Lần cuối được xem xét vào ngày 4 tháng 11 năm 2026 dựa trên các nguồn được liên kết trong bài đăng này.
Yêu cầu kéo (pull request) trông khá gọn gàng. Trợ lý lập trình đã viết hầu hết mã, các bài kiểm tra đều đạt, và nó bổ sung một thư viện mà không ai trong nhóm từng nghe đến. Hãy hợp nhất nó, và bạn có thể phát hành một gói phần mềm chưa từng tồn tại vào tuần trước hoặc một điểm cuối (endpoint) bỏ qua bước kiểm tra quyền truy cập. Đó chính là lỗ hổng mà chương trình đào tạo bảo mật cho các nhà phát triển cần phải khắc phục. Báo cáo Top 10:2025 của OWASP đặt vấn đề kiểm soát truy cập bị lỗi lên hàng đầu và cho biết rằng... 100% các ứng dụng được kiểm thử đều có một số dạng lỗi kiểm soát truy cập..
Danh sách này dành cho các nhà quản lý kỹ thuật và chuyên gia bảo mật. Bạn sẽ nhận được 10 khóa học готовые được chia thành 3 nhóm, mỗi nhóm giải quyết vấn đề gì và cách triển khai chúng. Mỗi nhóm đều kết thúc bằng một bài tập thực hành. Lựa chọn của chúng tôiĐiểm pháp lý duy nhất được đề cập là quy định của liên bang Hoa Kỳ, vì vậy hãy sử dụng nó như một bản tóm tắt nội dung, chứ không phải là một phán quyết.
Tổng quan về tất cả 10 khóa học
| Khóa học | Những gì nó bao gồm | Chiều dài | Luật nào đứng sau chuyện này? |
|---|---|---|---|
| Phát triển phần mềm hỗ trợ AI an toàn | Trợ lý lập trình, tác nhân và vòng lặp lập trình AI an toàn | 45 phút | Không |
| Lập trình C và C++ an toàn bộ nhớ theo tiêu chuẩn CERT và MISRA. | Tuổi thọ, con trỏ, các lỗi thường gặp và phân tích tĩnh | 45 phút | Không |
| An toàn đồng thời | Luồng, khóa, điều kiện tranh chấp và tắc nghẽn | 40 phút | Không |
| Quy trình gia nhập của nhà phát triển nền tảng doanh nghiệp | Thay đổi an toàn ban đầu, gia hạn và kiểm soát thay đổi | 45 phút | Không |
| Phân loại và xử lý dữ liệu | Các cấp độ, lưu trữ, chia sẻ và xử lý dữ liệu | 25 phút | Không |
| Bảo mật AI cho tất cả mọi người | Trí tuệ nhân tạo bóng tối, tiêm mã tức thời và các gói mã không xác định | 30 phút | Không |
| Những yếu tố thiết yếu về nhận thức an ninh | Các giai đoạn của một cuộc tấn công và các thói quen cốt lõi | 35 phút | Có (áp dụng cho các tổ chức tài chính tại Hoa Kỳ) |
| Lừa đảo và kỹ thuật xã hội | Các dấu hiệu đáng ngờ, xác minh và báo cáo | 30 phút | Không |
| Mật khẩu, mã khóa và xác thực đa yếu tố | Đăng nhập an toàn, xác thực đa yếu tố (MFA), mật khẩu và khôi phục. | 30 phút | Không |
| Kỹ thuật thao túng tâm lý, lừa đảo và deepfake | Các vụ lừa đảo qua điện thoại, thanh toán và mạo danh | 35 phút | Không |
Chỉ có khóa học nâng cao nhận thức về an ninh mạng là tuân theo quy định liên bang của Hoa Kỳ, và chỉ áp dụng cho một số tổ chức nhất định: Quy tắc Bảo vệ của FTC quy định các tổ chức tài chính thuộc phạm vi điều chỉnh phải cung cấp đào tạo nâng cao nhận thức về an ninh cho nhân viên của họ.Nó không đặt ra một khuôn mẫu cho tất cả mọi người.
