Sidst gennemgået 4. november 2026 i forhold til de kilder, der er linket til i dette indlæg.
Bestyrelsen mødes torsdag, og formanden har ét spørgsmål til CISO: "Hvis vi bliver ramt af ransomware i morgen, hvem bestemmer så hvad, og har vi øvet os på det?" Værktøjerne er vigtige, men svaret afhænger af ledelse, øvelser og personale, der rapporterer hurtigt. Det er, hvad cybersikkerhedstræning for ledere skal dække. NIST understregede dette i sit Cybersecurity Framework 2.0, som tilføjede en sjette funktion, Styring, der dækker roller, ansvar og beføjelser, politik og tilsyn med cybersikkerhedsstrategi.
Denne liste giver en CISO kurserne til at køre det pågældende program. Du får 10 færdiglavede kurser i 3 grupper, hvad hvert enkelt kursus løser, og hvordan du implementerer dem. Hver gruppe afsluttes med en Vores valgDe juridiske punkter beskriver amerikanske føderale regler, så brug dette som et pensum, ikke en afgørelse.
Alle 10 kurser på et øjeblik
| Course | Hvad det dækker over | Længde | Lovgivningen bag det? |
|---|---|---|---|
| Cyberrisikostyring for ledere og bestyrelser | Fem bestyrelsesspørgsmål, risikoappetit og krisebeslutninger | 40 min | Ingen |
| IT-styring, virksomhedsarkitektur og IT-revision: COBIT og TOGAF | Governancemål, arkitekturmetode og revisionsplanlægning | 45 min | Ingen |
| ISO/IEC 27001 og ISMS | Politik for praksis, undtagelser og samtale med en revisor | 40 min | Ingen |
| Ransomware-bordmodel til ledere | Den første time, hvem bestemmer og hvem taler, backups | 60 min | Ingen |
| Insiderbevidsthed om trusler | Risikoindikatorer, rekrutteringsmetoder og rapportering | 30 min | Ja (USA-godkendte entreprenører) |
| Vigtige sikkerhedsbevidsthedsprincipper | Faserne i et angreb og kernevaner | 35 min | Ja (amerikansk dækkede finansielle institutioner) |
| Phishing og social engineering | Røde flag, verifikation og rapportering | 30 min | Ingen |
| Adgangskoder, adgangsnøgler og multifaktorgodkendelse | Sikre logins, MFA, adgangsnøgler og gendannelse | 30 min | Ingen |
| AI-sikkerhed for alle | Skygge-AI, hurtig injektion og manipulerede output | 30 min | Ingen |
| Social engineering, svindel og deepfakes | Telefon-, betalings- og efterligningssvindel | 35 min | Ingen |
To kurser er baseret på en amerikansk føderal regel, og kun for nogle organisationer. I henhold til NISPOM-reglen skal godkendte forsvarsentreprenører give nyligt godkendte medarbejdere Træning i bevidsthed om insidertrusler, inden der gives adgang til klassificerede oplysninger og validere den indledende og årlige udfyldelse. FTC's sikkerhedsregel siger, at berørte finansielle institutioner skal levere sikkerhedsbevidsthedstræning til deres personaleIngen af delene sætter en kurs for alle andre.
Styring og rammer
Cyberrisikostyring for ledere og bestyrelser
Dette 40-minutters kursus behandler cyberrisiko som forretningsrisiko. Det dækker fem spørgsmål, du kan stille om din organisation, risikoappetit og et kort dashboard, gråzonerne omkring betaling, fortælling og afvejninger, hvor opgaver kommer fra, og de ledelseshandlinger, der skal tages derefter. En CISO kan køre det med ledelsesteamet før en bestyrelsescyklus. Spørgsmålet "et dashboard viser hundredvis af målinger" fungerer som en "Vælg svar"-slide og starter det rigtige argument. Bestyrelsesmedlemmer får deres egen liste i vores bestyrelsesuddannelsesguide.
IT-styring, virksomhedsarkitektur og IT-revisionsrammer: COBIT og TOGAF
Dette 45-minutters kursus åbner med "et system, ingen var ansvarlige for", og dækker derefter, hvorfor IT-governance er vigtig for værdi, risiko og ressourcer, governance versus ledelsesmål, arkitekturudviklingsmetoden, modenhedsmodeller og planlægning af en IT-revision med en rapport til ledelsen. Det giver IT-chefer, der rapporterer til CISO'en, en fælles ramme. Sorteringsaktiviteten "governance eller management?" danner en hurtig svarrunde.
