セキュリティ、AI、インシデント対応をリードするために、すべてのCISOが受講すべき10のコース

最終更新日：2026年11月4日。この記事にリンクされている情報源に基づき確認済み。

取締役会は木曜日に開催され、議長はCISOに1つの質問をします。「明日ランサムウェア攻撃を受けた場合、誰が何を決定し、我々はそれを訓練したのか？」ツールは重要ですが、答えはガバナンス、訓練、そして迅速に報告するスタッフにかかっています。これが、幹部向けのサイバーセキュリティトレーニングでカバーしなければならないことです。NISTは、6番目の機能を追加したサイバーセキュリティフレームワーク2.0でこの点を強調しました。 役割、責任、権限、方針、サイバーセキュリティ戦略の監督を含むガバナンス.

このリストは、CISOがそのプログラムを実行するためのコースを提供します。3つのグループに分かれた10の既成コース、それぞれの修正内容、および展開方法が提供されます。各グループの最後には、 私たちのピック本書で説明されている法的論点は、米国の連邦規則に関するものです。したがって、これは判決ではなく、概要としてご利用ください。

全10コースの概要

2つのコースは米国の連邦規則に基づいており、一部の組織にのみ適用されます。NISPOM規則の下では、機密情報取扱資格を持つ防衛請負業者は、新たに資格を取得した従業員に研修を実施しなければなりません。 機密情報へのアクセスを許可する前に、内部脅威に関する意識向上トレーニングを実施する。 初回および年次完了を検証する。FTCセーフガード規則では、対象となる金融機関は以下を提供する必要があると規定している。 従業員に対するセキュリティ意識向上トレーニングどちらも、他のすべての人に通用する道筋を示すものではない。

ガバナンスとフレームワーク

経営者および取締役会向けのサイバーリスクガバナンス

この40分間のコースでは、サイバーリスクをビジネスリスクとして扱います。組織について尋ねるべき5つの質問、リスク許容度と簡単なダッシュボード、支払い、報告、トレードオフのグレーゾーン、義務の発生源、そして次に取るべきリーダーシップの行動について説明します。CISOは、取締役会サイクルの前にリーダーシップチームとこのコースを実施できます。「ダッシュボードには数百の指標が表示されます」という質問は、選択肢スライドとして機能し、適切な議論のきっかけとなります。取締役会メンバーは、独自のリストを受け取ります。 取締役会向け研修ガイド.

このテンプレートを使用する

ITガバナンス、エンタープライズアーキテクチャ、IT監査フレームワーク：COBITとTOGAF

この45分間のコースは、「誰も責任を負わないシステム」というテーマから始まり、ITガバナンスが価値、リスク、リソースにとってなぜ重要なのか、ガバナンスとマネジメントの目標の違い、アーキテクチャ開発手法、成熟度モデル、経営陣への報告を含むIT監査の計画について解説します。CISOに報告するITマネージャーに共通の枠組みを提供します。「ガバナンスかマネジメントか？」という分類アクティビティは、回答を選択するだけの簡単なラウンドです。

このテンプレートを使用する

ISO/IEC 27001と情報セキュリティマネジメントシステム

通常、ISMSはCISOが管理し、すべての従業員がその一員となります。この40分間のコースでは、ISMSとは何か、ポリシーがどのように実践に移されるか、例外や弱点がどのように処理されるか、監査担当者とどのようにコミュニケーションを取るかを説明します。認証監査や監視監査の前に実施することで、従業員は証拠に基づいて質問に答えることができます。「監査担当者に何を見せるか？」という自由回答形式のスライドは、早期に問題点を明らかにするのに役立ちます。

このテンプレートを使用する

おすすめ書籍：経営者および取締役会向けのサイバーリスクガバナンス。 これは、NISTのガバナンス機能を、経営陣が答えられる5つの質問に落とし込むものであり、ほとんどのCISOが最初に必要とする対話である。

