Terakhir ditinjau pada 4 November 2026 berdasarkan sumber yang ditautkan dalam postingan ini.
Dewan direksi akan mengadakan pertemuan pada hari Kamis, dan ketua memiliki satu pertanyaan untuk CISO: "Jika kita terkena ransomware besok, siapa yang akan memutuskan apa yang harus dilakukan, dan apakah kita sudah melatihnya?" Alat-alat yang digunakan memang penting, tetapi jawabannya bergantung pada tata kelola, latihan simulasi, dan staf yang memberikan laporan dengan cepat. Itulah yang harus dicakup oleh pelatihan keamanan siber untuk para eksekutif. NIST menegaskan hal ini dalam Kerangka Kerja Keamanan Siber 2.0, yang menambahkan fungsi keenam, Mengatur, meliputi peran, tanggung jawab dan wewenang, kebijakan dan pengawasan strategi keamanan siber..
Daftar ini memberikan CISO (Chief Information Security Officer) kursus-kursus yang dibutuhkan untuk menjalankan program tersebut. Anda mendapatkan 10 kursus siap pakai dalam 3 kelompok, yang menjelaskan apa yang diperbaiki oleh masing-masing kursus dan bagaimana cara menerapkannya. Setiap kelompok diakhiri dengan sebuah Pilihan kamiPoin-poin hukum tersebut menjelaskan peraturan federal AS, jadi gunakan ini sebagai ringkasan, bukan sebagai putusan.
Sekilas tentang kesebelas kursus
| Kelas | Apa yang dicakupnya | Panjang | Hukum di baliknya? |
|---|---|---|---|
| Tata kelola risiko siber untuk manajer dan dewan direksi | Lima pertanyaan dewan direksi, selera risiko, dan keputusan krisis. | 40 min | Tidak |
| Tata kelola TI, arsitektur perusahaan, dan audit TI: COBIT dan TOGAF | Tujuan tata kelola, metode arsitektur, dan perencanaan audit. | 45 min | Tidak |
| ISO/IEC 27001 dan ISMS | Penerapan kebijakan dalam praktik, pengecualian, dan berbicara dengan auditor. | 40 min | Tidak |
| Simulasi ransomware untuk para manajer. | Jam pertama, siapa yang memutuskan dan siapa yang berbicara, cadangan | 60 min | Tidak |
| Kesadaran akan ancaman dari dalam | Indikator risiko, metode perekrutan, dan pelaporan | 30 min | Ya (kontraktor yang memiliki izin keamanan AS) |
| Dasar-dasar kesadaran keamanan | Tahapan serangan dan kebiasaan inti | 35 min | Ya (lembaga keuangan yang tercakup di AS) |
| Phishing dan rekayasa sosial | Tanda bahaya, verifikasi, dan pelaporan | 30 min | Tidak |
| Kata sandi, kunci akses, dan otentikasi multi-faktor. | Login aman, MFA (Multi-Factor Authentication), kata sandi, dan pemulihan. | 30 min | Tidak |
| Keamanan AI untuk semua orang | AI bayangan, injeksi cepat, dan keluaran yang dimanipulasi | 30 min | Tidak |
| Rekayasa sosial, penipuan, dan deepfake | Penipuan melalui telepon, pembayaran, dan penyamaran identitas | 35 min | Tidak |
Terdapat dua ketentuan dalam peraturan federal AS, dan hanya untuk organisasi tertentu. Berdasarkan peraturan NISPOM, kontraktor pertahanan yang telah mendapatkan izin keamanan wajib memberikan pelatihan kepada karyawan yang baru mendapatkan izin keamanan. Pelatihan kesadaran akan ancaman internal sebelum memberikan akses ke informasi rahasia. dan memvalidasi penyelesaian awal dan tahunan. Aturan Perlindungan FTC menyatakan bahwa lembaga keuangan yang tercakup harus menyediakan pelatihan kesadaran keamanan kepada personel merekaTidak satu pun dari keduanya menentukan arah bagi orang lain.