Phát triển an toàn và bảo mật
Phát triển phần mềm hỗ trợ AI an toàn: lập trình trợ lý và tác nhân không rủi ro
Khóa học 45 phút này bắt đầu bằng một gói hàng ảo trở thành một cuộc tấn công, sau đó đề cập đến sáu cách mà các trợ lý và tác nhân lập trình thất bại, vòng lặp lập trình AI an toàn (nhắc nhở, kiểm tra, thử nghiệm, tiết lộ), các vùng xám của dữ liệu khách hàng, lệnh shell và yêu cầu kéo chưa được kiểm thử, cũng như các công cụ được phê duyệt có nhãn sử dụng AI trên yêu cầu kéo. Khóa học kết thúc bằng bài kiểm tra cuối khóa gồm 12 câu hỏi, đạt 80% trở lên để đậu. Vòng "tìm lỗi" hoạt động tốt như một slide Chọn đáp án. Để xem phần ôn tập, hãy xem Hướng dẫn của chúng tôi về đào tạo đánh giá mã do AI tạo ra.
Lập trình C và C++ an toàn bộ nhớ theo tiêu chuẩn CERT và MISRA.
Các lỗi an toàn bộ nhớ là một loại lỗ hổng bảo mật khá phổ biến trong C và C++. Khóa học 45 phút này bắt đầu với một sự cố sập chương trình do một con trỏ lạc lõng, sau đó đề cập đến ngăn xếp, vùng nhớ heap và vòng đời, con trỏ và mảng, các lỗi phổ biến như sử dụng sau khi giải phóng bộ nhớ (use after free), các quy tắc lập trình trong thực tế và phân tích tĩnh trong quá trình ôn tập. Câu hỏi "xác định lỗi" là một vòng chọn đáp án tự nhiên cho buổi đánh giá mã nhóm.
An toàn đồng thời: luồng, khóa và điều kiện tranh chấp
Lỗi xung đột truy cập đồng thời (race condition) gây ra các lỗi vượt qua mọi bài kiểm tra cho đến khi đưa vào sản phẩm. Khóa học 40 phút này theo dõi một bộ đếm cho kết quả sai cứ sau mười lần chạy, sau đó đề cập đến luồng, tiến trình và bất đồng bộ, khóa, mutex và semaphore, xung đột truy cập đồng thời và tắc nghẽn, các mẫu thiết kế theo ngôn ngữ và danh sách kiểm tra ôn tập. Tình huống "chọn công cụ", mutex hay semaphore, giúp các nhà phát triển back-end nhanh chóng kiểm tra kiến thức của mình.
Quy trình hội nhập dành cho nhà phát triển nền tảng doanh nghiệp: thay đổi an toàn đầu tiên của bạn đối với nền tảng kinh doanh
Các nhà phát triển mới trên nền tảng doanh nghiệp có thể cấu hình thường gây ra lỗi ngay từ lần thay đổi đầu tiên. Khóa học 45 phút này sẽ bao gồm những thay đổi đầu tiên đối với cấu hình đang hoạt động, các khái niệm về nền tảng, báo cáo và xử lý dữ liệu, các tiện ích mở rộng và kho lưu trữ cấu hình, kiểm soát thay đổi và cách viết ghi chú bàn giao. Hãy sử dụng khóa học này trong tuần đầu tiên của người mới, trước khi họ động đến bất kỳ đối tượng nào của nhà cung cấp.
Lựa chọn của chúng tôi: Phát triển phần mềm an toàn với sự hỗ trợ của trí tuệ nhân tạo. Nhiều nhóm hiện nay sử dụng mã nguồn do trợ lý viết, và khóa học này cung cấp cho họ một quy trình cần tuân theo trước khi hợp nhất mã đó.
Bảo mật dữ liệu và công cụ AI
Phân loại và xử lý dữ liệu
Các nhà phát triển sao chép dữ liệu sản xuất vào hệ thống thử nghiệm và chia sẻ nhật ký trong cuộc trò chuyện. Khóa học 25 phút này bao gồm lý do tại sao cần phân loại dữ liệu, các cấp độ phân loại của công ty, những gì được phép và không được phép khi gắn nhãn, lưu trữ, chia sẻ và xóa dữ liệu, các dấu hiệu cảnh báo và cách báo cáo vấn đề. Khóa học kết thúc bằng bài kiểm tra cuối khóa gồm 10 câu hỏi, đạt 80% trở lên để vượt qua. Câu hỏi "Dữ liệu mật nên được lưu trữ ở đâu?" là một câu hỏi trắc nghiệm nhanh.
