Posljednji put pregledano 4. studenog 2026. u odnosu na izvore povezane u ovoj objavi.
Odbor se sastaje u četvrtak, a predsjednik ima jedno pitanje za CISO-a: "Ako nas sutra napadne ransomware, tko će odlučiti što i jesmo li to uvježbavali?" Alati su važni, ali odgovor ovisi o upravljanju, vježbama i osoblju koje brzo izvještava. To je ono što obuka za kibernetičku sigurnost za rukovoditelje mora obuhvatiti. NIST je to istaknuo u svom Okviru za kibernetičku sigurnost 2.0, koji je dodao šestu funkciju, Upravljanje, koje obuhvaća uloge, odgovornosti i ovlasti, politiku i nadzor strategije kibernetičke sigurnosti.
Ovaj popis daje CISO-u tečajeve za provođenje tog programa. Dobivate 10 gotovih tečajeva u 3 grupe, što svaki rješava i kako ih implementirati. Svaka grupa završava s Naš izborPravne točke opisuju američka savezna pravila, stoga ih koristite kao nastavni plan, a ne kao presudu.
Svih 10 tečajeva na prvi pogled
| Tečaj | Što pokriva | Dužina | Zakon iza toga? |
|---|---|---|---|
| Upravljanje kibernetičkim rizicima za menadžere i upravne odbore | Pet pitanja za upravni odbor, sklonost riziku i krizne odluke | 40 min | Ne |
| Upravljanje IT-om, poslovna arhitektura i IT revizija: COBIT i TOGAF | Ciljevi upravljanja, metoda arhitekture i planiranje revizije | 45 min | Ne |
| ISO/IEC 27001 i ISMS | Pravila za primjenu, iznimke i razgovor s revizorom | 40 min | Ne |
| Ransomware stol za menadžere | Prvi sat, tko odlučuje, a tko govori, rezervni igrači | 60 min | Ne |
| Svijest o unutarnjim prijetnjama | Pokazatelji rizika, metode zapošljavanja i izvještavanje | 30 min | Da (izvođači radova s odobrenjem SAD-a) |
| Osnove sigurnosne svijesti | Faze napada i osnovne navike | 35 min | Da (financijske institucije pokrivene SAD-om) |
| Krađa identiteta i društveni inženjering | Crvene zastavice, provjera i izvještavanje | 30 min | Ne |
| Lozinke, pristupni ključevi i višefaktorska autentifikacija | Sigurne prijave, MFA, lozinke i oporavak | 30 min | Ne |
| Sigurnost umjetne inteligencije za sve | Sjena umjetne inteligencije, brzo ubrizgavanje i manipulirani izlazi | 30 min | Ne |
| Društveni inženjering, prijevara i deepfakeovi | Telefonske, platne i lažne prijevare | 35 min | Ne |
Dva tečaja temelje se na američkom saveznom pravilu i samo za neke organizacije. Prema NISPOM pravilu, provjereni obrambeni izvođači moraju dati novoprovjerenim zaposlenicima obuka o svjesnosti o unutarnjim prijetnjama prije odobravanja pristupa klasificiranim informacijama i potvrditi početni i godišnji završetak. Pravilo FTC-a o zaštitnim mjerama kaže da obuhvaćene financijske institucije moraju pružiti obuku o sigurnosti za svoje osobljeNiti jedno ne postavlja kurs za sve ostale.
Upravljanje i okviri
Upravljanje kibernetičkim rizicima za menadžere i upravne odbore
Ovaj 40-minutni tečaj tretira kibernetički rizik kao poslovni rizik. Obuhvaća pet pitanja koja treba postaviti o vašoj organizaciji, sklonosti preuzimanju rizika i kratkoj nadzornoj ploči, sivim područjima plaćanja, obavještavanja i kompromisa, odakle dolaze dužnosti i sljedećim vodstvenim akcijama koje treba poduzeti. CISO ga može pokrenuti s vodećim timom prije ciklusa uprave. Pitanje "nadzorna ploča prikazuje stotine mjera" funkcionira kao slajd za odabir odgovora i započinje pravu raspravu. Članovi uprave dobivaju vlastiti popis u naš vodič za obuku upravnog odbora.
Upravljanje IT-om, arhitektura poduzeća i okviri za IT reviziju: COBIT i TOGAF
Ovaj 45-minutni tečaj započinje s temom "sustav za koji nitko nije bio odgovoran", zatim pokriva zašto je upravljanje IT-om važno za vrijednost, rizik i resurse, ciljeve upravljanja naspram upravljanja, metodu razvoja arhitekture, modele zrelosti i planiranje IT revizije s izvješćem vodstvu. IT menadžerima koji izvještavaju CISO-u daje zajednički okvir. Aktivnost sortiranja "upravljanje ili menadžment?" omogućuje brzi krug odabira odgovora.