Tata Kelola dan Kerangka Kerja
Tata kelola risiko siber untuk manajer dan dewan direksi
Kursus 40 menit ini memperlakukan risiko siber sebagai risiko bisnis. Kursus ini mencakup lima pertanyaan yang perlu diajukan tentang organisasi Anda, selera risiko dan dasbor singkat, area abu-abu dalam hal membayar, memberi tahu, dan pertimbangan untung rugi, dari mana kewajiban berasal, dan tindakan kepemimpinan yang perlu diambil selanjutnya. Seorang CISO dapat menjalankannya bersama tim kepemimpinan sebelum siklus rapat dewan direksi. Pertanyaan "dasbor menunjukkan ratusan ukuran" berfungsi sebagai slide Pilih Jawaban dan memulai argumen yang tepat. Anggota dewan direksi mendapatkan daftar mereka sendiri. panduan pelatihan dewan direksi kami.
Kerangka kerja tata kelola TI, arsitektur perusahaan, dan audit TI: COBIT dan TOGAF
Kursus 45 menit ini dimulai dengan "sistem yang tidak ada seorang pun yang bertanggung jawab atasnya", kemudian membahas mengapa tata kelola TI penting untuk nilai, risiko, dan sumber daya, tujuan tata kelola versus manajemen, metode pengembangan arsitektur, model kematangan, dan perencanaan audit TI dengan laporan kepada pimpinan. Kursus ini memberikan kerangka kerja bersama bagi manajer TI yang melapor kepada CISO. Aktivitas pengurutan "tata kelola atau manajemen?" membuat putaran Pilih Jawaban yang cepat.
ISO/IEC 27001 dan sistem manajemen keamanan informasi
CISO biasanya bertanggung jawab atas ISMS, dan setiap karyawan merupakan bagian darinya. Kursus 40 menit ini menjelaskan apa itu ISMS, bagaimana kebijakan diimplementasikan dalam praktik, bagaimana pengecualian dan kelemahan ditangani, dan bagaimana berbicara dengan auditor. Lakukan pelatihan ini sebelum audit sertifikasi atau pengawasan agar staf dapat menjawab pertanyaan dengan bukti. Slide tanya jawab terbuka tentang "apa yang akan Anda tunjukkan kepada auditor?" akan mengungkap celah-celah yang ada sejak dini.
Pilihan kami: Tata kelola risiko siber untuk manajer dan dewan direksi. Hal ini mengubah fungsi Govern dari NIST menjadi lima pertanyaan yang dapat dijawab oleh tim kepemimpinan, yang merupakan percakapan yang paling dibutuhkan oleh sebagian besar CISO terlebih dahulu.
Kesiapan menghadapi insiden dan risiko internal.
Simulasi ransomware untuk para manajer.
Kursus 60 menit ini merupakan simulasi meja dalam tiga bagian: satu jam pertama, pengambilan keputusan dan komunikasi, serta pencadangan dan perbaikan. Para manajer berlatih siapa yang mengisolasi mesin, siapa yang berbicara kepada pers, dan siapa yang memutuskan tentang tebusan, yang dijawab kursus ini sebagai kepemimpinan dengan nasihat hukum. Kursus diakhiri dengan pemeriksaan akhir 7 pertanyaan. Jalankan secara langsung dengan nama asli pemimpin insiden dan kepala komunikasi Anda. Untuk analis yang menjalankan rencana tersebut, lihat daftar pelatihan analis SOC kami.
Kesadaran akan ancaman dari dalam
Program ancaman orang dalam seringkali berada di bawah tanggung jawab CISO, mulai dari deteksi hingga respons. Kursus 30 menit ini membahas mengapa deteksi itu penting, indikator perilaku, teknis, dan keuangan, bagaimana musuh merekrut orang dalam yang tepercaya, apa yang harus dilakukan dan tidak dilakukan, serta ke mana harus melaporkan. Kursus ini diakhiri dengan pemeriksaan akhir 10 pertanyaan dengan nilai minimal 80% untuk lulus. Bagi kontraktor AS yang memiliki izin keamanan, ini adalah cara siap pakai untuk memberikan pelatihan yang dipersyaratkan oleh peraturan NISPOM di atas, meskipun peraturan tersebut tidak menyebutkan kursus tertentu.