Bảo mật AI cho mọi người: AI ngầm, tiêm mã độc và kết quả bị thao túng
Việc chèn mã độc và các gói mã không xác định ảnh hưởng trực tiếp đến các trợ lý lập trình. Khóa học 30 phút này bao gồm AI ngầm và chatbot bị xâm nhập, chèn mã độc và nội dung độc hại, hướng dẫn ẩn trong PDF và email, tiện ích mở rộng AI miễn phí và các gói mã không xác định, cũng như cách báo cáo sự cố hoặc yêu cầu công cụ đã được phê duyệt. Một đám mây từ khóa về "các công cụ AI nào hiện có trong trình soạn thảo của bạn?" cho thấy chính sách của bạn cần bao gồm những gì.
Lựa chọn của chúng tôi: Phân loại và xử lý dữ liệu. Việc dán dấu vết lỗi (stack trace) vào chatbot là một dạng rò rỉ dữ liệu, và khóa học ngắn này sẽ giúp bạn hiểu rõ các mức độ nghiêm trọng trước khi điều đó xảy ra.
Bảo vệ tài khoản và chống lừa đảo
Những yếu tố thiết yếu về nhận thức an ninh
Các nhà phát triển nắm giữ mã nguồn, thông tin bí mật và quyền truy cập vào quy trình, vì vậy kiến thức cơ bản càng quan trọng hơn đối với họ. Khóa học 35 phút này bao gồm lý do tại sao mọi người bị nhắm mục tiêu, cấu trúc của một cuộc tấn công, các dấu hiệu cảnh báo, cách tự bảo vệ mình, cách phản hồi và báo cáo, với bài kiểm tra cuối khóa gồm 12 câu hỏi, cần đạt 80% để vượt qua. Đối với các tổ chức tài chính thuộc phạm vi điều chỉnh, đây là một cách thức sẵn có để đáp ứng yêu cầu đào tạo nâng cao nhận thức về an ninh của Quy tắc Bảo vệ của FTC, mặc dù quy tắc không nêu tên khóa học cụ thể nào.
Lừa đảo và kỹ thuật xã hội
Các nhà phát triển đang bị tấn công lừa đảo để lấy thông tin đăng nhập kho lưu trữ và đám mây. Khóa học 30 phút này giải thích cách thức các cuộc tấn công được xây dựng, các dấu hiệu đáng ngờ, cách tự bảo vệ mình và cách báo cáo, với bài kiểm tra cuối khóa gồm 12 câu hỏi, đạt 80% trở lên để vượt qua. Thêm ví dụ về trang đăng nhập giả mạo dịch vụ lưu trữ mã nguồn vào bài thuyết trình trực tiếp. Trung tâm điều hành an ninh mạng (SOC) của bạn sẽ phân loại các báo cáo từ nhà phát triển: xem danh sách đào tạo chuyên viên phân tích SOC của chúng tôi.
Mật khẩu, mã khóa và xác thực đa yếu tố dành cho nhân viên
Tài khoản nhà phát triển bảo vệ mã nguồn và quy trình làm việc, vì vậy chúng cần xác thực mạnh mẽ. Khóa học 30 phút này sẽ đề cập đến lý do tại sao tài khoản lại là mục tiêu tấn công, cách đăng nhập mạnh mẽ và độc nhất, xác thực đa yếu tố và mật khẩu, các trang đăng nhập giả mạo và những vùng xám trong việc chia sẻ, lối tắt và khôi phục tài khoản. Thang điểm đánh giá "Có bao nhiêu tài khoản của bạn sử dụng xác thực đa yếu tố?" sẽ giúp bạn bắt đầu một cuộc thảo luận thẳng thắn.
Kỹ thuật thao túng tâm lý, lừa đảo và deepfake: các vụ lừa đảo qua điện thoại, thanh toán và mạo danh.
Các vụ lừa đảo mạo danh nhắm vào các kỹ sư có quyền phê duyệt quyền truy cập hoặc triển khai. Khóa học 35 phút này sẽ hướng dẫn bạn cách xử lý một yêu cầu thuyết phục, bao gồm các chiến thuật, xác minh bằng số điện thoại đã biết, giọng nói và video giả mạo, và lý do tại sao thâm niên và bí mật lại là áp lực chứ không phải bằng chứng. Một tình huống "Bạn có cấp quyền truy cập này không?" được sử dụng như một vòng chọn câu trả lời.
Lựa chọn của chúng tôi: Mật khẩu, mã khóa và xác thực đa yếu tố dành cho nhân viên. Chỉ cần một thông tin đăng nhập của nhà phát triển bị đánh cắp cũng có thể ảnh hưởng đến toàn bộ quy trình, và mật khẩu có khả năng chống lại các cuộc tấn công lừa đảo, vì vậy chỉ riêng mật khẩu bị đánh cắp thôi thì không còn đủ để mở được hệ thống nữa.
