Paskutinį kartą peržiūrėta 2026 m. lapkričio 4 d., remiantis šiame įraše pateiktais šaltiniais.
Valdyba susitinka ketvirtadienį, ir pirmininkas turi vieną klausimą CISO: „Jei rytoj mus užpultų išpirkos reikalaujanti programinė įranga, kas ką nuspręstų ir ar mes tai praktikavome?“ Priemonės svarbios, tačiau atsakymas priklauso nuo valdymo, pratybų ir darbuotojų, kurie greitai teikia ataskaitas. Būtent tai turi apimti vadovų kibernetinio saugumo mokymai. NIST tai iškėlė savo kibernetinio saugumo sistemoje 2.0, kurioje buvo pridėta šeštoji funkcija, Valdymas, apimantis vaidmenis, atsakomybę ir įgaliojimus, politiką ir kibernetinio saugumo strategijos priežiūrą.
Šiame sąraše informacijos saugumo vadovui pateikiami kursai, reikalingi programai vykdyti. Gausite 10 paruoštų kursų, suskirstytų į 3 grupes, ką kiekvienas iš jų išsprendžia ir kaip jį įdiegti. Kiekviena grupė baigiama… Mūsų pasirinkimasTeisiniai punktai apibūdina JAV federalines taisykles, todėl naudokite tai kaip mokymo programą, o ne kaip nutarimą.
Visi 10 kursai vienu žvilgsniu
| Kursas | Ką jis apima | Ilgis | Įstatymas slypi už to? |
|---|---|---|---|
| Kibernetinės rizikos valdymas vadovams ir valdyboms | Penki valdybos klausimai, rizikos toleravimas ir sprendimai dėl krizės | 40 min | Ne |
| IT valdymas, įmonės architektūra ir IT auditas: COBIT ir TOGAF | Valdymo tikslai, architektūros metodas ir audito planavimas | 45 min | Ne |
| ISO/IEC 27001 ir ISMS | Praktinė politika, išimtys ir pokalbis su auditoriumi | 40 min | Ne |
| Išpirkos reikalaujančių programų lentelė vadovams | Pirmoji valanda, kas sprendžia, o kas kalba, atsarginiai | 60 min | Ne |
| Vidinės grėsmės suvokimas | Rizikos rodikliai, įdarbinimo metodai ir ataskaitų teikimas | 30 min | Taip (JAV patvirtinti rangovai) |
| Svarbiausi saugumo suvokimo aspektai | Atakos etapai ir pagrindiniai įpročiai | 35 min | Taip (JAV finansinės institucijos) |
| Sukčiavimas apsimetant ir socialinė inžinerija | Pavojaus signalai, tikrinimas ir ataskaitų teikimas | 30 min | Ne |
| Slaptažodžiai, prieigos raktai ir daugiafaktorinis autentifikavimas | Saugūs prisijungimai, daugiafaktorinis autentifikavimas, prieigos raktai ir atkūrimas | 30 min | Ne |
| Dirbtinio intelekto saugumas visiems | Šešėlinis DI, greita injekcija ir manipuliuojami rezultatai | 30 min | Ne |
| Socialinė inžinerija, sukčiavimas ir giliosios klastotės | Telefoniniai, mokėjimų ir apsimetinėjimo sukčiai | 35 min | Ne |
Du kursai numatyti JAV federalinėje taisyklėje ir tik kai kurioms organizacijoms. Pagal NISPOM taisyklę, patikrintus gynybos rangovus, jie privalo suteikti patikrinimus naujai patikrintiems darbuotojams. prieš suteikiant prieigą prie įslaptintos informacijos, atliekami mokymai apie vidinių grėsmių suvokimą ir patvirtinti pradinį bei metinį užpildymą. FTC apsaugos taisyklėje teigiama, kad taikomos finansų įstaigos privalo pateikti saugumo suvokimo mokymai jų darbuotojamsNei vienas nenustato kurso visiems kitiems.
Valdymas ir sistemos
Kibernetinės rizikos valdymas vadovams ir valdyboms
Šie 40 minučių trukmės kursai kibernetinę riziką traktuoja kaip verslo riziką. Juose aptariami penki klausimai, kuriuos reikia užduoti apie jūsų organizaciją, rizikos toleranciją ir trumpa ataskaita, pilkosios mokėjimo, informavimo ir kompromisų sritys, iš kur kyla pareigos, ir tolesni vadovybės veiksmai. CISO gali jį surengti su vadovybės komanda prieš valdybos ciklą. Klausimas „informacijos suvestinėje rodomi šimtai priemonių“ veikia kaip skaidrė „Pasirinkite atsakymą“ ir pradeda teisingą argumentą. Valdybos nariai gauna savo sąrašą. mūsų direktorių valdybos mokymo vadovas.