インシデントへの備えと内部リスク

ランサムウェア対策の管理者向けテーブルトップ

この60分間のコースは、3つのパートからなる机上演習です。最初の1時間は意思決定とコミュニケーション、そしてバックアップと修復です。管理者は、誰がマシンを隔離するか、誰が報道機関に対応するか、誰が身代金について決定するかを練習します。コースでは、リーダーシップと法的助言という観点からこれらの質問に答えます。最後に7つの質問による最終確認を行います。インシデントリーダーとコミュニケーション責任者の実名を使って、本番環境で実行してください。計画を実行するアナリストについては、以下を参照してください。 当社のSOCアナリスト研修リスト.

このテンプレートを使用する

内部脅威に対する認識

内部脅威対策プログラムは、検出から対応まで、多くの場合CISO（最高情報セキュリティ責任者）が担当します。この30分間のコースでは、検出が重要な理由、行動、技術、財務上の指標、敵対者が信頼できる内部関係者をどのように勧誘するか、行うべきことと避けるべきこと、そして報告先について説明します。コースの最後には、80%以上の正答率で合格となる10問の最終確認テストがあります。米国の機密情報取扱資格を持つ請負業者にとっては、上記のNISPOM規則で要求されているトレーニングをすぐに提供できる便利な方法ですが、規則にはコース名は明記されていません。

このテンプレートを使用する

おすすめ：管理者向けランサムウェア対策卓上演習。 誰もリハーサルをしていない計画は最初の1時間で失敗する。この机上演習は、リーダーたちが実際のプレッシャーがかかる前に決断を下すことを促す。

従業員のセキュリティ習慣とAIリスク

セキュリティ意識向上の基本

これは、CISOが責任を負うべき基本的なセキュリティ意識向上プログラムです。35分間のコースでは、人々が標的となる理由、攻撃の構造、危険信号、自己防衛方法、対応および報告方法について解説し、最終確認として12問のテストで80%以上の正答率が必要です。対象となる金融機関にとっては、FTCセーフガード規則のセキュリティ意識向上トレーニング要件を満たすための既成の手段となりますが、規則自体には特定のコースは指定されていません。

このテンプレートを使用する

フィッシングとソーシャルエンジニアリング

フィッシング対策の耐性は、CISO（最高情報セキュリティ責任者）が重視する指標の一つです。この30分間のコースでは、攻撃の仕組み、危険信号、防御方法、報告方法について解説し、最終確認として12問のテスト（正答率80%）を実施します。コースと指標を連携させるため、報告ボタンと併せてご活用ください。

このテンプレートを使用する

スタッフ向けのパスワード、パスキー、多要素認証

パスキーと多要素認証の導入はプログラム上の決定事項であり、スタッフはその理由を理解する必要があります。この30分間のコースでは、アカウントがターゲットとなる理由、強力で固有のサインイン方法、多要素認証とパスキー、偽のサインインページ、共有、ショートカット、復旧に関するグレーゾーンについて解説します。新しいサインイン方法が導入される週に受講することをお勧めします。

このテンプレートを使用する

すべての人のためのAIセキュリティ：シャドウAI、プロンプトインジェクション、操作された出力

シャドウAIとプロンプトインジェクションに関するAIセキュリティポリシーは、ますますCISOの責任範囲となっています。この30分のコースでは、シャドウAIと侵害されたチャットボット、プロンプトインジェクションと汚染されたコンテンツ、PDFやメールに隠された指示、無料のAI拡張機能、承認済みツールのリクエスト方法、インシデント報告方法について解説します。「職場で使用しているAIツールは？」という質問に対するワードクラウドでは、あなたが知らなかったシャドウAIが明らかになります。

このテンプレートを使用する

ソーシャルエンジニアリング、詐欺、ディープフェイク：電話、決済、なりすまし詐欺

ディープフェイクやなりすまし詐欺は、あらゆる経営幹部向け脅威ブリーフィングで取り上げるべきテーマです。なぜなら、攻撃者は経営幹部の名前や声を模倣するからです。この35分間のコースでは、説得力のある依頼に基づき、攻撃の手口、支払い変更の検証、偽造された音声や動画、そしてなぜ地位や秘密保持が弱みであって、守備の証拠にはならないのかを解説します。まずは財務部門と秘書に試用してもらいましょう。