Pilihan kami: Permainan tabletop ransomware untuk para manajer. Rencana yang belum pernah dipraktikkan akan gagal dalam satu jam pertama, dan simulasi ini memaksa para pemimpin untuk mengambil keputusan sebelum tekanan benar-benar terasa.
Kebiasaan keamanan staf dan risiko AI
Dasar-dasar kesadaran keamanan
Ini adalah program kesadaran dasar yang menjadi tanggung jawab seorang CISO. Kursus selama 35 menit ini mencakup mengapa orang menjadi target, anatomi serangan, tanda-tanda peringatan, cara melindungi diri sendiri, dan cara merespons serta melaporkan, dengan pengecekan akhir 12 pertanyaan pada skor 80% untuk lulus. Bagi lembaga keuangan yang tercakup, ini adalah cara siap pakai untuk memenuhi persyaratan pelatihan kesadaran keamanan Peraturan Perlindungan FTC, meskipun peraturan tersebut tidak menyebutkan kursus tertentu.
Phishing dan rekayasa sosial
Ketahanan terhadap serangan phishing adalah metrik umum bagi CISO. Kursus 30 menit ini menjelaskan bagaimana serangan dibangun, tanda-tanda peringatan, cara melindungi diri, dan cara melaporkan, dengan pengecekan akhir 12 pertanyaan pada skor 80% untuk lulus. Padukan dengan tombol pelaporan Anda agar kursus dan metriknya sesuai.
Kata sandi, kunci akses, dan otentikasi multi-faktor untuk staf.
Penerapan kata sandi dan MFA (Otentikasi Multi-Faktor) adalah keputusan program, dan staf perlu mengetahui alasannya. Kursus 30 menit ini membahas mengapa akun menjadi target, login yang kuat dan unik, otentikasi multi-faktor dan kata sandi, halaman login palsu, serta area abu-abu terkait berbagi, pintasan, dan pemulihan. Mulailah kursus ini pada minggu yang sama saat metode login baru diaktifkan.
Keamanan AI untuk semua orang: AI bayangan, injeksi prompt, dan output yang dimanipulasi
Kebijakan keamanan AI untuk AI bayangan dan injeksi prompt semakin menjadi tanggung jawab CISO. Kursus 30 menit ini membahas AI bayangan dan chatbot yang disusupi, injeksi prompt dan konten yang diracuni, instruksi tersembunyi dalam PDF dan email, ekstensi AI gratis, dan cara meminta alat yang disetujui atau melaporkan insiden. Sebuah Word Cloud tentang "alat AI apa yang Anda gunakan di tempat kerja?" menunjukkan AI bayangan yang mungkin belum Anda ketahui.
Rekayasa sosial, penipuan, dan deepfake: penipuan telepon, pembayaran, dan peniruan identitas.
Deepfake dan penipuan peniruan identitas harus dimasukkan dalam setiap pengarahan ancaman eksekutif, karena nama dan suara eksekutif adalah yang ditiru oleh penyerang. Kursus 35 menit ini mengikuti permintaan yang meyakinkan, mencakup taktik, verifikasi perubahan pembayaran, suara dan video palsu, dan mengapa senioritas dan kerahasiaan adalah tekanan, bukan bukti. Jalankan kursus ini terlebih dahulu dengan bagian keuangan dan asisten eksekutif.
Pilihan kami: Keamanan AI untuk semua orang. Staf sering kali mengadopsi alat AI lebih cepat daripada kebijakan yang berlaku, dan kursus ini memberi mereka siklus sederhana berupa permintaan, penggunaan, pengecekan, dan pelaporan.