IT valdymas, įmonės architektūra ir IT audito sistemos: COBIT ir TOGAF
Šie 45 minučių trukmės kursai prasideda žodžiais „sistema, už kurią niekas nebuvo atsakingas“, tada aptariama, kodėl IT valdymas yra svarbus vertės, rizikos ir išteklių požiūriu, valdymo ir vadovybės tikslų skirtumai, architektūros kūrimo metodas, brandos modeliai ir IT audito planavimas su ataskaita vadovybei. Tai suteikia IT vadovams, kurie atsiskaito CISO, bendrą sistemą. Rūšiavimo užduotis „valdymas ar vadovavimas?“ leidžia greitai pasirinkti atsakymą.
ISO/IEC 27001 ir informacijos saugumo valdymo sistema
Paprastai CISO yra ISMS savininkas, ir kiekvienas darbuotojas yra jo dalis. Šiuose 40 minučių trukmės kursuose paaiškinama, kas yra ISMS, kaip politika tampa praktika, kaip tvarkomos išimtys ir trūkumai ir kaip kalbėtis su auditoriumi. Kursą reikia pradėti prieš sertifikavimo ar priežiūros auditą, kad darbuotojai galėtų atsakyti į klausimus pateikdami įrodymus. Atvira skaidrė „ką parodytumėte auditoriui?“ anksti atskleidžia spragas.
Mūsų pasirinkimas: kibernetinės rizikos valdymas vadovams ir valdyboms. Tai NIST valdymo funkciją paverčia penkiais klausimais, į kuriuos gali atsakyti vadovybės komanda, ir tai yra pokalbis, į kurį daugumai CISO reikia pirmiausiai atsakyti.
Pasirengimas incidentams ir vidinė rizika
Išpirkos reikalaujančių programų lentelė vadovams
Šie 60 minučių trukmės kursai yra sudaryti iš trijų dalių: pirmosios valandos, sprendimų priėmimo ir komunikacijos bei atsarginių kopijų kūrimo ir taisymų. Vadovai praktikuojasi, kas izoliuoja įrenginius, kas bendrauja su spauda ir kas priima sprendimus dėl išpirkos, į kuriuos kurso metu vadovybė atsako teikdama teisines konsultacijas. Kursas baigiasi 7 klausimų galutiniu patikrinimu. Kursą praleiskite tiesiogiai su tikraisiais incidento vadovo ir komunikacijos vadovo vardais. Informacijos apie analitikus, kurie vykdo planą, ieškokite čia. mūsų SOC analitikų mokymų sąrašas.
Vidinės grėsmės suvokimas
Vidinės grėsmės programos dažnai yra įtrauktos į CISO programas, pradedant aptikimu ir baigiant reagavimu. Šiuose 30 minučių trukmės kursuose aptariama, kodėl svarbu aptikti grėsmę, kokie yra elgesio, techniniai ir finansiniai rodikliai, kaip priešininkai verbuoja patikimus vidinius asmenis, ką daryti ir ko nedaryti ir kur pranešti. Kursas baigiasi 10 klausimų galutiniu patikrinimu, kai pasiekiama 80 % balų. JAV rangovams, turintiems patikrinimą, tai yra paruoštas būdas teikti mokymus, kurių reikalaujama pagal minėtą NISPOM taisyklę, nors taisyklėje kursas neįvardytas.
Mūsų pasirinkimas: išpirkos reikalaujančių programų stalviršis vadovams. Niekas nerepetavo plano, kuris žlunga per pirmąją valandą, o ši lentelė priverčia lyderius apsispręsti dar prieš atsirandant realiam spaudimui.
Darbuotojų saugumo įpročiai ir dirbtinio intelekto rizika
Svarbiausi saugumo suvokimo aspektai
Tai yra bazinė informavimo programa, už kurią atsakingas CISO. 35 minučių trukmės kurse aptariama, kodėl žmonės tampa taikiniais, išpuolio anatomija, įspėjamieji ženklai, kaip apsisaugoti ir kaip reaguoti bei pranešti apie tai. Baigiamasis 12 klausimų kursas, kurį reikia išlaikyti, kai išlaikoma 80 %. Finansų įstaigoms, kurioms taikoma ši programa, tai yra paruoštas būdas įvykdyti FTC apsaugos priemonių taisyklės saugumo informavimo mokymo reikalavimą, nors taisyklėje kursas neįvardytas.
Sukčiavimas apsimetant ir socialinė inžinerija
Atsparumas sukčiavimo atakoms yra įprastas CISO rodiklis. Šiuose 30 minučių trukmės kursuose paaiškinama, kaip kuriamos atakos, įspėjamieji ženklai, kaip apsisaugoti ir kaip pranešti apie atakas. Baigiamajame kurse pateikiamas 12 klausimų patikrinimas, kurio metu reikia išlaikyti 80 % egzamino. Suderinkite jį su savo ataskaitų teikimo mygtuku, kad kursas ir rodiklis sutaptų.
