Ultimo aggiornamento effettuato il 4 novembre 2026 confrontando i dati con le fonti citate in questo post.
Il consiglio si riunisce giovedì e il presidente ha una domanda per il CISO: "Se domani fossimo colpiti da un ransomware, chi decide cosa e ci siamo esercitati?" Gli strumenti sono importanti, ma la risposta dipende dalla governance, dalle esercitazioni e dal personale che segnala tempestivamente. Questo è ciò che deve coprire la formazione sulla sicurezza informatica per i dirigenti. Il NIST ha sottolineato questo punto nel suo Cybersecurity Framework 2.0, che ha aggiunto una sesta funzione, Governare, definendo ruoli, responsabilità e autorità, politiche e supervisione della strategia di sicurezza informatica..
Questo elenco fornisce a un CISO i corsi per gestire quel programma. Sono disponibili 10 corsi già pronti in 3 gruppi, con la descrizione di cosa risolve ciascuno e come implementarli. Ogni gruppo termina con un La nostra sceltaI punti legali descrivono le norme federali statunitensi, quindi usate questo testo come un riassunto, non come una sentenza.
Tutti i 10 corsi in sintesi
| Portata | Cosa copre | Lunghezza | La legge che c'è dietro? |
|---|---|---|---|
| Governance del rischio informatico per manager e consigli di amministrazione | Cinque domande del consiglio di amministrazione, propensione al rischio e decisioni in situazioni di crisi. | 40 min | Nodo |
| Governance IT, architettura aziendale e audit IT: COBIT e TOGAF | Obiettivi di governance, metodologia di architettura e pianificazione dell'audit. | 45 min | Nodo |
| ISO/IEC 27001 e il ISMS | Dalle politiche alla pratica, le eccezioni e il dialogo con un revisore dei conti. | 40 min | Nodo |
| Manuale di simulazione sulla gestione dei ransomware per manager | La prima ora, chi decide e chi parla, i backup | 60 min | Nodo |
| Consapevolezza delle minacce interne | Indicatori di rischio, metodi di reclutamento e reporting | 30 min | Sì (appaltatori autorizzati dagli Stati Uniti) |
| Elementi essenziali di consapevolezza della sicurezza | Le fasi di un attacco e le abitudini fondamentali | 35 min | Sì (istituzioni finanziarie coperte dalla normativa statunitense) |
| Phishing e ingegneria sociale | Segnali di allarme, verifica e segnalazione | 30 min | Nodo |
| Password, chiavi di accesso e autenticazione a più fattori | Accessi sicuri, autenticazione a più fattori (MFA), password e recupero | 30 min | Nodo |
| Sicurezza dell'IA per tutti | Intelligenza artificiale ombra, iniezione di prompt e output manipolati | 30 min | Nodo |
| Ingegneria sociale, frode e deepfake | Truffe telefoniche, di pagamento e di impersonificazione | 35 min | Nodo |
Due corsi si basano su una norma federale statunitense, e solo per alcune organizzazioni. In base alla norma NISPOM, gli appaltatori della difesa autorizzati devono fornire ai nuovi dipendenti autorizzati Formazione sulla consapevolezza delle minacce interne prima di concedere l'accesso a informazioni classificate e convalidare il completamento iniziale e annuale. La norma sulle misure di salvaguardia della FTC stabilisce che gli istituti finanziari coperti devono fornire formazione sulla consapevolezza della sicurezza per il loro personaleNessuno dei due impone un percorso a tutti gli altri.
Governance e quadri normativi
Governance del rischio informatico per manager e consigli di amministrazione
Questo corso di 40 minuti tratta il rischio informatico come un rischio aziendale. Copre cinque domande da porsi sulla propria organizzazione, la propensione al rischio e una breve dashboard, le zone grigie di pagamento, comunicazione e compromessi, da dove derivano gli obblighi e le azioni di leadership da intraprendere successivamente. Un CISO può eseguirlo con il team di leadership prima di un ciclo del consiglio di amministrazione. La domanda "una dashboard mostra centinaia di misure" funziona come diapositiva a scelta multipla e avvia la giusta discussione. I membri del consiglio di amministrazione ottengono il proprio elenco in La nostra guida alla formazione per il consiglio di amministrazione.
Framework per la governance IT, l'architettura aziendale e l'audit IT: COBIT e TOGAF
Questo corso di 45 minuti inizia con "un sistema di cui nessuno era responsabile", per poi trattare l'importanza della governance IT in termini di valore, rischio e risorse, la differenza tra governance e obiettivi di gestione, il metodo di sviluppo dell'architettura, i modelli di maturità e la pianificazione di un audit IT con report per la dirigenza. Fornisce ai responsabili IT che riportano al CISO un quadro di riferimento condiviso. L'attività di abbinamento "Governance o gestione?" offre un rapido giro di domande a risposta multipla.
