Naposledy zkontrolováno 4. listopadu 2026 podle zdrojů odkazovaných v tomto příspěvku.
Správní rada se schází ve čtvrtek a předseda má pro CISO jednu otázku: „Kdyby nás zítra zasáhl ransomware, kdo o tom rozhodne a jestli jsme to nacvičovali?“ Nástroje jsou důležité, ale odpověď závisí na správě a řízení, cvičeních a zaměstnancích, kteří rychle podávají zprávy. To musí zahrnovat školení vedoucích pracovníků v oblasti kybernetické bezpečnosti. NIST to zdůraznil ve svém dokumentu Cybersecurity Framework 2.0, který přidal šestou funkci, Řízení, zahrnující role, odpovědnosti a pravomoci, politiku a dohled nad strategií kybernetické bezpečnosti.
Tento seznam poskytuje CISO kurzy pro spuštění daného programu. Získáte 10 hotových kurzů ve 3 skupinách, které obsahují řešení a návody k jejich zavedení. Každá skupina končí... Náš výběrPrávní body popisují federální pravidla USA, proto je používejte jako osnovy, nikoli jako rozhodnutí.
Všech 10 kurzů na první pohled
| Kurz | Na co se vztahuje | Délka | Zákon za tím? |
|---|---|---|---|
| Řízení kybernetických rizik pro manažery a představenstva | Pět otázek představenstva, chuť k riziku a krizová rozhodnutí | 40 min | Ne |
| Správa IT, podniková architektura a audit IT: COBIT a TOGAF | Cíle správy a řízení, metoda architektury a plánování auditu | 45 min | Ne |
| ISO/IEC 27001 a ISMS | Pravidla k dodržování předpisů, výjimky a rozhovor s auditorem | 40 min | Ne |
| Ransomware stolní systém pro manažery | První hodina, kdo rozhoduje a kdo mluví, zálohy | 60 min | Ne |
| Povědomí o vnitřních hrozbách | Ukazatele rizika, metody náboru a reporting | 30 min | Ano (dodavatelé s americkým osvědčením) |
| Základní informace o bezpečnosti | Fáze útoku a základní návyky | 35 min | Ano (finanční instituce kryté USA) |
| Phishing a sociální inženýrství | Varovné signály, ověřování a hlášení | 30 min | Ne |
| Hesla, přístupové klíče a vícefaktorové ověřování | Bezpečné přihlášení, vícefaktorová autentizace (MFA), přístupové klíče a obnovení | 30 min | Ne |
| Zabezpečení s využitím umělé inteligence pro každého | Stínová umělá inteligence, promptní vstřikování a manipulované výstupy | 30 min | Ne |
| Sociální inženýrství, podvody a deepfakes | Telefonní, platební a zosobňovací podvody | 35 min | Ne |
Dva kurzy se řídí federálním pravidlem USA a platí pouze pro některé organizace. Podle pravidla NISPOM musí prověření dodavatelé v oblasti obrany poskytnout nově prověřeným zaměstnancům školení o povědomí o vnitřních hrozbách před udělením přístupu k utajovaným informacím a ověřit počáteční a roční dokončení. Zásady ochrany FTC uvádějí, že dotčené finanční instituce musí poskytnout školení o bezpečnosti pro své zaměstnanceAni jeden z nich neurčuje směr pro všechny ostatní.
Řízení a rámce
Řízení kybernetických rizik pro manažery a představenstva
Tento 40minutový kurz se zabývá kybernetickým rizikem jako obchodním rizikem. Zahrnuje pět otázek, které si můžete položit o vaší organizaci, o apetitu k riskování a krátkém přehledu, šedých zónách placení, informování a kompromisů, odkud pocházejí povinnosti a jaké kroky vedení je třeba podniknout dále. CISO si kurz může projít s vedením před zasedáním představenstva. Otázka „přehled ukazuje stovky opatření“ funguje jako slajd s možností vybrat odpověď a zahajuje správnou argumentaci. Členové představenstva dostanou svůj vlastní seznam. průvodce školením představenstva.
Řízení IT, podniková architektura a rámce pro audit IT: COBIT a TOGAF
Tento 45minutový kurz začíná tématem „systém, za který nikdo nebyl zodpovědný“, poté se zabývá tím, proč je IT governance důležitá pro hodnotu, rizika a zdroje, cíli governance versus managementu, metodou vývoje architektury, modely zralosti a plánováním IT auditu se zprávou pro vedení. Poskytuje IT manažerům, kteří podléhají CISO, společný rámec. Třídicí aktivita „governance nebo management?“ umožňuje rychlé kolo výběru odpovědi.
