Última revisión: 4 de noviembre de 2026, cotejada con las fuentes enlazadas en esta publicación.
La junta se reúne el jueves y el presidente tiene una pregunta para el CISO: "Si mañana nos atacaran con ransomware, ¿quién decide qué y lo hemos practicado?" Las herramientas importan, pero la respuesta depende de la gobernanza, los simulacros y el personal que informa rápidamente. Eso es lo que debe cubrir la capacitación en ciberseguridad para ejecutivos. El NIST hizo hincapié en este punto en su Marco de Ciberseguridad 2.0, que agregó una sexta función, Gobernar, abarcando funciones, responsabilidades y autoridades, políticas y la supervisión de la estrategia de ciberseguridad..
Esta lista le da a un CISO los cursos para ejecutar ese programa. Obtendrá 10 cursos listos para usar en 3 grupos, qué soluciona cada uno y cómo implementarlos. Cada grupo termina con un Nuestra selecciónLos puntos legales que se describen son normas federales de EE. UU., así que utilícelo como un programa de estudios, no como una resolución judicial.
Los 10 cursos de un vistazo
| Curso | Lo que cubre | Longitud Mínima | ¿La ley que lo respalda? |
|---|---|---|---|
| Gestión del riesgo cibernético para directivos y consejos de administración | Cinco preguntas para el consejo de administración, tolerancia al riesgo y decisiones en situaciones de crisis. | 40 min | No |
| Gobernanza de TI, arquitectura empresarial y auditoría de TI: COBIT y TOGAF | Objetivos de gobernanza, metodología de arquitectura y planificación de auditorías | 45 min | No |
| ISO/IEC 27001 y el SGSI | Política a seguir, excepciones y cómo hablar con un auditor | 40 min | No |
| Tabla de simulación de ransomware para gerentes | La primera hora, quién decide y quién habla, respaldos | 60 min | No |
| Concienciación sobre las amenazas internas | Indicadores de riesgo, métodos de reclutamiento e informes | 30 min | Sí (contratistas con autorización de seguridad de EE. UU.) |
| Elementos esenciales de concienciación sobre seguridad | Las etapas de un ataque y los hábitos básicos | 35 min | Sí (instituciones financieras cubiertas por EE. UU.) |
| Phishing e ingeniería social | Señales de alerta, verificación e informes | 30 min | No |
| Contraseñas, claves de acceso y autenticación multifactor | Inicios de sesión seguros, autenticación multifactor, claves de acceso y recuperación | 30 min | No |
| Seguridad de la IA para todos | IA en la sombra, inyección instantánea y resultados manipulados | 30 min | No |
| Ingeniería social, fraude y deepfakes | Estafas telefónicas, de pago y de suplantación de identidad | 35 min | No |
Dos cursos se basan en una norma federal estadounidense, y solo para algunas organizaciones. Según la norma NISPOM, los contratistas de defensa autorizados deben dar a los empleados recién autorizados capacitación sobre amenazas internas antes de otorgar acceso a información clasificada. y validar la finalización inicial y anual. La Regla de Salvaguardias de la FTC establece que las instituciones financieras cubiertas deben proporcionar capacitación en concientización sobre seguridad para su personalNinguno de los dos marca el rumbo para los demás.
Gobernanza y marcos
Gestión del riesgo cibernético para directivos y consejos de administración
Este curso de 40 minutos trata el riesgo cibernético como un riesgo empresarial. Cubre cinco preguntas sobre su organización, el apetito de riesgo y un breve panel de control, las áreas grises de pago, comunicación y compensaciones, de dónde provienen las obligaciones y las acciones de liderazgo que se deben tomar a continuación. Un CISO puede impartirlo con el equipo directivo antes de un ciclo de la junta directiva. La pregunta "un panel de control muestra cientos de medidas" funciona como una diapositiva de "Elija su respuesta" y da inicio al argumento correcto. Los miembros de la junta directiva obtienen su propia lista en Nuestra guía de capacitación para la junta directiva.
Gobernanza de TI, arquitectura empresarial y marcos de auditoría de TI: COBIT y TOGAF
Este curso de 45 minutos comienza con "un sistema del que nadie era responsable", y luego aborda la importancia de la gobernanza de TI para el valor, el riesgo y los recursos, la gobernanza frente a los objetivos de gestión, el método de desarrollo de la arquitectura, los modelos de madurez y la planificación de una auditoría de TI con un informe para la dirección. Proporciona a los gerentes de TI que reportan al CISO un marco común. La actividad de clasificación "¿gobernanza o gestión?" ofrece una ronda rápida de selección de respuestas.