ISO/IEC 27001 e il sistema di gestione della sicurezza delle informazioni
Il CISO è generalmente responsabile del Sistema di Gestione della Sicurezza delle Informazioni (ISMS) e ogni dipendente ne fa parte. Questo corso di 40 minuti spiega cos'è un ISMS, come le politiche si traducono in pratica, come vengono gestite le eccezioni e le debolezze e come interagire con un auditor. È consigliabile proporlo prima di un audit di certificazione o di sorveglianza, in modo che il personale possa rispondere alle domande con prove concrete. Una diapositiva a risposta aperta su "Cosa mostreresti a un auditor?" permette di individuare tempestivamente eventuali lacune.
La nostra scelta: la governance del rischio informatico per manager e consigli di amministrazione. Trasforma la funzione Govern del NIST in cinque domande a cui un team dirigenziale può rispondere, ovvero la conversazione di cui la maggior parte dei CISO ha bisogno per prima.
Preparazione agli incidenti e rischio interno
Manuale di simulazione sulla gestione dei ransomware per manager
Questo corso di 60 minuti è una simulazione in tre parti: la prima ora, decisioni e comunicazione, e backup e correzioni. I manager si esercitano su chi isola le macchine, chi parla con la stampa e chi decide su un eventuale riscatto, a cui il corso risponde fornendo consulenza legale e leadership. Si conclude con un controllo finale di 7 domande. Eseguite la simulazione dal vivo con i nomi reali del responsabile dell'incidente e del responsabile della comunicazione. Per gli analisti che implementano il piano, vedere il nostro elenco di corsi di formazione per analisti SOC.
Consapevolezza delle minacce interne
I programmi di contrasto alle minacce interne sono spesso gestiti dal CISO, dalla fase di rilevamento a quella di risposta. Questo corso di 30 minuti illustra l'importanza del rilevamento, gli indicatori comportamentali, tecnici e finanziari, le modalità con cui gli avversari reclutano persone fidate all'interno dell'organizzazione, le azioni da intraprendere e quelle da evitare, e a chi segnalare. Il corso si conclude con un test finale di 10 domande, da superare con un punteggio dell'80%. Per i contractor statunitensi in possesso di autorizzazione di sicurezza, rappresenta una soluzione ideale per erogare la formazione richiesta dalla normativa NISPOM, sebbene quest'ultima non specifichi un corso specifico.
La nostra scelta: un gioco di simulazione sulla gestione di situazioni con ransomware. Un piano che nessuno ha provato fallisce nella prima ora, e questa simulazione costringe i leader a prendere decisioni prima che la pressione diventi reale.
Abitudini di sicurezza del personale e rischi legati all'IA
Elementi essenziali di consapevolezza della sicurezza
Questo è il programma di sensibilizzazione di base di cui un CISO è responsabile. Il corso di 35 minuti illustra i motivi per cui le persone vengono prese di mira, l'anatomia di un attacco, i segnali di allarme, come proteggersi e come reagire e segnalare, con un test finale di 12 domande e un punteggio minimo dell'80% per superarlo. Per gli istituti finanziari soggetti alla normativa, rappresenta una soluzione già pronta per soddisfare il requisito di formazione sulla sicurezza previsto dalla Safeguards Rule della FTC, sebbene la norma non specifichi un corso in particolare.
Phishing e ingegneria sociale
La resistenza al phishing è una metrica comune per i CISO. Questo corso di 30 minuti spiega come vengono costruiti gli attacchi, i segnali di allarme, come proteggersi e come segnalarli, con un test finale di 12 domande per il superamento con una percentuale dell'80%. Abbina il corso al tuo pulsante di segnalazione in modo che il corso e la metrica siano coerenti.
Password, chiavi di accesso e autenticazione a più fattori per il personale
L'implementazione di password e autenticazione a più fattori (MFA) è una decisione di programma e il personale deve comprenderne le motivazioni. Questo corso di 30 minuti illustra perché gli account sono l'obiettivo, i metodi di accesso sicuri e univoci, l'autenticazione a più fattori e le password, le pagine di accesso false e le zone grigie relative alla condivisione, alle scorciatoie e al recupero delle credenziali. È consigliabile avviarlo nella settimana in cui viene attivato un nuovo metodo di accesso.
Sicurezza dell'IA per tutti: IA ombra, iniezione di prompt e output manipolati
La responsabilità della sicurezza dell'IA, in particolare per quanto riguarda l'IA ombra e l'iniezione di prompt, ricade sempre più sul CISO. Questo corso di 30 minuti tratta l'IA ombra e i chatbot compromessi, l'iniezione di prompt e i contenuti infetti, le istruzioni nascoste nei PDF e nelle email, le estensioni IA gratuite e le modalità per richiedere uno strumento approvato o segnalare un incidente. Una word cloud su "Quali strumenti di IA utilizzi al lavoro?" mostra l'IA ombra di cui non eri a conoscenza.
