Ultima revizuire la 4 noiembrie 2026, comparativ cu sursele la care se face trimitere în această postare.
Consiliul se întrunește joi, iar președintele are o întrebare pentru CISO: „Dacă mâine am fi loviți de ransomware, cine decide ce și am exersat?” Instrumentele contează, dar răspunsul depinde de guvernanță, exerciții și personal care raportează rapid. Aceasta este ceea ce trebuie să acopere instruirea în domeniul securității cibernetice pentru directori. NIST a subliniat acest aspect în Cadrul său de Securitate Cibernetică 2.0, care a adăugat o a șasea funcție. Guvernare, acoperind roluri, responsabilități și autorități, politici și supravegherea strategiei de securitate cibernetică.
Această listă oferă unui CISO cursurile pentru a derula acel program. Primești 10 cursuri predefinite, împărțite în 3 grupuri, ce rezolvă fiecare și cum să le implementezi. Fiecare grup se încheie cu... Alegerea noastrăPunctele juridice descriu regulile federale ale SUA, așadar folosiți-le ca pe o programă, nu ca pe o hotărâre.
Toate cele 10 cursuri dintr-o privire
| Curs | Ce acoperă | Lungime | Legea din spatele ei? |
|---|---|---|---|
| Guvernanța riscului cibernetic pentru manageri și consilii de administrație | Cinci întrebări ale consiliului de administrație, apetitul pentru risc și deciziile de criză | 40 min | Nu |
| Guvernanță IT, arhitectură întreprindere și audit IT: COBIT și TOGAF | Obiective de guvernanță, metodă de arhitectură și planificare a auditului | 45 min | Nu |
| ISO/IEC 27001 și ISMS | Politica de practică, excepții și discuții cu un auditor | 40 min | Nu |
| Soluție ransomware pentru manageri | Prima oră, cine decide și cine vorbește, rezerve | 60 min | Nu |
| Conștientizarea amenințărilor din interior | Indicatori de risc, metode de recrutare și raportare | 30 min | Da (antreprenori autorizați de SUA) |
| Elemente esențiale de conștientizare a securității | Etapele unui atac și obiceiurile de bază | 35 min | Da (instituții financiare acoperite de SUA) |
| Phishing și inginerie socială | Semnale de alarmă, verificare și raportare | 30 min | Nu |
| Parole, chei de acces și autentificare multi-factor | Conectare sigură, MFA, chei de acces și recuperare | 30 min | Nu |
| Securitate cu inteligență artificială pentru toată lumea | AI în umbră, injecție promptă și ieșiri manipulate | 30 min | Nu |
| Inginerie socială, fraudă și deepfake-uri | Escrocherii telefonice, prin plăți și prin uzurpare de identitate | 35 min | Nu |
Două cursuri se bazează pe o regulă federală a SUA și sunt valabile doar pentru anumite organizații. Conform regulii NISPOM, contractorii de apărare autorizați trebuie să le ofere angajaților recent autorizați instruire privind conștientizarea amenințărilor interne înainte de acordarea accesului la informații clasificate și validează finalizarea inițială și anuală. Regulamentul FTC privind garanțiile prevede că instituțiile financiare vizate trebuie să furnizeze instruire privind conștientizarea securității pentru personalul lorNiciunul nu stabilește un curs pentru toți ceilalți.
Guvernanță și cadre
Guvernanța riscului cibernetic pentru manageri și consilii de administrație
Acest curs de 40 de minute tratează riscul cibernetic ca risc de afaceri. Acoperă cinci întrebări despre organizația dumneavoastră, apetitul pentru risc și un scurt tablou de bord, zonele gri ale plății, comunicării și compromisurilor, de unde provin responsabilitățile și acțiunile de conducere care trebuie întreprinse în continuare. Un CISO îl poate rula cu echipa de conducere înainte de un ciclu de consiliu de administrație. Întrebarea „un tablou de bord arată sute de măsuri” funcționează ca un diapozitiv de tip „alegere răspuns” și începe argumentul corect. Membrii consiliului de administrație primesc propria listă. ghidul nostru de instruire pentru consiliul de administrație.
Guvernanță IT, arhitectură de întreprindere și cadre de audit IT: COBIT și TOGAF
Acest curs de 45 de minute începe cu „un sistem pentru care nimeni nu era responsabil”, apoi acoperă de ce guvernanța IT este importantă pentru valoare, risc și resurse, obiective de guvernanță versus management, metoda de dezvoltare a arhitecturii, modele de maturitate și planificarea unui audit IT cu un raport către conducere. Oferă managerilor IT care raportează către CISO un cadru comun. Activitatea de sortare „guvernanță sau management?” face o rundă rapidă de alegere a răspunsului.