ISO/IEC 27001 y el sistema de gestión de la seguridad de la información
El CISO suele ser el responsable del SGSI, y todos los empleados forman parte de él. Este curso de 40 minutos explica qué es un SGSI, cómo se implementa la política, cómo se gestionan las excepciones y las deficiencias, y cómo comunicarse con un auditor. Se recomienda implementarlo antes de una auditoría de certificación o vigilancia para que el personal pueda responder preguntas con pruebas. Una diapositiva abierta con la pregunta "¿Qué le mostrarías a un auditor?" permite identificar las deficiencias con antelación.
Nuestra recomendación: Gobernanza del riesgo cibernético para directivos y consejos de administración. Convierte la función de gobernanza del NIST en cinco preguntas que un equipo directivo puede responder, que es la conversación que la mayoría de los CISO necesitan tener en primer lugar.
Preparación ante incidentes y riesgo interno
Tabla de simulación de ransomware para gerentes
Este curso de 60 minutos es una simulación en tres partes: la primera hora, decisiones y comunicación, y copias de seguridad y correcciones. Los gerentes practican quién aísla las máquinas, quién habla con la prensa y quién decide sobre un rescate, preguntas que el curso responde como liderazgo con asesoramiento legal. Finaliza con una verificación final de 7 preguntas. Ejecútelo en vivo con los nombres reales de su responsable de incidentes y jefe de comunicaciones. Para los analistas que ejecutan el plan, consulte nuestra lista de capacitación para analistas SOC.
Concienciación sobre las amenazas internas
Los programas de gestión de amenazas internas suelen estar a cargo del CISO, desde la detección hasta la respuesta. Este curso de 30 minutos explica la importancia de la detección, los indicadores conductuales, técnicos y financieros, cómo los atacantes reclutan a empleados de confianza, qué hacer y qué no hacer, y dónde reportar. Finaliza con una evaluación final de 10 preguntas; se requiere un 80 % para aprobar. Para los contratistas estadounidenses autorizados, es una forma práctica de impartir la capacitación que exige la norma NISPOM mencionada anteriormente, aunque dicha norma no especifica ningún curso.
Nuestra recomendación: Software de mesa sobre ransomware para directivos. Un plan que nadie ha ensayado fracasa en la primera hora, y este simulacro obliga a los líderes a tomar decisiones antes de que la presión sea real.
Hábitos de seguridad del personal y riesgo de la IA
Elementos esenciales de concienciación sobre seguridad
Este es el programa básico de concienciación del que es responsable un CISO. El curso de 35 minutos abarca por qué las personas son objetivo de ataques, la anatomía de un ataque, las señales de alerta, cómo protegerse y cómo responder e informar, con una evaluación final de 12 preguntas que requiere una calificación del 80 % para aprobar. Para las instituciones financieras sujetas a esta normativa, es una forma práctica de cumplir con el requisito de capacitación en concienciación sobre seguridad de la Regla de Salvaguardias de la FTC, aunque la regla no especifica ningún curso.
Phishing e ingeniería social
La resistencia al phishing es una métrica común para los CISO. Este curso de 30 minutos explica cómo se diseñan los ataques, las señales de alerta, cómo protegerse y cómo reportarlos, con una evaluación final de 12 preguntas que requiere una respuesta correcta del 80 % para aprobar. Combínelo con su botón de informes para que el curso y la métrica coincidan.
Contraseñas, claves de acceso y autenticación multifactor para el personal
La implementación de contraseñas y autenticación multifactor es una decisión programática, y el personal debe comprender el porqué. Este curso de 30 minutos aborda por qué las cuentas son el objetivo, los inicios de sesión seguros y únicos, la autenticación multifactor y las contraseñas, las páginas de inicio de sesión falsas y las zonas grises del uso compartido, los atajos y la recuperación. Inicie el curso la semana en que se implemente el nuevo método de inicio de sesión.
Seguridad de la IA para todos: IA en la sombra, inyección de mensajes y resultados manipulados.
La política de seguridad de la IA para la IA oculta y la inyección de comandos recae cada vez más en el CISO. Este curso de 30 minutos abarca la IA oculta y un chatbot comprometido, la inyección de comandos y el contenido manipulado, las instrucciones ocultas en archivos PDF y correos electrónicos, las extensiones de IA gratuitas y cómo solicitar una herramienta aprobada o reportar un incidente. Una nube de palabras sobre "¿Qué herramientas de IA utilizas en el trabajo?" revela la IA oculta que desconocías.