ISO/IEC 27001 a systém managementu bezpečnosti informací
ISMS obvykle vlastní CISO a každý zaměstnanec je jeho součástí. Tento 40minutový kurz vysvětluje, co je ISMS, jak se z politik stává praxe, jak se řeší výjimky a slabiny a jak hovořit s auditorem. Začněte s ním před certifikačním nebo dohledovým auditem, aby zaměstnanci mohli odpovídat na otázky s důkazy. Otevřený slajd na téma „co byste ukázali auditorovi?“ odhalí mezery včas.
Naše volba: Řízení kybernetických rizik pro manažery a představenstva. Proměňuje funkci správy a řízení NIST v pět otázek, na které může vedoucí tým odpovědět, což je konverzace, kterou většina CISO potřebuje jako první.
Připravenost na incidenty a riziko interních subjektů
Ransomware stolní systém pro manažery
Tento 60minutový kurz je formou simultánního kurzu ve třech částech: první hodina, rozhodování a komunikace, a zálohování a opravy. Manažeři si procvičují, kdo izoluje stroje, kdo hovoří s tiskem a kdo rozhoduje o výkupném, na což kurz odpovídá jako vedení s právním poradenstvím. Končí závěrečnou kontrolou se 7 otázkami. Spusťte jej živě se skutečnými jmény vašeho vedoucího incidentů a vedoucího komunikace. Analytiky, kteří plán realizují, naleznete zde. náš seznam školení pro analytiky SOC.
Povědomí o vnitřních hrozbách
Programy pro řešení vnitřních hrozeb často probíhají pod vedením CISO, od detekce až po reakci. Tento 30minutový kurz se zabývá tím, proč je detekce důležitá, behaviorálními, technickými a finančními ukazateli, jak útočníci rekrutují důvěryhodné zasvěcence, co dělat a nedělat a kam hlásit hrozby. Kurz končí závěrečnou kontrolou s 10 otázkami, na které je nutné dosáhnout 80% úspěšnosti. Pro prověřené americké dodavatele je to hotový způsob, jak poskytovat školení, které vyžaduje výše uvedené pravidlo NISPOM, ačkoli pravidlo žádný kurz neuvádí.
Naše volba: Ransomware pro stolní počítače pro manažery. Plán, který nikdo nenacvičoval, selže v první hodině a tento stůl nutí vůdce rozhodovat se dříve, než je tlak skutečný.
Bezpečnostní návyky zaměstnanců a riziko umělé inteligence
Základní informace o bezpečnosti
Toto je základní program zvyšování povědomí, za který je zodpovědný CISO. 35minutový kurz se zabývá tím, proč jsou lidé terčem útoku, anatomií útoku, varovnými signály, jak se chránit a jak reagovat a hlásit útok, s 12otázkovou závěrečnou kontrolou s 80% úspěšností. Pro dotčené finanční instituce je to hotový způsob, jak splnit požadavek na školení v oblasti bezpečnostního povědomí podle pravidla FTC Safeguards Rule, ačkoli toto pravidlo žádný kurz neuvádí.
Phishing a sociální inženýrství
Odolnost vůči phishingu je běžnou metrikou CISO. Tento 30minutový kurz vysvětluje, jak jsou útoky vytvářeny, jaké jsou varovné signály, jak se chránit a jak útoky nahlásit. Závěrečný test s 12 otázkami vyžaduje 80% úspěšnost. Kurz spárujte s tlačítkem pro nahlášení útoku, aby kurz a metrika odpovídaly.
Hesla, přístupové klíče a vícefaktorové ověřování pro zaměstnance
Zavádění hesel a vícefaktorové autentizace (MFA) je rozhodnutím programu a zaměstnanci musí vědět proč. Tento 30minutový kurz se zabývá tím, proč jsou účty cílem, silnými a jedinečnými přihlášeními, vícefaktorovými a vícefaktorovými hesly, falešnými přihlašovacími stránkami a šedými zónami sdílení, zkratek a obnovy. Spusťte jej v týdnu, kdy bude spuštěna nová metoda přihlašování.
Zabezpečení umělé inteligence pro každého: stínová umělá inteligence, promptní vkládání dat a manipulované výstupy
Bezpečnostní politika umělé inteligence pro stínovou umělou inteligenci a prompt injection stále častěji spadá do kompetence CISO. Tento 30minutový kurz se zabývá stínovou umělou inteligencí a kompromitovaným chatbotem, prompt injection a kontaminovaným obsahem, skrytými instrukcemi v PDF a e-mailech, bezplatnými rozšířeními umělé inteligence a tím, jak požádat o schválený nástroj nebo nahlásit incident. Slovní mrak na téma „které nástroje umělé inteligence používáte v práci?“ ukazuje stínovou umělou inteligenci, o které jste nevěděli.