Ingegneria sociale, frode e deepfake: truffe telefoniche, di pagamento e di impersonificazione
Le frodi basate su deepfake e impersonificazione dovrebbero essere incluse in ogni briefing sulle minacce per i dirigenti, perché i nomi e le voci dei dirigenti sono ciò che gli aggressori imitano. Questo corso di 35 minuti, partendo da una richiesta convincente, illustra le tattiche, la verifica delle modifiche ai pagamenti, la falsificazione di voce e video e spiega perché l'anzianità e la segretezza rappresentano una pressione, non una prova. Si consiglia di proporlo prima al reparto finanziario e agli assistenti di direzione.
La nostra scelta: sicurezza basata sull'intelligenza artificiale per tutti. Spesso il personale adotta gli strumenti di intelligenza artificiale più velocemente di quanto le politiche possano adeguarsi, e questo corso offre loro un semplice ciclo di richiesta, utilizzo, verifica e segnalazione.
Come implementare il piano
Inizia con la governance. Il CSF 2.0 del NIST mette governare Innanzitutto, i dirigenti definiscono le aspettative in termini di propensione al rischio, responsabilità e risorse, e il resto del programma ne consegue.
- Questo trimestre, per i leader: governance del rischio informatico, quindi simulazione di attacco ransomware con le persone nominate nel piano di gestione degli incidenti.
- Per ogni dipendente, in fase di inserimento: Elementi essenziali di sensibilizzazione alla sicurezza, phishing, password, chiavi di accesso e autenticazione a più fattori (MFA).
- Per i responsabili IT e della sicurezza: COBIT, TOGAF e ISO 27001 prima del prossimo audit.
- Ogni anno: Ripetere la simulazione, un quiz di ripasso su ogni corso e il corso sulla sicurezza dell'IA ogni volta che viene introdotto un nuovo strumento di IA.
- Quando si applica: Le aziende appaltatrici del settore della difesa statunitense, in possesso di autorizzazione di sicurezza, forniscono formazione sulle minacce interne prima di accedere a informazioni classificate e ogni anno successivo; gli istituti finanziari soggetti alla normativa mantengono aggiornata la formazione sulla consapevolezza della sicurezza, come previsto dalla Safeguards Rule della FTC. Chiedete al vostro legale quali altre disposizioni si applicano nel vostro Paese o Stato.
Modi per gestire questi corsi su AhaSlides
Puoi costruire uno qualsiasi di questi come un corso a ritmo personalizzato con il AhaSlides Il creatore del corso può utilizzarli come slide per una sessione di domande e risposte dal vivo, oppure entrambi, con un sondaggio post-corso per capire cosa è cambiato.
- Scegli la risposta: Sul tavolo, mostrate la richiesta di riscatto e chiedete chi decide il passo successivo.
- Nuvola di parole: Chiedete ai leader: "Cosa vi preoccupa di più in merito a un incidente informatico?" e confrontate la risposta con il vostro registro dei rischi.
- Scala di valutazione: Prima e dopo, chiedete: "Quanto è pronto il nostro piano di gestione degli incidenti?" da 1 a 5.
- Domanda a risposta aperta: Raccogliere domande anonime da sottoporre al consiglio di amministrazione al termine di una sessione dal vivo.
FAQ
Quale formazione è necessaria a un CISO?
Un CISO deve possedere competenze in materia di rischio e governance, capacità di leadership nella gestione degli incidenti, conoscenza delle normative applicabili e abilità nel presentare briefing al consiglio di amministrazione. I corsi sopra menzionati coprono il programma di lavoro di un CISO; le certificazioni attestano le qualifiche personali.
Quali certificazioni possiedono i CISO?
Tra le certificazioni più comuni figurano CISSP, CISM e CCISO dell'EC-Council. Nessuno dei corsi sopra menzionati rilascia una certificazione ufficiale.
Con quale frequenza i leader dovrebbero condurre esercitazioni di gestione degli incidenti?
Almeno una volta all'anno è una prassi sensata, e di nuovo dopo un cambiamento importante come una fusione, un nuovo sistema o un nuovo responsabile della gestione degli incidenti.
Che cos'è un ransomware tabletop?
Una simulazione di attacco ransomware è un'esercitazione basata sulla discussione che mette in pratica le decisioni che i leader prendono durante un attacco ransomware, senza intervenire su sistemi reali.
Questo post contiene informazioni di carattere generale e non costituisce consulenza legale. Per decisioni relative al vostro specifico ambiente di lavoro, rivolgetevi a un avvocato qualificato o all'autorità di regolamentazione.
