Viimeksi tarkistettu 4. marraskuuta 2026 tässä viestissä linkitettyjä lähteitä vasten.
Hallitus kokoontuu torstaina, ja puheenjohtajalla on yksi kysymys tietoturvajohtajalle: "Jos meihin iskisi kiristysohjelma huomenna, kuka päättää mitä, ja olemmeko harjoitelleet sitä?" Työkaluilla on merkitystä, mutta vastaus riippuu hallinnosta, harjoituksista ja nopeasti raportoivasta henkilöstöstä. Johtajien kyberturvallisuuskoulutuksen on katettava tämä. NIST toi asian esiin Cybersecurity Framework 2.0 -julkaisussaan, johon lisättiin kuudes toiminto, Hallinto, joka kattaa roolit, vastuut ja valtuudet, politiikan ja kyberturvallisuusstrategian valvonnan.
Tämä lista antaa tietoturvajohtajalle kurssit kyseisen ohjelman toteuttamiseen. Saat 10 valmista kurssia kolmessa ryhmässä, mitä kukin korjaa ja miten ne otetaan käyttöön. Jokainen ryhmä päättyy… Meidän valintaOikeudelliset kohdat kuvaavat Yhdysvaltain liittovaltion sääntöjä, joten käytä tätä sisältösuunnitelmana, älä päätöksenä.
Kaikki 10 kurssia yhdellä silmäyksellä
| Kurssi | Mitä se kattaa | Pituus | Laki sen takana? |
|---|---|---|---|
| Kyberriskien hallinta johdolle ja hallituksille | Viisi hallituskysymystä, riskinottohalukkuus ja kriisipäätökset | 40 min | Ei |
| IT-hallinto, kokonaisarkkitehtuuri ja IT-auditointi: COBIT ja TOGAF | Hallintotavoitteet, arkkitehtuurimenetelmä ja tarkastussuunnittelu | 45 min | Ei |
| ISO/IEC 27001 ja tietoturvan hallintajärjestelmä | Käytäntökäytäntö, poikkeukset ja keskustelu tilintarkastajan kanssa | 40 min | Ei |
| Kiristyshaittaohjelmien pöytälevy esimiehille | Ensimmäinen tunti, kuka päättää ja kuka puhuu, varapuheenvuorot | 60 min | Ei |
| Sisäpiirin uhkien tietoisuus | Riski-indikaattorit, rekrytointimenetelmät ja raportointi | 30 min | Kyllä (Yhdysvaltojen hyväksymät urakoitsijat) |
| Tietoturvatietoisuuden perusteet | Hyökkäyksen vaiheet ja keskeiset tavat | 35 min | Kyllä (Yhdysvaltojen kattamat rahoituslaitokset) |
| Tietojenkalastelu ja sosiaalinen manipulointi | Varoitusmerkit, todentaminen ja raportointi | 30 min | Ei |
| Salasanat, todennukset ja monivaiheinen todennus | Turvalliset kirjautumiset, monitoimitunnistus, salasanat ja palautus | 30 min | Ei |
| Tekoälyn turvallisuus kaikille | Varjo-tekoäly, nopea injektio ja manipuloidut tuotokset | 30 min | Ei |
| Sosiaalinen manipulointi, petokset ja syvähuijaukset | Puhelin-, maksu- ja henkilöllisyyden anastushuijaukset | 35 min | Ei |
Kaksi kurssia perustuu Yhdysvaltain liittovaltion sääntöön, ja vain joillekin organisaatioille. NISPOM-säännön mukaan puolustusalan urakoitsijoiden, joilla on turvallisuusselvitys, on annettava vastaturvallisuusselvitysten saaneille työntekijöille... sisäpiiriläisten uhkatietoisuuskoulutus ennen luottamuksellisten tietojen käyttöoikeuden myöntämistä ja validoimaan alkuperäisen ja vuosittaisen täydennyksen. Liittovaltion kauppakomission suojalausekkeen mukaan katettujen rahoituslaitosten on toimitettava turvallisuustietoisuuskoulutusta henkilöstölleenKumpikaan ei aseta kurssia kaikille muille.