ISO/IEC 27001 i sustav upravljanja sigurnošću informacija
CISO obično posjeduje ISMS, a svaki zaposlenik je njegov dio. Ovaj 40-minutni tečaj objašnjava što je ISMS, kako politika postaje praksa, kako se rješavaju iznimke i slabosti te kako razgovarati s revizorom. Uvedite ga prije certifikacijske ili nadzorne revizije kako bi osoblje moglo odgovoriti na pitanja s dokazima. Slajd otvorenog tipa na temu "što biste pokazali revizoru?" rano otkriva praznine.
Naš izbor: Upravljanje kibernetičkim rizicima za menadžere i upravne odbore. To pretvara NIST-ovu upravljačku funkciju u pet pitanja na koja vodeći tim može odgovoriti, a to je razgovor koji većini CISO-a prvo treba.
Spremnost za incidente i rizik od insajdera
Ransomware stol za menadžere
Ovaj 60-minutni tečaj je praktični tečaj u tri dijela: prvi sat, odluke i komunikacija te sigurnosne kopije i popravci. Menadžeri uvježbavaju tko izolira strojeve, tko razgovara s novinarima i tko odlučuje o otkupnini, na što tečaj odgovara kao vodstvo s pravnim savjetom. Završava završnom provjerom od 7 pitanja. Pokrenite ga uživo s pravim imenima vašeg voditelja incidenta i šefa komunikacija. Za analitičare koji provode plan, pogledajte naš popis za obuku SOC analitičara.
Svijest o unutarnjim prijetnjama
Programi za insajderske prijetnje često se provode s CISO-om, od otkrivanja do odgovora. Ovaj 30-minutni tečaj pokriva zašto je otkrivanje važno, bihevioralne, tehničke i financijske pokazatelje, kako protivnici regrutiraju pouzdane insajdere, što učiniti, a što ne učiniti te gdje prijaviti prijetnju. Završava završnom provjerom od 10 pitanja s 80% prolaznosti. Za provjerene američke izvođače radova to je gotov način pružanja obuke koju zahtijeva gore navedeno NISPOM pravilo, iako pravilo ne imenuje nikakav tečaj.
Naš izbor: Ransomware za stolna računala za menadžere. Plan koji nitko nije uvježbavao propada u prvom satu, a ovaj stol tjera vođe da odluče prije nego što pritisak postane stvaran.
Sigurnosne navike osoblja i rizik umjetne inteligencije
Osnove sigurnosne svijesti
Ovo je osnovni program osvješćivanja za koji je odgovoran CISO. Tečaj od 35 minuta pokriva zašto su ljudi meta napada, anatomiju napada, crvene zastavice, kako se zaštititi te kako reagirati i prijaviti, s završnom provjerom od 12 pitanja na 80% za prolaz. Za financijske institucije koje su obuhvaćene programom to je gotov način ispunjavanja zahtjeva za obuku o sigurnosnoj osviještenosti prema Pravilu o zaštitnim mjerama FTC-a, iako pravilo ne navodi nijedan tečaj.
Krađa identiteta i društveni inženjering
Otpornost na phishing uobičajena je CISO metrika. Ovaj 30-minutni tečaj objašnjava kako se grade napadi, crvene zastavice, kako se zaštititi i kako prijaviti, s završnom provjerom od 12 pitanja na 80% za prolaz. Spojite ga s gumbom za prijavu kako bi se tečaj i metrika podudarali.
Lozinke, pristupni ključevi i višefaktorska autentifikacija za osoblje
Uvođenje lozinki i višefaktorske autentifikacije (MFA) je odluka programa, a osoblje mora znati zašto. Ovaj 30-minutni tečaj pokriva zašto su računi cilj, snažne i jedinstvene prijave, višefaktorske i lozinke, lažne stranice za prijavu i siva područja dijeljenja, prečaca i oporavka. Pokrenite ga u tjednu kada se pokrene nova metoda prijave.
Sigurnost umjetne inteligencije za sve: shadow AI, promptno ubrizgavanje i manipulirani izlazi
Sigurnosna politika umjetne inteligencije za shadow AI i prompt injection sve više pada na CISO. Ovaj 30-minutni tečaj pokriva shadow AI i kompromitirani chatbot, prompt injection i zatrovani sadržaj, skrivene upute u PDF-ovima i e-porukama, besplatna AI proširenja i kako zatražiti odobreni alat ili prijaviti incident. Oblak riječi na temu "koje AI alate koristite na poslu?" pokazuje shadow AI za koji niste znali.
