इस पोस्ट में दिए गए लिंक के आधार पर 4 नवंबर 2026 को अंतिम बार समीक्षा की गई।
बोर्ड की बैठक गुरुवार को है, और अध्यक्ष का सीआईएसओ से एक सवाल है: "अगर कल हम पर रैंसमवेयर हमला हो जाए, तो क्या फैसला कौन करेगा, और क्या हमने इसका अभ्यास किया है?" उपकरण मायने रखते हैं, लेकिन जवाब शासन, अभ्यास और तेजी से रिपोर्ट करने वाले कर्मचारियों पर निर्भर करता है। कार्यकारी अधिकारियों के लिए साइबर सुरक्षा प्रशिक्षण में यही सब शामिल होना चाहिए। एनआईएसटी ने अपने साइबर सुरक्षा फ्रेमवर्क 2.0 में इस बात पर जोर दिया है, जिसमें छठा कार्य जोड़ा गया है। शासन करना, जिसमें भूमिकाएं, जिम्मेदारियां और अधिकार, नीति और साइबर सुरक्षा रणनीति की निगरानी शामिल है।.
यह सूची CISO को उस प्रोग्राम को चलाने के लिए आवश्यक पाठ्यक्रम प्रदान करती है। आपको 3 समूहों में 10 तैयार पाठ्यक्रम मिलते हैं, जिनमें यह बताया गया है कि प्रत्येक पाठ्यक्रम क्या समस्या हल करता है और उन्हें कैसे लागू किया जाए। प्रत्येक समूह एक विस्तृत विवरण के साथ समाप्त होता है। हमारी चुनरीइसमें कानूनी बिंदुओं के माध्यम से अमेरिकी संघीय नियमों का वर्णन किया गया है, इसलिए इसे पाठ्यक्रम के रूप में उपयोग करें, न कि निर्णय के रूप में।
सभी 10 कोर्स एक नज़र में
| कोर्स | इसमें क्या शामिल है? | लंबाई | इसके पीछे का कानून क्या है? |
|---|---|---|---|
| प्रबंधकों और बोर्डों के लिए साइबर जोखिम प्रबंधन | बोर्ड परीक्षा के पाँच प्रश्न, जोखिम लेने की क्षमता और संकटकालीन निर्णय | 40 मिनट | नहीं |
| आईटी गवर्नेंस, एंटरप्राइज आर्किटेक्चर और आईटी ऑडिट: COBIT और TOGAF | शासन के उद्देश्य, संरचना पद्धति और लेखापरीक्षा योजना | 45 मिनट | नहीं |
| आईएसओ/आईईसी 27001 और आईएसएमएस | नीति से व्यवहार तक, अपवाद और लेखा परीक्षक से बातचीत | 40 मिनट | नहीं |
| प्रबंधकों के लिए रैनसमवेयर टेबलटॉप | पहले घंटे में, कौन निर्णय लेता है और कौन बोलता है, बैकअप | 60 मिनट | नहीं |
| आंतरिक खतरे के प्रति जागरूकता | जोखिम संकेतक, भर्ती विधियाँ और रिपोर्टिंग | 30 मिनट | हां (अमेरिकी मंजूरी प्राप्त ठेकेदार) |
| सुरक्षा जागरूकता की अनिवार्यताएँ | हमले के चरण और मुख्य आदतें | 35 मिनट | हां (अमेरिका में शामिल वित्तीय संस्थान) |
| फ़िशिंग और सोशल इंजीनियरिंग | खतरे के संकेत, सत्यापन और रिपोर्टिंग | 30 मिनट | नहीं |
| पासवर्ड, पासकी और मल्टी-फैक्टर प्रमाणीकरण | सुरक्षित साइन-इन, मल्टी-फैक्टर ऑथेंटिकेशन, पासकी और रिकवरी | 30 मिनट | नहीं |
| सभी के लिए एआई सुरक्षा | शैडो एआई, प्रॉम्प्ट इंजेक्शन और हेरफेर किए गए आउटपुट | 30 मिनट | नहीं |
| सोशल इंजीनियरिंग, धोखाधड़ी और डीपफेक | फ़ोन, भुगतान और प्रतिरूपण घोटाले | 35 मिनट | नहीं |
दो पाठ्यक्रम अमेरिकी संघीय नियम पर आधारित हैं, और केवल कुछ संगठनों के लिए ही हैं। एनआईएसपीओएम नियम के तहत, मंजूरी प्राप्त रक्षा ठेकेदारों को नए मंजूरी प्राप्त कर्मचारियों को प्रशिक्षण देना अनिवार्य है। गोपनीय जानकारी तक पहुंच प्रदान करने से पहले आंतरिक खतरे के बारे में जागरूकता प्रशिक्षण देना आवश्यक है। और प्रारंभिक एवं वार्षिक समापन को मान्य करें। एफटीसी सुरक्षा नियम कहता है कि कवर किए गए वित्तीय संस्थानों को प्रदान करना होगा। अपने कर्मचारियों को सुरक्षा जागरूकता प्रशिक्षण प्रदान करनाइनमें से कोई भी दूसरों के लिए मार्ग निर्धारित नहीं करता है।