Hallinto ja viitekehykset
Kyberriskien hallinta johdolle ja hallituksille
Tämä 40 minuutin kurssi käsittelee kyberriskiä liiketoimintariskinä. Se kattaa viisi organisaatiostasi pohdittavaa kysymystä, riskinottohalukkuuden ja lyhyen koontinäytön, palkkauksen, raportoinnin ja kompromissien harmaat alueet, mistä tehtävät tulevat, sekä johdon seuraavat toimenpiteet. Tietoturvajohtaja voi suorittaa sen johtoryhmän kanssa ennen hallituskierrosta. "Kontrollinäyttö näyttää satoja mittareita" -kysymys toimii valintadiana ja aloittaa oikean argumentin. Hallituksen jäsenet saavat oman listansa hallituksen koulutusoppaamme.
IT-hallinto, kokonaisarkkitehtuuri ja IT-auditointikehykset: COBIT ja TOGAF
Tämä 45 minuutin kurssi alkaa sanoilla "järjestelmä, josta kukaan ei ollut vastuussa", ja käsittelee sitten IT-hallinnon merkitystä arvon, riskin ja resurssien kannalta, hallinnon ja johtamisen tavoitteiden välisiä eroja, arkkitehtuurin kehitysmenetelmää, kypsyysmalleja sekä IT-auditoinnin suunnittelua ja johdolle raportointia. Se antaa tietoturvajohtajalle raportoiville IT-päälliköille yhteisen kehyksen. "Hallinto vai johtaminen?" -lajittelutehtävässä valitaan nopeasti vastaus.
ISO/IEC 27001 ja tietoturvallisuuden hallintajärjestelmä
Tietoturvajohtaja (CISO) omistaa yleensä tietoturvajärjestelmän (ISMS), ja jokainen työntekijä on osa sitä. Tämä 40 minuutin kurssi selittää, mikä tietoturvajärjestelmä (ISMS) on, miten käytännöistä tulee käytäntö, miten poikkeuksia ja heikkouksia käsitellään ja miten keskustellaan auditoijan kanssa. Ota kurssi käyttöön ennen sertifiointi- tai valvonta-auditointia, jotta henkilöstö voi vastata kysymyksiin todisteiden avulla. Avoin dia aiheesta "mitä näyttäisit auditoijalle?" nostaa esiin puutteet varhaisessa vaiheessa.
Valintamme: Kyberriskien hallinta johdolle ja hallituksille. Se muuttaa NIST:n hallintofunktion viideksi kysymykseksi, joihin johtoryhmä voi vastata. Tämä on keskustelu, jonka useimmat tietohallintojohtajat tarvitsevat ensimmäisenä.
Tapahtumavalmius ja sisäpiiririski
Kiristyshaittaohjelmien pöytälevy esimiehille
Tämä 60 minuutin kurssi on pöytäkirja, joka koostuu kolmesta osasta: ensimmäinen tunti, päätökset ja viestintä sekä varmuuskopiot ja korjaukset. Esimiehet harjoittelevat, kuka eristää koneita, kuka puhuu lehdistölle ja kuka päättää lunnaista. Näihin kysymyksiin kurssi vastaa johtajuuden ja oikeudellisen neuvonnan avulla. Kurssi päättyy seitsemän kysymyksen lopputarkastukseen. Käytä sitä reaaliajassa tapausvetäjän ja viestintäpäällikön oikeilla nimillä. Katso suunnitelmaa toteuttavat analyytikot osoitteesta SOC-analyytikoiden koulutuslistamme.
Sisäpiirin uhkien tietoisuus
Sisäpiiriuhkien hallintaohjelmat toteutetaan usein tietoturvajohtajan (CISO) toimesta havaitsemisesta reagointiin. Tämä 30 minuutin kurssi käsittelee uhkien havaitsemisen tärkeyttä, käyttäytymiseen liittyviä, teknisiä ja taloudellisia indikaattoreita, sitä, miten vastustajat rekrytoivat luotettavia sisäpiiriläisiä, mitä tehdä ja mitä ei tehdä ja minne ilmoittaa. Se päättyy 10 kysymyksen lopputarkastukseen, jossa läpäistään 80 % pisteistä. Yhdysvaltalaisille urakoitsijoille tämä on valmis tapa tarjota yllä olevan NISPOM-säännön edellyttämä koulutus, vaikka säännössä ei mainitakaan kurssia erikseen.