Ingeniería social, fraude y deepfakes: estafas telefónicas, de pago y de suplantación de identidad.
El fraude mediante deepfake y suplantación de identidad es fundamental en todas las sesiones informativas sobre amenazas a ejecutivos, ya que los atacantes imitan los nombres y las voces de los directivos. Este curso de 35 minutos parte de una solicitud convincente, aborda las tácticas, la verificación de cambios en los pagos, la falsificación de voz y vídeo, y explica por qué la antigüedad y el secretismo son presiones, no pruebas. Se recomienda impartirlo primero al departamento de finanzas y a los asistentes ejecutivos.
Nuestra recomendación: Seguridad con IA para todos. El personal suele adoptar las herramientas de IA más rápido de lo que las políticas pueden adaptarse, y este curso les proporciona un ciclo sencillo de solicitud, uso, verificación e informe.
Cómo implementar el plan
Comencemos con la gobernanza. El CSF 2.0 del NIST establece Regir En primer lugar, los ejecutivos establecen las expectativas en cuanto a la tolerancia al riesgo, la rendición de cuentas y los recursos, y el resto del programa se deriva de ellas.
- Este trimestre, para los líderes: Primero, la gestión del riesgo cibernético y, a continuación, la simulación de ataque de ransomware con las personas mencionadas en su plan de incidentes.
- Para cada empleado, durante el proceso de incorporación: Aspectos esenciales de la seguridad informática, phishing, contraseñas, claves de acceso y autenticación multifactor (MFA).
- Para los responsables de TI y seguridad: Realice las auditorías COBIT, TOGAF e ISO 27001 antes de su próxima auditoría.
- Cada año: Repetir la simulación de mesa redonda, realizar un cuestionario de repaso de cada curso y el curso de seguridad de IA cada vez que se lance una nueva herramienta de IA.
- Cuando aplica: Los contratistas de defensa estadounidenses autorizados imparten capacitación sobre amenazas internas antes de acceder a información clasificada y anualmente a partir de entonces; las instituciones financieras sujetas a esta normativa mantienen actualizada la capacitación en seguridad, tal como lo establece la Regla de Salvaguardias de la FTC. Consulte con su asesor legal qué otras normativas se aplican en su país o estado.
Formas de impartir estos cursos en AhaSlides
Puedes crear cualquiera de estos como un curso a tu propio ritmo con el AhaSlides Creador del curso, ejecútelo como una sesión de preguntas y respuestas en vivo, o ambas cosas, con una encuesta posterior al curso para ver qué cambió.
- Elija respuesta: En la simulación de mesa, muestre la nota de rescate y pregunte quién decide el siguiente paso.
- Nube de palabras: Pregunte a los líderes "¿Qué es lo que más les preocupa de un incidente cibernético?" y compárelo con su registro de riesgos.
- Escala de valoración: Antes y después, pregunte "¿Qué tan preparado está nuestro plan de incidentes?" en una escala del 1 al 5.
- Final abierto: Recopilar preguntas anónimas para el comité al final de una sesión en directo.
Preguntas Frecuentes
¿Qué formación necesita un CISO?
Un CISO necesita conocimientos sobre riesgos y gobernanza, liderazgo en la respuesta a incidentes, conocimiento de la normativa aplicable y la capacidad de informar a la junta directiva. Los cursos mencionados anteriormente abarcan el programa que imparte un CISO; las certificaciones acreditan su cualificación profesional.
¿Qué certificaciones tienen los CISO?
Entre las más comunes se encuentran CISSP, CISM y la certificación CCISO de EC-Council. Ninguno de los cursos mencionados otorga una certificación.
¿Con qué frecuencia deben los líderes realizar simulacros de incidentes?
Realizar una revisión al menos una vez al año es una práctica razonable, y nuevamente después de un cambio importante como una fusión, un nuevo sistema o un nuevo responsable de incidentes.
¿Qué es una mesa de ransomware?
Un simulacro de ataque de ransomware es un ejercicio basado en el debate que ensaya las decisiones que toman los líderes durante un ataque de ransomware, sin tocar sistemas en funcionamiento.
Esta publicación contiene información general y no constituye asesoramiento legal. Para tomar una decisión sobre su lugar de trabajo, consulte con un abogado calificado o con el organismo regulador.