शासन और ढाँचे
प्रबंधकों और बोर्डों के लिए साइबर जोखिम प्रबंधन
यह 40 मिनट का कोर्स साइबर जोखिम को व्यावसायिक जोखिम के रूप में देखता है। इसमें आपके संगठन के बारे में पूछे जाने वाले पाँच प्रश्न, जोखिम लेने की क्षमता और एक संक्षिप्त डैशबोर्ड, भुगतान, सूचना और लेन-देन के अस्पष्ट क्षेत्र, कर्तव्य कहाँ से आते हैं, और आगे नेतृत्व द्वारा उठाए जाने वाले कदम शामिल हैं। एक CISO इसे बोर्ड की बैठक से पहले नेतृत्व टीम के साथ चला सकता है। "एक डैशबोर्ड सैकड़ों माप दिखाता है" वाला प्रश्न एक उत्तर चुनने वाली स्लाइड के रूप में काम करता है और सही बहस शुरू करता है। बोर्ड के सदस्यों को अपनी सूची मिलती है। हमारे निदेशक मंडल प्रशिक्षण मार्गदर्शिका.
आईटी गवर्नेंस, एंटरप्राइज आर्किटेक्चर और आईटी ऑडिट फ्रेमवर्क: COBIT और TOGAF
यह 45 मिनट का कोर्स "एक ऐसी प्रणाली जिसके लिए कोई जवाबदेह नहीं था" विषय से शुरू होता है, फिर इसमें आईटी गवर्नेंस के महत्व को मूल्य, जोखिम और संसाधनों के संदर्भ में समझाया गया है, साथ ही गवर्नेंस बनाम प्रबंधन के उद्देश्यों, आर्किटेक्चर विकास पद्धति, परिपक्वता मॉडल और नेतृत्व को रिपोर्ट प्रस्तुत करने के साथ आईटी ऑडिट की योजना पर भी चर्चा की गई है। यह सीआईएसओ को रिपोर्ट करने वाले आईटी प्रबंधकों को एक साझा ढांचा प्रदान करता है। "गवर्नेंस या प्रबंधन?" वाली गतिविधि में एक त्वरित उत्तर चुनें राउंड शामिल है।
आईएसओ/आईईसी 27001 और सूचना सुरक्षा प्रबंधन प्रणाली
CISO आमतौर पर ISMS का मालिक होता है, और हर कर्मचारी इसका हिस्सा होता है। यह 40 मिनट का कोर्स बताता है कि ISMS क्या है, नीति व्यवहार में कैसे बदलती है, अपवादों और कमियों को कैसे संभाला जाता है और ऑडिटर से कैसे बात की जाती है। इसे सर्टिफिकेशन या निगरानी ऑडिट से पहले शुरू करें ताकि कर्मचारी सबूतों के साथ सवालों के जवाब दे सकें। "आप ऑडिटर को क्या दिखाएंगे?" विषय पर एक ओपन-एंडेड स्लाइड शुरुआती कमियों को उजागर करती है।
हमारी पसंद: प्रबंधकों और बोर्डों के लिए साइबर जोखिम प्रबंधन। यह एनआईएसटी के गवर्नेंस फ़ंक्शन को पाँच ऐसे प्रश्नों में बदल देता है जिनका उत्तर नेतृत्व टीम दे सकती है, और यही वह बातचीत है जिसकी अधिकांश सीआईएसओ को सबसे पहले आवश्यकता होती है।
घटना की तैयारी और आंतरिक जोखिम
प्रबंधकों के लिए रैनसमवेयर टेबलटॉप
यह 60 मिनट का कोर्स तीन भागों में विभाजित है: पहला घंटा, निर्णय और संचार, और दूसरा बैकअप और सुधार। प्रबंधक अभ्यास करते हैं कि मशीनों को कौन अलग करेगा, प्रेस से कौन बात करेगा और फिरौती के बारे में कौन निर्णय लेगा, जिसका उत्तर कोर्स कानूनी सलाह के साथ नेतृत्व के रूप में देता है। यह 7 प्रश्नों की अंतिम जाँच के साथ समाप्त होता है। इसे अपने घटना प्रमुख और संचार प्रमुख के वास्तविक नामों के साथ लाइव चलाएँ। योजना को लागू करने वाले विश्लेषकों के लिए, देखें हमारी एसओसी विश्लेषक प्रशिक्षण सूची.