Valintamme: Kiristyshaittaohjelmien pöytätietokone esimiehille. Suunnitelma, jota kukaan ei ole harjoitellut, epäonnistuu ensimmäisen tunnin aikana, ja tämä pöytäpeli saa johtajat tekemään päätöksiä ennen kuin paine on todellista.
Henkilökunnan turvallisuustottumukset ja tekoälyriski
Tietoturvatietoisuuden perusteet
Tämä on tietoturvajohtajan (CISO) vastuulla oleva perustason tietoturvakoulutusohjelma. 35 minuutin kurssi kattaa syyt hyökkäyksen kohteeksi joutumiseen, hyökkäyksen anatomian, varoitusmerkit, suojautumisen sekä reagoinnin ja ilmoittamisen. Loppukokeessa on 12 kysymystä, jotka vaaditaan 80 %:n läpäisyasteen saavuttamiseksi. Säännössä mainituille rahoituslaitoksille se on valmis tapa täyttää FTC:n suojaussäännön tietoturvakoulutusvaatimus, vaikka säännössä ei mainita kurssia erikseen.
Tietojenkalastelu ja sosiaalinen manipulointi
Tietojenkalasteluhyökkäysten sietokyky on yleinen tietoturvaohjauksen mittari. Tämä 30 minuutin kurssi selittää, miten hyökkäykset rakennetaan, varoittavat merkit, miten suojautua ja miten ilmoittaa hyökkäyksistä. Kurssilla on myös 12 kysymyksen lopputarkistus, jonka jälkeen läpäistään 80 % hyökkäyspisteistä. Yhdistä se raportointipainikkeeseesi, jotta kurssi ja mittari vastaavat toisiaan.
Salasanat, todennukset ja monivaiheinen todennus henkilökunnalle
Salasana-avainten ja moniperusteisen autentikoinnin käyttöönotto on ohjelmapäätös, ja henkilöstön on tiedettävä miksi. Tämä 30 minuutin kurssi käsittelee sitä, miksi tilit ovat kohteena, vahvoja ja yksilöllisiä kirjautumisia, monivaiheista tunnistautumista ja salasanoja, väärennettyjä kirjautumissivuja sekä jakamisen harmaita alueita, oikopolkuja ja palautusta. Käynnistä se viikolla, jona uusi kirjautumismenetelmä otetaan käyttöön.
Tekoälyn tietoturvaa kaikille: varjotekoäly, nopea injektio ja manipuloidut tulosteet
Varjotekoälyn ja nopean injektoinnin tekoälyturvallisuuskäytäntö siirtyy yhä enemmän tietoturvajohtajan vastuulle. Tämä 30 minuutin kurssi käsittelee varjotekoälyä ja vaarantunutta chatbottia, nopeaa injektointia ja myrkytettyä sisältöä, piilotettuja ohjeita PDF-tiedostoissa ja sähköposteissa, ilmaisia tekoälylaajennuksia sekä sitä, miten pyytää hyväksyttyä työkalua tai ilmoittaa vaaratilanteesta. Sanapilvi aiheesta "mitä tekoälytyökaluja käytät työssäsi?" näyttää varjotekoälyn, josta et tiennyt.
Sosiaalinen manipulointi, petokset ja syvähuijaukset: puhelin-, maksu- ja henkilöllisyyden anastushuijaukset
Syvähuijaukset ja henkilöllisyyden anastushuijaukset kuuluvat jokaiseen johdon uhkatietoustilaisuuteen, koska hyökkääjät matkivat johtajien nimiä ja ääniä. Tämä 35 minuutin kurssi perustuu vakuuttavaan pyyntöön ja käsittelee taktiikoita, maksumuutosten tarkistamista, väärennettyä ääntä ja videota sekä sitä, miksi virkataso ja salailu ovat painetta, eivät todisteita. Käytä sitä ensin talousosaston ja johdon assistenttien kanssa.
Valintamme: tekoälyn tarjoama tietoturva kaikille. Henkilökunta omaksuu usein tekoälytyökaluja nopeammin kuin käytäntöjä ehtii noudattaa, ja tämä kurssi tarjoaa heille yksinkertaisen pyyntö-, käyttö-, tarkistus- ja raportointiprosessin.