Bagaimana cara melaksanakan rencana tersebut?
Mulailah dengan tata kelola. CSF 2.0 dari NIST menetapkan Memerintah Pertama: para eksekutif menetapkan ekspektasi tentang selera risiko, akuntabilitas, dan sumber daya, dan bagian program lainnya mengikuti dari ekspektasi tersebut.
- Triwulan ini, untuk para pemimpin: tata kelola risiko siber, kemudian simulasi ransomware dengan orang-orang yang disebutkan dalam rencana insiden Anda.
- Untuk setiap karyawan, pada saat orientasi: Dasar-dasar kesadaran keamanan, phishing, dan kata sandi, kunci akses, serta MFA (Multi-Factor Authentication).
- Untuk manajer TI dan keamanan: COBIT dan TOGAF, serta ISO 27001 sebelum audit Anda berikutnya.
- Setiap tahun: Ulangi simulasi meja, kuis penyegaran untuk setiap kursus, dan kursus keamanan AI setiap kali alat AI baru diluncurkan.
- Kapan hal ini berlaku: Kontraktor pertahanan AS yang telah mendapatkan izin memberikan pelatihan tentang ancaman internal sebelum mengakses informasi rahasia dan setiap tahun setelahnya; lembaga keuangan yang tercakup menjaga pelatihan kesadaran keamanan tetap mutakhir seperti yang dijelaskan dalam Aturan Perlindungan FTC. Tanyakan kepada penasihat hukum Anda apa lagi yang berlaku di negara atau negara bagian Anda.
Cara menjalankan kursus-kursus ini AhaSlides
Anda dapat membangun salah satu dari ini sebagai kursus mandiri dengan AhaSlides Pembuat kursus dapat menjalankannya sebagai sesi tanya jawab langsung, atau keduanya, dengan survei pasca-kursus untuk melihat perubahan apa yang terjadi.
- Pilih Jawaban: Di atas meja, tunjukkan surat tebusan dan tanyakan siapa yang akan memutuskan langkah selanjutnya.
- Awan Kata: Tanyakan kepada para pemimpin, "Apa yang paling Anda khawatirkan tentang insiden siber?" dan bandingkan dengan daftar risiko Anda.
- Skala Penilaian: Sebelum dan sesudah kejadian, tanyakan "Seberapa siap rencana penanganan insiden kita?" dari skala 1 hingga 5.
- Terbuka: Mengumpulkan pertanyaan anonim untuk dewan di akhir sesi langsung.
FAQ (Pertanyaan Umum)
Pelatihan apa yang dibutuhkan seorang CISO?
Seorang CISO membutuhkan manajemen risiko dan tata kelola, kepemimpinan dalam menanggapi insiden, pengetahuan tentang peraturan yang berlaku, dan keterampilan untuk memberikan pengarahan kepada dewan direksi. Kursus-kursus di atas mencakup program yang dijalankan oleh seorang CISO; sertifikasi mencakup kredensial pribadi.
Sertifikasi apa saja yang dimiliki oleh CISO?
Beberapa sertifikasi umum meliputi CISSP, CISM, dan EC-Council CCISO. Tidak satu pun dari kursus di atas merupakan sertifikasi.
Seberapa sering para pemimpin harus menjalankan latihan simulasi insiden?
Setidaknya sekali setahun adalah patokan yang masuk akal, dan sekali lagi setelah perubahan besar seperti merger, sistem baru, atau penanggung jawab insiden baru.
Apa itu ransomware tabletop?
Simulasi ransomware adalah latihan berbasis diskusi yang mensimulasikan keputusan yang dibuat para pemimpin selama serangan ransomware, tanpa menyentuh sistem yang sedang berjalan.
Postingan ini berisi informasi umum, bukan nasihat hukum. Untuk keputusan terkait tempat kerja Anda sendiri, konsultasikan dengan pengacara yang berkualifikasi atau regulator.