आंतरिक खतरे के प्रति जागरूकता
आंतरिक खतरों से निपटने के कार्यक्रमों की ज़िम्मेदारी अक्सर CISO के पास होती है, जिसमें पहचान से लेकर प्रतिक्रिया तक सभी चरण शामिल होते हैं। यह 30 मिनट का कोर्स बताता है कि पहचान क्यों ज़रूरी है, व्यवहारिक, तकनीकी और वित्तीय संकेतक क्या हैं, विरोधी विश्वसनीय आंतरिक लोगों की भर्ती कैसे करते हैं, क्या करना चाहिए और क्या नहीं करना चाहिए, और कहाँ रिपोर्ट करनी चाहिए। कोर्स के अंत में 10 प्रश्नों का अंतिम प्रश्न होता है, जिसमें पास होने के लिए 80% अंक आवश्यक हैं। अमेरिका के मान्यता प्राप्त ठेकेदारों के लिए, यह NISPOM के उपरोक्त नियम के अनुसार प्रशिक्षण प्रदान करने का एक तैयार तरीका है, हालाँकि नियम में किसी कोर्स का नाम नहीं है।
हमारी पसंद: प्रबंधकों के लिए रैंसमवेयर टेबलटॉप गेम। जिस योजना का किसी ने पूर्वाभ्यास नहीं किया होता, वह पहले ही घंटे में विफल हो जाती है, और यह टेबलटॉप बैठक नेताओं को वास्तविक दबाव आने से पहले ही निर्णय लेने के लिए मजबूर करती है।
कर्मचारियों की सुरक्षा संबंधी आदतें और एआई का जोखिम
सुरक्षा जागरूकता की अनिवार्यताएँ
यह बुनियादी जागरूकता कार्यक्रम है जिसके लिए CISO जवाबदेह होता है। 35 मिनट के इस कोर्स में बताया गया है कि लोगों को निशाना क्यों बनाया जाता है, हमले की संरचना, खतरे के संकेत, खुद को कैसे सुरक्षित रखें और प्रतिक्रिया व रिपोर्ट कैसे करें। पास होने के लिए 80% अंक प्राप्त करने हेतु 12 प्रश्नों का अंतिम मूल्यांकन भी शामिल है। जिन वित्तीय संस्थानों पर यह कोर्स लागू होता है, उनके लिए यह FTC सेफगार्ड्स रूल की सुरक्षा जागरूकता प्रशिक्षण आवश्यकता को पूरा करने का एक तैयार तरीका है, हालांकि इस नियम में किसी कोर्स का उल्लेख नहीं है।
फ़िशिंग और सोशल इंजीनियरिंग
फ़िशिंग हमलों से बचाव एक आम CISO मापदंड है। यह 30 मिनट का कोर्स बताता है कि हमले कैसे किए जाते हैं, उनके संकेत क्या हैं, आप खुद को कैसे सुरक्षित रख सकते हैं और रिपोर्ट कैसे कर सकते हैं। कोर्स में 80% अंक प्राप्त करने के लिए 12 प्रश्नों का अंतिम उत्तर देना होगा। इसे अपने रिपोर्टिंग बटन के साथ जोड़ें ताकि कोर्स और मापदंड एक समान रहें।
कर्मचारियों के लिए पासवर्ड, पासकी और मल्टी-फैक्टर ऑथेंटिकेशन
पासकी और मल्टीफैक्टर ऑथेंटिकेशन (MFA) लागू करना एक प्रोग्राम का निर्णय है, और कर्मचारियों को यह जानना ज़रूरी है कि ऐसा क्यों किया जा रहा है। यह 30 मिनट का कोर्स बताता है कि अकाउंट्स को क्यों प्राथमिकता दी जा रही है, मज़बूत और विशिष्ट साइन-इन, मल्टीफैक्टर ऑथेंटिकेशन और पासकी, नकली साइन-इन पेज और शेयरिंग, शॉर्टकट और रिकवरी से जुड़े अस्पष्ट पहलू। इसे उस सप्ताह लॉन्च करें जब कोई नया साइन-इन तरीका लागू हो रहा हो।