Kuinka ottaa suunnitelma käyttöön
Aloita hallinnosta. NIST:n CSF 2.0 asettaa hallita Ensinnäkin: johtajat asettavat odotukset riskinottohalukkuudesta, vastuullisuudesta ja resursseista, ja muu ohjelma seuraa niitä.
- Tällä neljänneksellä johtajille: kyberriskien hallinta ja sitten kiristyshaittaohjelmien käsittely tapahtumasuunnitelmassasi nimettyjen henkilöiden kanssa.
- Jokaiselle työntekijälle perehdytyksen yhteydessä: tietoturvatietoisuuden perusteet, tietojenkalastelu sekä salasanat, todentamisavaimet ja monitoimitunnistus.
- IT- ja tietoturvapäälliköille: COBIT ja TOGAF sekä ISO 27001 ennen seuraavaa auditointia.
- Joka vuosi: suorita pöytäpeli uudelleen, kertauskysely jokaisella kurssilla ja tekoälytietoturvakurssi aina, kun uusi tekoälytyökalu otetaan käyttöön.
- Milloin se soveltuu: Yhdysvaltain puolustusalan urakoitsijat, joilla on turvallisuusluokitus, antavat sisäpiiriläisille koulutusta uhkatilanteiden varalta ennen pääsyä luottamuksellisiin tietoihin ja sen jälkeen vuosittain; turvallisuusselvityksen piiriin kuuluvat rahoituslaitokset pitävät turvallisuustietoisuuskoulutuksen ajan tasalla FTC:n suojatoimia koskevan säännön mukaisesti. Kysy neuvonantajaltasi, mitä muuta sovelletaan maassasi tai osavaltiossasi.
Tapoja näiden kurssien järjestämiseen AhaSlides
Voit rakentaa minkä tahansa näistä omaan tahtiin etenevän kurssin käyttämällä AhaSlides kurssin luoja, käytä niitä live-kysymys- ja vastausosioina tai molempina, ja tee kurssin jälkeinen kysely, jolla näet, mikä muuttui.
- Valitse vastaus: Näytä pöydällä lunnasvaatimus ja kysy, kuka päättää seuraavasta vaiheesta.
- Sanapilvi: Kysy johtajilta "Mikä sinua eniten huolestuttaa kybertapahtumassa?" ja vertaa sitä riskirekisteriisi.
- Arviointiasteikko: ennen ja jälkeen, kysy asteikolla 1–5: "Kuinka valmis tapahtumasuunnitelmamme on?"
- Avoin päättynyt: Kerää nimettömiä kysymyksiä hallitukselle live-istunnon päätteeksi.
FAQ
Millaista koulutusta tietoturvajohtaja tarvitsee?
Tietoturvajohtaja tarvitsee riski- ja hallintotaitoja, johtajuutta tietoturvaongelmiin reagoinnissa, tietoa sovellettavista säännöistä ja taitoa tiedottaa hallitukselle. Yllä mainitut kurssit kattavat tietoturvajohtajan johtaman ohjelman; sertifioinnit kattavat henkilökohtaisen pätevyyden.
Mitä sertifikaatteja tietoturvajohtajilla on?
Yleisiä kursseja ovat CISSP, CISM ja EC-Council CCISO. Mikään yllä mainituista kursseista ei ole sertifiointi.
Kuinka usein johtajien tulisi järjestää vaaratilanneharjoituksia?
Vähintään kerran vuodessa on järkevä lähtötaso, ja uudelleen suurten muutosten, kuten fuusion, uuden järjestelmän tai uuden tapausjohtajan, jälkeen.
Mikä on kiristyshaittaohjelmien pöytälevy?
Kiristysohjelmahyökkäysten pöytäharjoitus on keskusteluun perustuva harjoitus, jossa harjoitellaan johtajien tekemiä päätöksiä kiristysohjelmahyökkäyksen aikana koskematta toimiviin järjestelmiin.
Tämä viesti on yleistä tietoa, ei oikeudellista neuvontaa. Jos haluat tehdä oman työpaikkasi suhteen päätöksen, keskustele pätevän asianajajan tai sääntelyviranomaisen kanssa.