このテンプレートを使用する

私たちのおすすめ：すべての人にAIセキュリティを。 職員はしばしば、政策の策定よりも速いペースでAIツールを導入する傾向があるため、このコースでは、申請、使用、確認、報告という一連の流れをシンプルに学ぶことができる。

計画の展開方法

ガバナンスから始めましょう。NISTのCSF 2.0は 支配する まず、経営陣がリスク許容度、責任範囲、リソースに関する期待値を設定し、プログラムの残りの部分はそれに基づいて進められる。

1. 今四半期、リーダーの皆様へ： サイバーリスクガバナンスを実施し、その後、インシデント対応計画に記載されている担当者を招いてランサムウェア対策の机上演習を行う。
2. すべての従業員に対し、入社時に以下のことを実施する。 セキュリティ意識の基本、フィッシング、パスワード、パスキー、多要素認証。
3. ITおよびセキュリティ管理者向け： 次回の監査までに、COBIT、TOGAF、およびISO 27001の要件を満たしておきましょう。
4. 毎年： 新しいAIツールがリリースされるたびに、卓上演習、各コースの復習クイズ、およびAIセキュリティコースを再実施する。
5. 適用される場合: 機密情報へのアクセス権限を持つ米国の防衛関連企業は、アクセス権限を付与される前とその後毎年、内部脅威対策研修を実施しています。対象となる金融機関は、FTC（連邦取引委員会）の安全対策規則に定められているとおり、セキュリティ意識向上研修を最新の状態に維持しています。お住まいの国や州で他にどのような規制が適用されるかについては、担当弁護士にお問い合わせください。

これらのコースを実施する方法 AhaSlides

これらのいずれも、自己ペース学習コースとして構築できます。 AhaSlides コース作成者は、ライブQ&Aセッションの資料として活用したり、両方を組み合わせたりして、コース終了後にアンケートを実施し、何が変わったかを把握することができます。

1. 答えを選んでください: テーブルの上に身代金要求の手紙を置き、次の行動を誰が決めるかを尋ねてください。
2. ワードクラウド： リーダーたちに「サイバーインシデントに関して最も懸念していることは何ですか？」と尋ね、それをリスク登録簿と比較してください。
3. 評価尺度: 前後で、「インシデント対応計画はどの程度準備できていますか？」と1から5の段階で質問してください。
4. 自由回答形式： ライブセッションの最後に、役員会への匿名質問を収集する。

FAQ

CISO（最高情報セキュリティ責任者）にはどのような研修が必要ですか？

CISOには、リスク管理とガバナンス、インシデント対応のリーダーシップ、適用される規則に関する知識、そして取締役会への説明能力が求められます。上記のコースはCISOが運営するプログラムを網羅しており、資格認定は個人の資格を証明するものです。

CISO（最高情報セキュリティ責任者）はどのような資格を持っていますか？

一般的なものとしては、CISSP、CISM、EC-Council CCISOなどがあります。ただし、上記のコースはいずれも資格認定ではありません。

リーダーはどのくらいの頻度でインシデント対応訓練を実施すべきでしょうか？

少なくとも年に一度は実施するのが妥当な目安であり、合併、新システムの導入、新たなインシデント対応責任者の任命といった大きな変更があった後には、再度実施するのが良いでしょう。

ランサムウェアのテーブルトップとは何ですか？

ランサムウェア対策の机上演習とは、実際のシステムに触れることなく、ランサムウェア攻撃発生時にリーダーが下す意思決定をリハーサルする、議論を中心とした演習のことである。

この記事は一般的な情報提供であり、法的助言ではありません。ご自身の職場に関する決定については、資格のある弁護士または規制当局にご相談ください。