Cách triển khai kế hoạch
Hãy bắt đầu từ những nơi mà lỗi thường gặp nhất. Ví dụ, lỗi kiểm soát truy cập được tìm thấy ở... Mọi ứng dụng đều được kiểm tra dữ liệu của OWASP.Hãy kết hợp các khóa học lập trình an toàn với thói quen ôn tập, chứ không chỉ dựa vào các slide.
- Trong tuần đầu tiên của một lập trình viên mới: Các yếu tố cơ bản về nhận thức bảo mật, mật khẩu, mã khóa và xác thực đa yếu tố (MFA), phân loại dữ liệu và khóa học hướng dẫn sử dụng nền tảng nếu nhóm của bạn xây dựng trên một nền tảng như vậy.
- Trong tháng đầu tiên: Phát triển phần mềm hỗ trợ AI an toàn, bảo mật AI cho mọi người, và các khóa học về an toàn bộ nhớ hoặc xử lý đồng thời cho các ngôn ngữ mà nhóm của bạn sử dụng.
- Mỗi năm: Bài kiểm tra ôn tập cho mỗi khóa học, cộng thêm các khóa học về trí tuệ nhân tạo mỗi khi có trợ lý hoặc đại lý mới được phê duyệt.
- Khi nào áp dụng: Nếu bạn là một tổ chức tài chính thuộc phạm vi điều chỉnh của quy định, hãy cập nhật thường xuyên chương trình đào tạo nâng cao nhận thức về an ninh theo mô tả của Quy tắc Bảo vệ của FTC, và hỏi luật sư của bạn về những quy định khác áp dụng tại quốc gia hoặc tiểu bang của bạn.
Các cách thức tổ chức các khóa học này AhaSlides
Bạn có thể tự xây dựng bất kỳ khóa học nào trong số này theo hình thức tự học bằng cách sử dụng... AhaSlides Người tạo khóa học có thể tổ chức chúng dưới dạng phiên hỏi đáp trực tiếp, hoặc cả hai, kèm theo khảo sát sau khóa học và kiểm tra tiến độ sau 30 ngày để xem những thay đổi.
- Chọn đáp án: Hãy cho xem một đoạn mã từ khóa học và hỏi xem nó che giấu lỗi nào.
- Từ đám mây: Hãy hỏi "Bạn kiểm tra những gì trước khi hợp nhất mã do trợ lý viết?" và so sánh câu trả lời với vòng lặp lập trình AI an toàn.
- Thang đánh giá: Trước và sau khi xem xét, hãy hỏi "Bạn tự tin đến mức nào về việc phát hiện ra lỗi xung đột trình tự tham chiếu trong quá trình xem xét?" với thang điểm từ 1 đến 5.
- Câu hỏi mở: Thu thập các trường hợp suýt thành công ẩn danh từ đợt chạy nước rút cuối cùng vào cuối phiên trực tiếp.
FAQ
Các nhà phát triển phần mềm cần được đào tạo về bảo mật như thế nào?
Các nhà phát triển cần có kỹ năng lập trình an toàn, quản lý phụ thuộc và bí mật, cũng như sử dụng an toàn các công cụ lập trình AI. Các khóa học trên bao gồm những nội dung đó, cộng thêm những kiến thức cơ bản mà mọi nhân viên cần biết.
Mã do AI tạo ra có an toàn không?
Không phải mặc định. Nó cần được xem xét, kiểm tra và quét như bất kỳ đoạn mã nào khác, và cần kiểm tra xem mọi gói được đề xuất đều tồn tại và được phê duyệt.
Bảo mật bộ nhớ là gì?
An toàn bộ nhớ là việc ngăn ngừa các lỗi như tràn bộ đệm và sử dụng sau khi giải phóng mà kẻ tấn công thường khai thác. Ngôn ngữ lập trình C và C++ cần các quy tắc và phân tích tĩnh để đạt được điều đó.
Tần suất đào tạo lại về bảo mật dành cho lập trình viên là bao lâu?
Mỗi năm một lần, kèm theo các bản cập nhật ngắn gọn khi có sự thay đổi về khung công nghệ, công cụ hoặc mối đe dọa.
Bài viết này chỉ cung cấp thông tin chung, không phải lời khuyên pháp lý. Để được tư vấn về vấn đề liên quan đến nơi làm việc của bạn, hãy tham khảo ý kiến luật sư có chuyên môn hoặc cơ quan quản lý.