सभी के लिए एआई सुरक्षा: शैडो एआई, प्रॉम्प्ट इंजेक्शन और हेरफेर किए गए आउटपुट
शैडो एआई और प्रॉम्प्ट इंजेक्शन के लिए एआई सुरक्षा नीति की जिम्मेदारी तेजी से सीआईएसओ (CISO) पर आ रही है। यह 30 मिनट का कोर्स शैडो एआई और एक कॉम्प्रोमाइज्ड चैटबॉट, प्रॉम्प्ट इंजेक्शन और दूषित सामग्री, पीडीएफ और ईमेल में छिपे निर्देश, मुफ्त एआई एक्सटेंशन और किसी स्वीकृत टूल का अनुरोध करने या किसी घटना की रिपोर्ट करने के तरीके को कवर करता है। "आप कार्यस्थल पर कौन से एआई टूल का उपयोग करते हैं?" विषय पर आधारित एक वर्ड क्लाउड आपको उन शैडो एआई के बारे में बताता है जिनके बारे में आपको जानकारी नहीं थी।
सोशल इंजीनियरिंग, धोखाधड़ी और डीपफेक: फोन, भुगतान और प्रतिरूपण घोटाले
डीपफेक और प्रतिरूपण धोखाधड़ी हर कार्यकारी खतरे की ब्रीफिंग का हिस्सा होना चाहिए, क्योंकि हमलावर अधिकारियों के नाम और आवाज़ की नकल करते हैं। यह 35 मिनट का कोर्स एक ठोस अनुरोध के आधार पर तैयार किया गया है और इसमें रणनीति, भुगतान परिवर्तनों का सत्यापन, नकली आवाज़ और वीडियो, और यह बताया गया है कि वरिष्ठता और गोपनीयता दबाव का काम करते हैं, सबूत का नहीं। इसे पहले वित्त विभाग और कार्यकारी सहायकों के साथ साझा करें।
हमारी पसंद: सभी के लिए एआई सुरक्षा। कर्मचारी अक्सर नीति के अनुरूप ढलने से पहले ही एआई उपकरणों को अपना लेते हैं, और यह पाठ्यक्रम उन्हें अनुरोध करने, उपयोग करने, जांच करने और रिपोर्ट करने का एक सरल चक्र प्रदान करता है।
योजना को कैसे लागू किया जाए
शासन व्यवस्था से शुरुआत करें। NIST का CSF 2.0 शासन करना सबसे पहले: कार्यकारी अधिकारी जोखिम लेने की क्षमता, जवाबदेही और संसाधनों के संबंध में अपेक्षाएं निर्धारित करते हैं, और कार्यक्रम का शेष भाग उन्हीं के आधार पर तय होता है।
- इस तिमाही में, नेताओं के लिए: साइबर जोखिम प्रबंधन, फिर घटना योजना में नामित लोगों के साथ रैंसमवेयर टेबलटॉप।
- प्रत्येक कर्मचारी के लिए, ऑनबोर्डिंग के समय: सुरक्षा जागरूकता की मूलभूत बातें, फ़िशिंग, और पासवर्ड, पासकी और एमएफए।
- आईटी और सुरक्षा प्रबंधकों के लिए: अगले ऑडिट से पहले COBIT, TOGAF और ISO 27001 का प्रमाणन प्राप्त कर लें।
- हर साल: टेबलटॉप परीक्षा को दोबारा चलाएं, प्रत्येक पाठ्यक्रम पर एक रिफ्रेशर क्विज दें और जब भी कोई नया एआई टूल लॉन्च किया जाए, तो एआई सुरक्षा पाठ्यक्रम को दोबारा आयोजित करें।