ISO/IEC 27001 og informationssikkerhedsstyringssystemet
CISO'en ejer normalt ISMS'et, og alle medarbejdere er en del af det. Dette 40-minutters kursus forklarer, hvad et ISMS er, hvordan politik bliver til praksis, hvordan undtagelser og svagheder håndteres, og hvordan man taler med en revisor. Udrul det før en certificerings- eller overvågningsrevision, så personalet kan besvare spørgsmål med dokumentation. En åben slide om "Hvad ville du vise en revisor?" afdækker manglerne tidligt.
Vores valg: Cyberrisikostyring for ledere og bestyrelser. Det forvandler NIST's styringsfunktion til fem spørgsmål, som et ledelsesteam kan besvare, hvilket er den samtale, de fleste CISO'er har brug for først.
Hændelsesberedskab og insiderrisiko
Ransomware-bordmodel til ledere
Dette 60-minutters kursus er et bordoplæg i tre dele: den første time, beslutninger og kommunikation, samt sikkerhedskopiering og reparationer. Ledere øver sig i, hvem der isolerer maskiner, hvem der taler med pressen, og hvem der træffer beslutninger om en løsesum, hvilket kurset besvarer som lederskab med juridisk rådgivning. Det afsluttes med en afsluttende kontrol på 7 spørgsmål. Kør det live med de rigtige navne på din incident lead og kommunikationschef. For de analytikere, der udfører planen, se vores liste over SOC-analytikeruddannelser.
Insiderbevidsthed om trusler
Insider-trusselsprogrammer varetages ofte af CISO'en, fra detektion til reaktion. Dette 30-minutters kursus dækker, hvorfor detektion er vigtig, adfærdsmæssige, tekniske og økonomiske indikatorer, hvordan modstandere rekrutterer betroede insidere, hvad man skal gøre og ikke gøre, og hvor man skal rapportere. Det afsluttes med en afsluttende kontrol på 10 spørgsmål, hvor 80% skal bestås. For godkendte amerikanske entreprenører er det en færdiglavet måde at levere den træning, som NISPOM-reglen ovenfor kræver, selvom reglen ikke nævner noget kursus.
Vores valg: Ransomware-bordmodel til ledere. En plan, som ingen har øvet sig på, mislykkes i den første time, og denne diskussion får lederne til at beslutte, før presset er reelt.
Medarbejdersikkerhedsvaner og AI-risiko
Vigtige sikkerhedsbevidsthedsprincipper
Dette er det grundlæggende oplysningsprogram, som en CISO er ansvarlig for. Det 35 minutter lange kursus dækker, hvorfor folk er mål for angreb, anatomien af et angreb, røde flag, hvordan man beskytter sig selv, og hvordan man reagerer og rapporterer, med en afsluttende kontrol på 12 spørgsmål, hvor 80% skal bestås. For berørte finansielle institutioner er det en færdiglavet måde at opfylde FTC's sikkerhedsreglers krav om sikkerhedsbevidsthedstræning, selvom reglen ikke nævner noget kursus.
Phishing og social engineering
Modstandsdygtighed over for phishing er en almindelig CISO-måling. Dette 30-minutters kursus forklarer, hvordan angreb opbygges, de røde flag, hvordan du beskytter dig selv, og hvordan du rapporterer, med en afsluttende kontrol på 12 spørgsmål, hvor 80% skal bestås. Kombiner det med din rapporteringsknap, så kurset og metrikken matcher.
Adgangskoder, adgangsnøgler og multifaktorgodkendelse for personale
Udrulning af adgangsnøgler og MFA er en programbeslutning, og personalet skal vide hvorfor. Dette 30-minutters kursus dækker, hvorfor konti er målet, stærke og unikke logins, multifaktor- og adgangsnøgler, falske loginsider og gråzonerne inden for deling, genveje og gendannelse. Lancer det i den uge, en ny loginmetode går live.
