
- Щороку: повторний тест з кожного курсу, а також курси зі штучного інтелекту щоразу, коли затверджується новий помічник або агент.
- Коли застосовується: Якщо ви є фінансовою установою, що охоплюється цим правилом, регулярно проходьте навчання з питань безпеки, як це описано в Правилі захисних заходів Федеральної торгової комісії (FTC), і запитайте у свого адвоката, що ще застосовується у вашій країні чи штаті.
Способи проведення цих курсів AhaSlides
Ви можете створити будь-який з них як курс у власному темпі за допомогою AhaSlides творець курсу, запустіть їх як сесію запитань та відповідей у прямому ефірі або обидва варіанти, з опитуванням після курсу та 30-денною перевіркою, щоб побачити, що змінилося.
- Виберіть відповідь: покажіть фрагмент коду з курсу та запитайте, який недолік він приховує.
- Хмара слів: запитайте «Що ви перевіряєте перед об’єднанням коду, написаного помічником?» та порівняйте відповіді з безпечним циклом кодування штучного інтелекту.
- Шкала рейтингу: до та після запитайте «Наскільки впевнено ви помічаєте умову гонки під час огляду?» від 1 до 5.
- Відкритий кінець: збирати анонімні дані про майже промахи з останнього спринту в кінці живого сеансу.
FAQ
Яке навчання з безпеки потрібне розробникам?
Розробникам потрібне безпечне кодування, обробка залежностей і секретів, а також безпечне використання інструментів кодування штучного інтелекту. Вищезазначені курси охоплюють ці аспекти, а також основи обізнаності, необхідні кожному співробітнику.
Чи безпечний код, згенерований штучним інтелектом?
Не за замовчуванням. Він потребує такого ж перегляду, тестування та сканування, як і будь-який інший код, а також перевірки наявності та схвалення кожного запропонованого пакета.
Що таке безпека пам'яті?
Безпека пам'яті — це запобігання помилкам, таким як переповнення буфера та використання після звільнення, які експлуатують зловмисники. Для цього C та C++ потребують правил та статичного аналізу.
Як часто розробникам слід перепідготовлюватися з питань безпеки?
Раз на рік, з короткими оновленнями, коли змінюються фреймворки, інструменти або загрози.
Ця публікація є загальною інформацією, а не юридичною порадою. Щоб прийняти рішення щодо вашого власного робочого місця, зверніться до кваліфікованого юриста або до регулятора.