ISO/IEC 27001 și sistemul de management al securității informațiilor
CISO deține, de obicei, ISMS-ul, iar fiecare angajat face parte din acesta. Acest curs de 40 de minute explică ce este un ISMS, cum se transformă politica în practică, cum sunt gestionate excepțiile și punctele slabe și cum să discuți cu un auditor. Implementează-l înainte de un audit de certificare sau de supraveghere, astfel încât personalul să poată răspunde la întrebări cu dovezi. Un diapozitiv deschis despre „ce i-ai arăta unui auditor?” scoate în evidență lacunele din timp.
Alegerea noastră: Guvernanța riscului cibernetic pentru manageri și consilii de administrație. Transformă funcția de guvernare a NIST în cinci întrebări la care o echipă de conducere poate răspunde, aceasta fiind conversația de care au nevoie majoritatea CISO-urilor.
Pregătirea pentru incidente și riscul din interior
Soluție ransomware pentru manageri
Acest curs de 60 de minute este o temă practică, împărțită în trei părți: prima oră, decizii și comunicare, și copii de rezervă și remedieri. Managerii exersează cine izolează mașinile, cine vorbește cu presa și cine decide cu privire la o răscumpărare, la care cursul răspunde în calitate de lider prin consultanță juridică. Se încheie cu o verificare finală de 7 întrebări. Desfășoară-l în direct cu numele reale ale responsabilului cu incidentul și ale responsabilului cu comunicarea. Pentru analiștii care pun în aplicare planul, consultați... lista noastră de training pentru analiști SOC.
Conștientizarea amenințărilor din interior
Programele privind amenințările interne sunt adesea gestionate de CISO, de la detectare până la răspuns. Acest curs de 30 de minute acoperă importanța detectării, indicatori comportamentali, tehnici și financiari, modul în care adversarii recrutează persoane din interior de încredere, ce trebuie făcut și ce nu trebuie făcut și unde să se raporteze. Se încheie cu o verificare finală de 10 întrebări cu un scor de promovare de 80%. Pentru contractorii americani autorizați, este o modalitate predefinită de a oferi instruirea impusă de regula NISPOM de mai sus, deși regula nu menționează niciun curs.
Alegerea noastră: Soluție ransomware pentru manageri. Un plan pe care nimeni nu l-a repetat eșuează în prima oră, iar această abordare de tip „tableboard” îi face pe lideri să decidă înainte ca presiunea să fie reală.
Obiceiurile de securitate ale personalului și riscul IA
Elemente esențiale de conștientizare a securității
Acesta este programul de conștientizare de bază pentru care este responsabil un CISO. Cursul de 35 de minute acoperă motivele pentru care oamenii sunt vizați, anatomia unui atac, semnalele de alarmă, cum să vă protejați și cum să reacționați și să raportați, cu o verificare finală de 12 întrebări la 80% pentru promovare. Pentru instituțiile financiare vizate, este o modalitate deja existentă de a îndeplini cerința de instruire privind conștientizarea în materie de securitate din Regulamentul FTC privind garanțiile, deși regulamentul nu menționează niciun curs.
Phishing și inginerie socială
Rezistența la phishing este o metrică comună pentru CISO. Acest curs de 30 de minute explică modul în care sunt construite atacurile, semnalele de alarmă, cum să vă protejați și cum să raportați, cu o verificare finală de 12 întrebări la 80% pentru promovare. Asociați-l cu butonul de raportare, astfel încât cursul și metrica să se potrivească.
Parole, chei de acces și autentificare multi-factor pentru personal
Implementarea cheilor de acces și a MFA este o decizie a programului, iar personalul trebuie să știe de ce. Acest curs de 30 de minute prezintă motivele pentru care conturile sunt ținta principală, autentificările puternice și unice, cheile de acces și multifactor, paginile de conectare false și zonele gri ale partajării, comenzilor rapide și recuperării. Lansați-l în săptămâna în care o nouă metodă de conectare este implementată.
Securitate AI pentru toți: AI în umbră, injecție promptă și ieșiri manipulate
Politica de securitate a inteligenței artificiale pentru inteligența artificială din umbră și injectarea promptă revine din ce în ce mai mult responsabilității CISO. Acest curs de 30 de minute acoperă inteligența artificială din umbră și un chatbot compromis, injectarea promptă și conținutul otrăvit, instrucțiuni ascunse în PDF-uri și e-mailuri, extensii gratuite de inteligență artificială și cum să solicitați un instrument aprobat sau să raportați un incident. Un nor de cuvinte despre „ce instrumente de inteligență artificială folosiți la locul de muncă?” prezintă inteligența artificială din umbră despre care nu știați.