AI-sikkerhed for alle: skygge-AI, prompt injektion og manipulerede output
AI-sikkerhedspolitikken for skygge-AI og prompt injection falder i stigende grad på CISO'ens ansvar. Dette 30-minutters kursus dækker skygge-AI og en kompromitteret chatbot, prompt injection og forgiftet indhold, skjulte instruktioner i PDF'er og e-mails, gratis AI-udvidelser og hvordan man anmoder om et godkendt værktøj eller rapporterer en hændelse. En ordsky om "hvilke AI-værktøjer bruger du på arbejdet?" viser den skygge-AI, du ikke kendte til.
Social engineering, svindel og deepfakes: telefon-, betalings- og personefterligningssvindel
Deepfake og personifikationssvindel hører hjemme i enhver trusselsbriefing for ledere, fordi det er ledernes navne og stemmer, som angribere imiterer. Dette 35-minutters kursus følger en overbevisende anmodning, dækker taktikkerne, verifikation af betalingsændringer, forfalsket stemme og video, og hvorfor anciennitet og hemmeligholdelse er pres, ikke bevis. Kør det med økonomi- og direktionsassistenterne først.
Vores valg: AI-sikkerhed til alle. Medarbejdere implementerer ofte AI-værktøjer hurtigere, end politikken kan følge, og dette kursus giver dem en simpel anmodnings-, brugs-, kontrol- og rapporteringsløkke.
Sådan ruller du planen ud
Start med styring. NISTs CSF 2.0 sætter regering For det første sætter ledere forventninger til risikovillighed, ansvarlighed og ressourcer, og resten af programmet følger af disse.
- Dette kvartal, for ledere: cyberrisikostyring, derefter ransomware-bordpladen med de personer, der er nævnt i din hændelsesplan.
- For hver medarbejder, ved onboarding: Vigtige sikkerhedsoplysninger, phishing og adgangskoder, adgangsnøgler og MFA.
- For IT- og sikkerhedschefer: COBIT og TOGAF, og ISO 27001 inden din næste revision.
- Hvert år: gentagelse af tabletop-kurset, en opfriskningsquiz på hvert kursus og AI-sikkerhedskurset, når et nyt AI-værktøj rulles ud.
- Når det gælder: Godkendte amerikanske forsvarsentreprenører giver træning i insidertrusler før adgang til klassificerede oplysninger og hvert år derefter; berørte finansielle institutioner holder sikkerhedsbevidsthedstræningen opdateret, som beskrevet i FTC's sikkerhedsregler. Spørg din advokat, hvad der ellers gælder i dit land eller din stat.
Måder at afholde disse kurser på AhaSlides
Du kan bygge en hvilken som helst af disse som et selvstudium med AhaSlides kursusopretteren, kør dem som en live spørgerunde eller begge dele med en undersøgelse efter kurset for at se, hvad der har ændret sig.
- Vælg svar: på bordpladen, vis løsesummen og spørg, hvem der bestemmer det næste skridt.
- Word Cloud: Spørg lederne "Hvad bekymrer jer mest ved en cyberhændelse?" og sammenlign det med jeres risikoregister.
- Bedømmelsesskala: Før og efter, spørg "Hvor klar er vores hændelsesplan?" fra 1 til 5.
- Åbent: Indsaml anonyme spørgsmål til bestyrelsen ved afslutningen af en livesession.
Ofte stillede spørgsmål
Hvilken uddannelse har en CISO brug for?
En CISO har brug for risikostyring og ledelse, lederskab inden for incidentrespons, kendskab til de gældende regler og evnen til at orientere en bestyrelse. Ovenstående kurser dækker det program, en CISO driver; certificeringer dækker de personlige kvalifikationer.
Hvilke certificeringer har CISO'er?
Almindelige kurser inkluderer CISSP, CISM og EC-Council CCISO. Ingen af ovenstående kurser er en certificering.
Hvor ofte bør ledere afholde hændelsesøvelser?
Mindst én gang om året er et fornuftigt udgangspunkt, og igen efter en større ændring såsom en fusion, et nyt system eller en ny incident lead.
Hvad er en ransomware-tabletop?
En ransomware-bordopstilling er en diskussionsbaseret øvelse, der øver de beslutninger, ledere træffer under et ransomware-angreb, uden at røre ved live-systemer.
Dette indlæg er generel information, ikke juridisk rådgivning. For at træffe en beslutning om din egen arbejdsplads, skal du tale med en kvalificeret advokat eller tilsynsmyndigheden.
