CISO가 보안, AI 및 사고 대응을 이끌기 위해 반드시 이수해야 할 10가지 과정

본 게시물에 링크된 자료를 기준으로 2026년 11월 4일에 최종 검토되었습니다.

목요일에 이사회가 열리는데, 의장은 CISO에게 한 가지 질문을 던집니다. "만약 내일 랜섬웨어 공격을 받는다면, 누가 어떤 조치를 취할 것이며, 우리는 그에 대한 훈련을 실시했습니까?" 도구도 중요하지만, 해답은 거버넌스, 훈련, 그리고 신속하게 보고하는 직원들에게 달려 있습니다. 이것이 바로 임원을 위한 사이버 보안 교육에서 다뤄야 할 내용입니다. NIST는 사이버 보안 프레임워크 2.0에서 이 점을 강조하며 여섯 번째 기능을 추가했습니다. 관리에는 역할, 책임 및 권한, 정책 및 사이버 보안 전략 감독이 포함됩니다..

이 목록은 CISO가 해당 프로그램을 운영하는 데 필요한 교육 과정을 제공합니다. 3개 그룹으로 나뉜 10개의 기성 교육 과정과 각 과정이 해결하는 문제, 그리고 실행 방법을 안내합니다. 각 그룹은 최종적으로 결론에 도달합니다. 우리의 선택이 법률적 요점은 미국 연방 규정을 설명하는 것이므로 판결문이 아닌 강의 계획서로 활용하십시오.

10개 코스 전체를 한눈에 보기

미국 연방 규정에는 두 가지 교육 과정이 있으며, 특정 조직에만 적용됩니다. NISPOM 규정에 따라 보안 승인을 받은 방위 산업체는 새로 보안 승인을 받은 직원에게 해당 교육을 제공해야 합니다. 기밀 정보 접근 권한 부여 전 내부 위협 인식 교육 실시 또한 최초 및 연간 완료 여부를 검증해야 합니다. FTC 보호 조치 규칙에 따르면 대상 금융 기관은 다음을 제공해야 합니다. 직원들을 대상으로 보안 인식 교육을 실시합니다.둘 다 다른 모든 사람을 위한 방향을 제시하지는 않습니다.

거버넌스와 프레임워크

경영진과 이사회를 위한 사이버 위험 관리

이 40분 과정은 사이버 위험을 비즈니스 위험으로 다룹니다. 조직의 위험 감수 수준과 간략한 대시보드에 대한 다섯 가지 질문, 보고 및 절충의 모호한 영역, 책임 소재, 그리고 향후 취해야 할 리더십 조치에 대해 설명합니다. CISO는 이사회 회의 전에 경영진과 함께 이 과정을 진행할 수 있습니다. "대시보드에는 수백 가지 측정 항목이 표시됩니다"라는 질문은 답변 선택 슬라이드로 구성되어 적절한 논의를 시작하는 데 도움이 됩니다. 이사회 구성원들은 각자 자신만의 목록을 받게 됩니다. 이사회 임원 교육 가이드.

이 템플릿을 사용하세요

IT 거버넌스, 엔터프라이즈 아키텍처 및 IT 감사 프레임워크: COBIT 및 TOGAF

이 45분 과정은 "책임자가 없는 시스템"이라는 주제로 시작하여 IT 거버넌스가 가치, 위험 및 자원에 미치는 영향, 거버넌스와 관리 목표의 차이점, 아키텍처 개발 방법론, 성숙도 모델, 그리고 경영진에게 보고하는 IT 감사 계획 수립 방법 등을 다룹니다. 이 과정은 CISO에게 보고하는 IT 관리자들에게 공통된 관점을 제공합니다. 마지막으로 "거버넌스인가, 관리인가?"라는 질문에 대한 답을 빠르게 고르는 활동을 통해 효율적인 학습을 돕습니다.

이 템플릿을 사용하세요

ISO/IEC 27001 및 정보 보안 관리 시스템

일반적으로 CISO가 ISMS(정보 보안 관리 시스템)를 책임지며, 모든 직원이 그 일원입니다. 이 40분 과정은 ISMS란 무엇인지, 정책이 어떻게 실행으로 이어지는지, 예외 사항과 취약점은 어떻게 처리하는지, 그리고 감사관과 어떻게 소통해야 하는지를 설명합니다. 인증 심사나 사후 심사 전에 이 과정을 실시하면 직원들이 근거를 바탕으로 질문에 답변할 수 있습니다. "감사관에게 무엇을 보여주시겠습니까?"라는 개방형 질문 슬라이드를 통해 부족한 부분을 조기에 파악할 수 있습니다.

이 템플릿을 사용하세요

추천 콘텐츠: 경영진과 이사회를 위한 사이버 위험 관리. 이는 NIST의 Govern 기능을 경영진이 답변할 수 있는 5가지 질문으로 변환한 것으로, 대부분의 CISO가 먼저 필요로 하는 대화 내용입니다.