- यह कब लागू होता है: अमेरिका के स्वीकृत रक्षा ठेकेदार गोपनीय जानकारी तक पहुंच से पहले और उसके बाद हर साल आंतरिक खतरे से निपटने का प्रशिक्षण देते हैं; वित्तीय संस्थान एफटीसी के सुरक्षा नियमों के अनुसार सुरक्षा जागरूकता प्रशिक्षण को अद्यतन रखते हैं। अपने वकील से पूछें कि आपके देश या राज्य में और क्या लागू होता है।
इन पाठ्यक्रमों को चलाने के तरीके AhaSlides
आप इनमें से किसी भी पाठ्यक्रम को अपनी गति के अनुसार विकसित कर सकते हैं। AhaSlides कोर्स निर्माता, उन्हें लाइव प्रश्नोत्तर सत्र के रूप में प्रस्तुत कर सकते हैं, या दोनों कर सकते हैं, साथ ही कोर्स के बाद एक सर्वेक्षण कर सकते हैं ताकि यह देखा जा सके कि क्या बदलाव हुए हैं।
- उत्तर चुनें: टेबलटॉप पर, फिरौती का नोट दिखाएं और पूछें कि अगला कदम कौन तय करेगा।
- शब्द बादल: नेताओं से पूछें, "साइबर घटना के बारे में आपको सबसे ज्यादा किस बात की चिंता है?" और इसकी तुलना अपने जोखिम रजिस्टर से करें।
- दर्ज़ा पैमाने: पहले और बाद में, 1 से 5 के पैमाने पर पूछें, "हमारी घटना योजना कितनी तैयार है?"
- खुला अंत: लाइव सेशन के अंत में बोर्ड के लिए गुमनाम प्रश्न एकत्र करें।
सामान्य प्रश्न
एक CISO को किस प्रकार के प्रशिक्षण की आवश्यकता होती है?
एक सीआईएसओ को जोखिम प्रबंधन, घटना प्रतिक्रिया नेतृत्व, लागू नियमों का ज्ञान और बोर्ड को जानकारी देने का कौशल आवश्यक है। उपरोक्त पाठ्यक्रम सीआईएसओ द्वारा संचालित कार्यक्रम को कवर करते हैं; प्रमाणपत्र व्यक्तिगत योग्यता प्रदान करते हैं।
CISO के पास कौन-कौन से प्रमाणपत्र होते हैं?
इनमें से कुछ सामान्य प्रमाणपत्र हैं जैसे कि CISSP, CISM और EC-Council CCISO। उपरोक्त में से कोई भी कोर्स प्रमाणन नहीं है।
नेताओं को कितनी बार घटना संबंधी अभ्यास आयोजित करने चाहिए?
साल में कम से कम एक बार यह जांच करना एक समझदारी भरा आधारभूत उपाय है, और विलय, नई प्रणाली या नए घटनाक्रम के नेतृत्व की नियुक्ति जैसे किसी बड़े बदलाव के बाद भी यह जांच की जानी चाहिए।
रैनसमवेयर टेबलटॉप क्या है?
रैनसमवेयर टेबलटॉप एक चर्चा-आधारित अभ्यास है जो लाइव सिस्टम को छुए बिना, रैनसमवेयर हमले के दौरान नेताओं द्वारा लिए जाने वाले निर्णयों का पूर्वाभ्यास करता है।
यह पोस्ट सामान्य जानकारी के लिए है, कानूनी सलाह के लिए नहीं। अपने कार्यस्थल के बारे में निर्णय लेने के लिए, किसी योग्य वकील या नियामक से परामर्श लें।