Inginerie socială, fraudă și deepfake-uri: escrocherii telefonice, cu plăți și prin uzurpare de identitate
Frauda prin deepfake și uzurparea de identitate își au locul în fiecare briefing privind amenințările executive, deoarece numele și vocile directorilor sunt ceea ce atacatorii imită. Acest curs de 35 de minute urmează unei solicitări convingătoare, acoperă tacticile, verificarea modificărilor de plată, vocile și videoclipurile falsificate și de ce vechimea și secretul sunt presiuni, nu dovezi. Desfășoară-l mai întâi cu departamentul financiar și cu asistenții executivi.
Alegerea noastră: Securitate bazată pe inteligență artificială pentru toată lumea. Personalul adoptă adesea instrumente de inteligență artificială mai rapid decât pot urma politicile, iar acest curs le oferă o buclă simplă de solicitare, utilizare, verificare și raportare.
Cum se implementează planul
Începeți cu guvernanța. CSF 2.0 al NIST pune guverna În primul rând: directorii stabilesc așteptări privind apetitul pentru risc, responsabilitatea și resursele, iar restul programului decurge din acestea.
- În acest trimestru, pentru lideri: guvernanța riscurilor cibernetice, apoi masa de lucru privind ransomware-ul cu persoanele menționate în planul dumneavoastră de incident.
- Pentru fiecare angajat, la momentul integrării: Noțiuni esențiale de conștientizare a securității, phishing și parole, chei de acces și MFA.
- Pentru managerii IT și de securitate: COBIT și TOGAF, precum și ISO 27001 înainte de următorul audit.
- În fiecare an: repetarea sesiunii de lucru pe masă, a unui test de reîmprospătare a temei pentru fiecare curs și a cursului de securitate a inteligenței artificiale ori de câte ori este lansat un nou instrument de inteligență artificială.
- Când se aplică: Contractorii americani autorizați în domeniul apărării oferă instruire privind amenințările interne înainte de accesul la informații clasificate și în fiecare an după aceea; instituțiile financiare acoperite mențin la zi instruirea privind conștientizarea în materie de securitate, așa cum descrie Regulamentul FTC privind garanțiile. Întrebați-vă avocatul ce altceva se aplică în țara sau statul dumneavoastră.
Modalități de a derula aceste cursuri pe AhaSlides
You can build any of these as a self-paced course with the AhaSlides course creator, run them as a live Q&A session deck, or both, with a post-course survey to see what changed.
- Alegeți răspunsul: pe masă, arată nota de răscumpărare și întreabă cine decide următorul pas.
- Cloud de cuvinte: Întrebați liderii „Ce vă îngrijorează cel mai mult în legătură cu un incident cibernetic?” și comparați acest lucru cu registrul dumneavoastră de riscuri.
- Scala de evaluare: Înainte și după, întrebați „Cât de pregătit este planul nostru pentru incident?” de la 1 la 5.
- Deschis: a colecta întrebări anonime pentru forum la sfârșitul unei sesiuni live.
FAQ
De ce pregătire are nevoie un CISO?
Un CISO are nevoie de expertiză în gestionarea riscurilor și guvernanță, leadership în răspunsul la incidente, cunoștințe despre regulile aplicabile și abilități de a informa un consiliu de administrație. Cursurile de mai sus acoperă programul derulat de un CISO; certificările acoperă acreditarea personală.
Ce certificări au CISO-urile?
Printre cursurile comune se numără CISSP, CISM și CCISO al Consiliului CE. Niciunul dintre cursurile de mai sus nu este o certificare.
Cât de des ar trebui liderii să desfășoare exerciții de gestionare a incidentelor?
Cel puțin o dată pe an este o valoare de referință rezonabilă și din nou după o schimbare majoră, cum ar fi o fuziune, un sistem nou sau un nou responsabil cu incidentul.
Ce este o tabletă ransomware?
Un exercițiu de tip „ransomware tabletop” este un exercițiu bazat pe discuții care repetă deciziile pe care liderii le iau în timpul unui atac ransomware, fără a atinge sistemele active.
Această postare conține informații generale, nu sfaturi juridice. Pentru o decizie privind locul de muncă, adresați-vă unui avocat calificat sau autorității de reglementare.