사고 대비 및 내부자 위험

관리자를 위한 랜섬웨어 모의고사

이 60분 과정은 세 부분으로 구성된 테이블탑 시뮬레이션입니다. 첫 한 시간은 의사 결정 및 커뮤니케이션, 두 번째 시간은 백업 및 복구에 중점을 둡니다. 관리자는 누가 시스템을 격리하고, 누가 언론에 대응하며, 누가 몸값 협상을 결정하는지 연습합니다. 과정은 법률 자문을 제공하는 리더십 관점에서 이러한 질문에 대한 답변을 제시합니다. 마지막에는 7개의 질문으로 구성된 최종 점검이 있습니다. 실제 인시던트 책임자와 커뮤니케이션 담당자의 이름을 사용하여 실제 상황에서 시뮬레이션을 진행해 보세요. 계획 실행 담당자를 위한 자료는 별도로 제공됩니다. SOC 분석가 교육 목록.

이 템플릿을 사용하세요

내부자 위협 인식

내부자 위협 프로그램은 탐지부터 대응까지 CISO(최고 정보 보안 책임자)가 담당하는 경우가 많습니다. 이 30분 과정은 탐지의 중요성, 행동적, 기술적, 재정적 지표, 공격자가 신뢰하는 내부자를 포섭하는 방법, 해야 할 일과 하지 말아야 할 일, 그리고 보고처에 대해 다룹니다. 마지막에는 10문항으로 구성된 최종 평가를 통해 80% 이상의 점수를 받아야 합격입니다. 보안 승인을 받은 미국 계약업체의 경우, 이 과정은 NISPOM 규정에서 요구하는 교육을 즉시 제공할 수 있는 간편한 방법입니다. 다만, 해당 규정 자체에는 구체적인 교육 과정이 명시되어 있지 않습니다.

이 템플릿을 사용하세요

추천 프로그램: 관리자를 위한 랜섬웨어 모의 훈련. 아무도 연습해보지 않은 계획은 첫 한 시간 만에 실패하고, 이 모의 훈련은 지도자들이 실제 압박이 가해지기 전에 결정을 내리도록 합니다.

직원 보안 습관 및 AI 위험

보안 인식 필수 사항

이는 CISO가 책임져야 할 기본 보안 인식 교육 프로그램입니다. 35분 분량의 이 과정에서는 공격 대상의 이유, 공격의 구조, 위험 신호, 자기 보호 방법, 대응 및 보고 방법 등을 다루며, 12문항으로 구성된 최종 평가에서 80% 이상의 점수를 받아야 합격입니다. 금융 기관의 경우, 이 프로그램은 FTC 보호 조치 규정에서 명시적으로 규정하지 않은 보안 인식 교육 요건을 충족하는 간편한 방법입니다.

이 템플릿을 사용하세요

피싱 및 소셜 엔지니어링

피싱 방어력은 CISO가 중요하게 여기는 핵심 지표입니다. 이 30분 과정은 공격의 구성 방식, 위험 신호, 자기 방어 방법, 그리고 신고 방법을 설명하며, 12문항으로 구성된 최종 평가에서 80% 이상의 점수를 받아야 통과할 수 있습니다. 신고 버튼과 연동하여 교육 과정과 평가 지표를 일치시키세요.

이 템플릿을 사용하세요

직원용 비밀번호, 패스키 및 다단계 인증

패스키 및 다단계 인증(MFA) 도입은 프로그램 차원의 결정 사항이며, 직원들은 그 이유를 알아야 합니다. 이 30분 교육 과정에서는 계정을 대상으로 하는 이유, 강력하고 고유한 로그인 방식, 다단계 인증 및 패스키, 가짜 로그인 페이지, 그리고 공유, 바로가기, 복구와 관련된 모호한 부분들을 다룹니다. 새로운 로그인 방식이 도입되는 주에 이 교육을 실시하세요.

이 템플릿을 사용하세요

모두를 위한 AI 보안: 섀도우 AI, 프롬프트 주입 및 조작된 출력

섀도우 AI 및 프롬프트 주입에 대한 AI 보안 정책은 점점 더 CISO의 책임 범위에 들어섭니다. 이 30분 과정에서는 섀도우 AI와 해킹된 챗봇, 프롬프트 주입 및 악성 콘텐츠, PDF 및 이메일에 숨겨진 지침, 무료 AI 확장 프로그램, 승인된 도구 요청 방법 또는 사고 보고 방법 등을 다룹니다. "직장에서 어떤 AI 도구를 사용하시나요?"라는 질문에 대한 워드 클라우드를 통해 여러분이 미처 알지 못했던 섀도우 AI를 확인할 수 있습니다.