Sociální inženýrství, podvody a deepfakes: telefonní, platební a zosobňovací podvody
Podvody s deepfake a zosobněním patří do každého briefingu o hrozbách pro vedoucí pracovníky, protože útočníci napodobují jména a hlasy vedoucích pracovníků. Tento 35minutový kurz navazuje na přesvědčivý požadavek, probírá taktiky, ověřování změn plateb, falešný hlas a video a vysvětluje, proč jsou seniority a utajení nátlakem, nikoli důkazem. Nejprve si ho proberte s finančním oddělením a asistenty vedoucích pracovníků.
Naše volba: Zabezpečení pomocí umělé inteligence pro každého. Zaměstnanci často zavádějí nástroje umělé inteligence rychleji, než to stačí k zavedení předpisů, a tento kurz jim poskytne jednoduchý cyklus požadavku, použití, kontroly a hlášení.
Jak plán zavést
Začněte s řízením. CSF 2.0 od NISTu staví Řídit zaprvé: manažeři stanoví očekávání ohledně ochoty riskovat, odpovědnosti a zdrojů a zbytek programu se od nich odvíjí.
- Pro vedoucí pracovníky v tomto čtvrtletí: řízení kybernetických rizik a poté pracovní plochu pro ransomware s lidmi uvedenými ve vašem plánu pro incidenty.
- Pro každého zaměstnance při nástupu do zaměstnání: základní informace o zabezpečení, phishing a hesla, přístupové klíče a vícefaktorová ověření (MFA).
- Pro IT a bezpečnostní manažery: COBIT a TOGAF a ISO 27001 před vaším dalším auditem.
- Každý rok: znovu spustit stolní test, opakovací kvíz z každého kurzu a kurz bezpečnosti umělé inteligence vždy, když je zaveden nový nástroj umělé inteligence.
- Kdy se to vztahuje: Prověření američtí dodavatelé v oblasti obrany poskytují školení o vnitřních hrozbách před přístupem k utajovaným informacím a poté každý rok; dotčené finanční instituce udržují školení o bezpečnostním povědomí aktuální, jak popisuje pravidlo FTC Safeguards. Zeptejte se svého právního zástupce, co dalšího platí ve vaší zemi nebo státě.
Způsoby, jak tyto kurzy provozovat AhaSlides
Kterýkoli z nich si můžete vytvořit jako kurz vlastním tempem s AhaSlides tvůrce kurzů, spustit je jako živou diskusi s otázkami a odpověďmi, nebo obojí, s dotazníkem po kurzu, abyste zjistili, co se změnilo.
- Vyberte odpověď: na stole ukažte výkupné a zeptejte se, kdo rozhodne o dalším postupu.
- Word Cloud: Zeptejte se vedoucích pracovníků: „Co vás na kybernetickém incidentu nejvíce znepokojuje?“ a porovnejte to s vaším registrem rizik.
- Stupnice hodnocení: Před a po se zeptejte na otázku „Jak připraven je náš plán pro případ incidentu?“ od 1 do 5.
- Otevřený konec: shromažďovat anonymní otázky pro představenstvo na konci živého setkání.
Nejčastější dotazy
Jaké školení potřebuje CISO?
CISO potřebuje odborníka na řízení rizik a řízení, vůdčí schopnosti v reakci na incidenty, znalost platných pravidel a dovednosti informovat představenstvo. Výše uvedené kurzy pokrývají program, který CISO vede; certifikace zahrnují osobní kvalifikaci.
Jaké certifikace mají CISO?
Mezi běžné patří CISSP, CISM a CCISO Rady ES. Žádný z výše uvedených kurzů není certifikací.
Jak často by měli vedoucí pracovníci provádět incidentní cvičení?
Alespoň jednou ročně je rozumný výchozí bod a znovu po větší změně, jako je fúze, nový systém nebo nový incident lead.
Co je ransomware tablet?
„Stolek ransomwaru“ je cvičení založené na diskusi, které si nacvičuje rozhodnutí, která vedoucí pracovníci dělají během útoku ransomwaru, aniž by se dotýkali živých systémů.
Tento příspěvek je obecnou informací, nikoli právní radou. Pro rozhodnutí ohledně vašeho vlastního pracoviště se obraťte na kvalifikovaného právníka nebo regulační orgán.