Društveni inženjering, prijevare i deepfakeovi: telefonske, platne i lažne prijevare
Deepfake i lažno predstavljanje pripadaju svakom brifingu o prijetnjama rukovoditeljima, jer napadači oponašaju imena i glasove rukovoditelja. Ovaj 35-minutni tečaj prati uvjerljiv zahtjev, pokriva taktike, provjeru promjena plaćanja, lažni glas i video te zašto su senioritet i tajnost pritisak, a ne dokaz. Prvo ga provedite s financijskim odjelom i pomoćnicima rukovoditelja.
Naš izbor: AI sigurnost za sve. Zaposlenici često usvajaju alate umjetne inteligencije brže nego što to politika može pratiti, a ovaj tečaj im daje jednostavnu petlju zahtjeva, korištenja, provjere i izvještavanja.
Kako implementirati plan
Započnite s upravljanjem. NIST-ov CSF 2.0 stavlja Vladati prvo: rukovoditelji postavljaju očekivanja o sklonosti preuzimanju rizika, odgovornosti i resursima, a ostatak programa proizlazi iz njih.
- Ovaj kvartal, za lidere: upravljanje kibernetičkim rizicima, a zatim stol za ransomware s ljudima navedenim u vašem planu za incidente.
- Za svakog zaposlenika, prilikom uvođenja u posao: osnove sigurnosne svijesti, phishing te lozinke, pristupni ključevi i višefaktorska autentifikacija.
- Za IT i sigurnosne menadžere: COBIT i TOGAF te ISO 27001 prije vaše sljedeće revizije.
- Svake godine: ponovno pokrenite tablicu, kviz osvježenja znanja o svakom tečaju i tečaj o sigurnosti umjetne inteligencije kad god se uvede novi alat umjetne inteligencije.
- Kada se primjenjuje: Provjereni američki obrambeni izvođači radova provode obuku o insajderskim prijetnjama prije pristupa klasificiranim informacijama i svake godine nakon toga; obuhvaćene financijske institucije održavaju obuku o sigurnosnoj svijesti ažurnom kako je opisano u Pravilu o zaštitnim mjerama FTC-a. Pitajte svog odvjetnika što se još primjenjuje u vašoj zemlji ili saveznoj državi.
Načini održavanja ovih tečajeva AhaSlides
Bilo koji od ovih tečajeva možete izraditi vlastitim tempom uz pomoć AhaSlides kreator tečaja, pokrenite ih kao sesiju pitanja i odgovora uživo ili oboje, s anketom nakon tečaja kako biste vidjeli što se promijenilo.
- Odaberite odgovor: na stolu pokažite poruku s zahtjevom za otkupninu i pitajte tko odlučuje o sljedećem koraku.
- Oblak riječi: Pitajte vođe "Što vas najviše brine u vezi s kibernetičkim incidentom?" i usporedite to sa svojim registrom rizika.
- Ljestvica ocjenjivanja: Prije i poslije, pitajte "Koliko je spreman naš plan za incidente?" od 1 do 5.
- Otvorenog tipa: prikupiti anonimna pitanja za ploču na kraju sesije uživo.
Česta pitanja
Koja je obuka potrebna CISO-u?
CISO treba imati vještine upravljanja rizicima i upravljanjem, liderstva u odgovoru na incidente, poznavanja važećih pravila i vještine informiranja uprave. Gore navedeni tečajevi pokrivaju program koji CISO vodi; certifikati pokrivaju osobne kvalifikacije.
Koje certifikate imaju CISO-ovi?
Uobičajeni uključuju CISSP, CISM i EC-Council CCISO. Nijedan od gore navedenih tečajeva nije certifikacija.
Koliko često bi voditelji trebali provoditi vježbe za rješavanje incidentnih situacija?
Barem jednom godišnje je razumna osnova, a ponovno nakon veće promjene poput spajanja, novog sustava ili novog incidentnog potencijalnog klijenta.
Što je ransomware tablet?
Ransomware stol je vježba temeljena na raspravi koja uvježbava odluke koje vođe donose tijekom napada ransomwarea, bez dodirivanja aktivnih sustava.
Ova objava je općenite informacije, a ne pravni savjet. Za odluku o vašem radnom mjestu obratite se kvalificiranom odvjetniku ili regulatoru.