이 템플릿을 사용하세요

사회공학, 사기 및 딥페이크: 전화 사기, 결제 사기 및 신분 도용 사기

딥페이크와 사칭 사기는 모든 임원 위협 브리핑에 포함되어야 합니다. 공격자들이 임원의 이름과 목소리를 모방하기 때문입니다. 이 35분짜리 교육 과정은 설득력 있는 요청을 바탕으로 공격 전술, 급여 변동 사항 검증, 위조된 음성 및 영상, 그리고 직급과 기밀 유지가 증거가 아닌 압력의 수단인 이유를 다룹니다. 재무팀과 임원 비서진을 대상으로 먼저 진행해 보세요.

이 템플릿을 사용하세요

우리의 추천: 모두를 위한 AI 보안. 직원들은 정책이 따라잡기보다 AI 도구를 더 빠르게 도입하는 경우가 많은데, 이 교육 과정은 직원들에게 간단한 요청, 사용, 점검 및 보고 과정을 제공합니다.

계획을 실행하는 방법

거버넌스부터 시작하세요. NIST의 CSF 2.0은 다음과 같이 제시합니다. 정부 첫째, 경영진은 위험 감수 능력, 책임 범위 및 자원에 대한 기대치를 설정하고, 나머지 프로그램은 이러한 기대치를 바탕으로 진행됩니다.

1. 이번 분기 리더들을 위한 안내: 사이버 위험 관리, 그리고 사고 대응 계획에 명시된 담당자들과 함께하는 랜섬웨어 모의 훈련.
2. 모든 신입 직원에게 온보딩 과정에서 다음 사항을 권장합니다. 보안 인식 필수 요소, 피싱, 비밀번호, 패스키 및 다단계 인증(MFA)에 대해 알아봅니다.
3. IT 및 보안 관리자 여러분께: 다음 심사 전에 COBIT, TOGAF, ISO 27001을 준비하세요.
4. 매년: 새로운 AI 도구가 출시될 때마다 모의 훈련, 각 과정에 대한 복습 퀴즈, 그리고 AI 보안 과정을 다시 실행합니다.
5. 해당되는 경우: 미국 국방부 산하 계약업체는 기밀 정보 접근 전과 이후 매년 내부 위협 교육을 제공해야 합니다. 금융 기관은 FTC 보호 조치 규칙에 따라 보안 인식 교육을 최신 상태로 유지해야 합니다. 귀하의 국가 또는 주에서 적용되는 다른 규정이 있는지 변호사와 상담하십시오.

이러한 강좌를 운영하는 방법 AhaSlides

이 모든 것을 자기 주도 학습 과정으로 만들 수 있습니다. AhaSlides 강좌 제작자는 실시간 질의응답 세션 자료로 강좌를 진행하거나, 또는 두 가지 모두를 활용하여 강좌 후 설문조사를 통해 어떤 점이 달라졌는지 확인할 수 있습니다.

1. 답변 선택: 탁자 위에 몸값 요구 편지를 보여주고 다음 단계를 누가 결정할지 물어보세요.
2. 단어 구름: 리더들에게 "사이버 사고에 대해 가장 걱정되는 점은 무엇입니까?"라고 묻고, 그 답변을 위험 등록부와 비교해 보세요.
3. 평가 척도: 사고 발생 전후에 "사고 대응 계획은 얼마나 준비되어 있습니까?"라고 1부터 5까지 점수를 매겨 질문하십시오.
4. 개방형: 실시간 세션이 끝날 때 이사회에 대한 익명 질문을 수집합니다.

FAQ

CISO에게 필요한 교육은 무엇일까요?

CISO는 위험 및 거버넌스, 사고 대응 리더십, 관련 규정에 대한 지식, 그리고 이사회에 보고하는 능력을 갖춰야 합니다. 위의 과정들은 CISO가 수행하는 업무 프로그램을 다루며, 자격증은 개인의 역량을 증명합니다.

CISO는 어떤 자격증을 보유하고 있나요?

일반적인 과정으로는 CISSP, CISM, EC-Council CCISO 등이 있습니다. 하지만 위에 언급된 과정들은 모두 자격증이 아닙니다.

리더는 얼마나 자주 사고 대응 훈련을 실시해야 할까요?

최소한 1년에 한 번은 점검하는 것이 합리적인 기준이며, 합병, 새로운 시스템 도입 또는 새로운 사건 담당자 지정과 같은 주요 변경 사항이 발생한 후에도 다시 한번 점검해야 합니다.

랜섬웨어 테이블탑이란 무엇인가요?

랜섬웨어 모의 훈련은 실제 시스템을 건드리지 않고 랜섬웨어 공격 발생 시 리더가 내리는 결정을 연습하는 토론 기반 훈련입니다.

이 글은 일반적인 정보 제공을 목적으로 하며 법률 자문이 아닙니다. 귀하의 직장과 관련된 결정을 내리시려면 자격을 갖춘 변호사 또는 규제 기관에 문의하십시오.