Slaptažodžiai, prieigos raktai ir daugiafaktorinis autentifikavimas darbuotojams
Prieigos raktų ir daugiafaktorinio autentifikavimo (MFA) diegimas yra programos sprendimas, ir darbuotojai turi žinoti, kodėl. Šiuose 30 minučių trukmės kursuose aptariama, kodėl paskyros yra taikinys, patikimi ir unikalūs prisijungimai, daugiafaktoriai prisijungimo raktai, netikri prisijungimo puslapiai ir pilkosios bendrinimo zonos, spartieji klavišai ir atkūrimas. Pradėkite juos tą savaitę, kai bus paleistas naujas prisijungimo metodas.
Dirbtinio intelekto saugumas visiems: šešėlinis dirbtinis intelektas, greitas įterpimas ir manipuliuojami rezultatai
Šešėlinio dirbtinio intelekto ir greito įskiepijimo DI saugumo politika vis dažniau tenka CISO. Šiuose 30 minučių kursuose aptariami šešėlinis dirbtinis intelektas ir pažeistas pokalbių robotas, greitas įskiepijimas ir užkrėstas turinys, paslėptos instrukcijos PDF failuose ir el. laiškuose, nemokami dirbtinio intelekto plėtiniai ir kaip prašyti patvirtinto įrankio arba pranešti apie incidentą. Žodžių debesis su tema „kokius dirbtinio intelekto įrankius naudojate darbe?“ rodo šešėlinį dirbtinį intelektą, apie kurį nežinojote.
Socialinė inžinerija, sukčiavimas ir giliosios klastotės: telefono, mokėjimo ir apsimetinėjimo sukčiavimas
Giluminio sukčiavimo ir apsimetinėjimo sukčiavimo apžvalgos yra kiekvieno vadovų grėsmių instruktažo dalis, nes užpuolikai imituoja vadovų vardus ir balsus. Šie 35 minučių kursai vyksta po įtikinamo prašymo, apima taktiką, mokėjimo pakeitimų tikrinimą, suklastotą balsą ir vaizdo įrašą bei kodėl darbo stažas ir slaptumas yra spaudimas, o ne įrodymas. Pirmiausia praleiskite jį su finansų skyriumi ir vadovų padėjėjais.
Mūsų pasirinkimas: dirbtinio intelekto saugumas visiems. Darbuotojai dažnai pritaiko dirbtinio intelekto įrankius greičiau, nei gali laikytis politika, todėl šie kursai suteikia jiems paprastą prašymų, naudojimo, tikrinimo ir ataskaitų teikimo ciklą.
Kaip įgyvendinti planą
Pradėkime nuo valdymo. NIST CSF 2.0 pateikia Vyriausybė Pirma: vadovai nustato lūkesčius dėl rizikos apetito, atskaitomybės ir išteklių, o likusi programos dalis kyla iš jų.
- Šį ketvirtį vadovams: kibernetinės rizikos valdymas, tada išpirkos reikalaujančių programų valdymo stalas su jūsų incidentų plane nurodytais asmenimis.
- Kiekvienam darbuotojui, įdarbinimo metu: saugumo suvokimo pagrindai, sukčiavimas sukčiavimu ir slaptažodžiai, prieigos raktai ir daugiafaktorinis autentifikavimas.
- IT ir saugumo vadovams: COBIT ir TOGAF bei ISO 27001 prieš kitą auditą.
- Kiekvienais metais: Pakartotinai atlikite stalo testą, kartojamąją viktoriną kiekviename kurse ir DI saugumo kursą kaskart, kai įdiegiama nauja DI priemonė.
- Kai taikoma: Patikrinti JAV gynybos rangovai prieš prieigą prie įslaptintos informacijos ir kiekvienais metais po to rengia mokymus apie vidines grėsmes; įtrauktos finansų įstaigos nuolat atnaujina saugumo suvokimo mokymus, kaip aprašyta FTC apsaugos taisyklėse. Paklauskite savo advokato, kas dar taikoma jūsų šalyje ar valstijoje.
Šių kursų vedimo būdai AhaSlides
Bet kurį iš šių kursų galite susikurti kaip savarankiško tempo kursą su AhaSlides kurso kūrėjas, paleiskite juos kaip tiesioginę klausimų ir atsakymų sesiją arba abu, su apklausa po kurso, kad pamatytumėte, kas pasikeitė.
- Pasirinkite atsakymą: ant stalo parodykite išpirkos raštelį ir paklauskite, kas nuspręs dėl tolesnių veiksmų.
- Žodžių debesis: paklauskite vadovų: „Kas jus labiausiai neramina kibernetinio incidento metu?“ ir palyginkite tai su savo rizikos registru.
- Įvertinimo skalė: prieš ir po to, užduokite klausimą nuo 1 iki 5: „Kiek parengtas mūsų incidento planas?“.
- Atviras: tiesioginės sesijos pabaigoje surinkti anoniminius klausimus valdybai.
DUK
Kokių mokymų reikia CISO?
CISO darbuotojui reikia rizikos ir valdymo įgūdžių, lyderystės incidentų reagavimo srityje, taikomų taisyklių išmanymo ir įgūdžių informuoti valdybą. Aukščiau išvardyti kursai apima CISO vykdomą programą; sertifikatai apima asmeninę kvalifikaciją.
Kokius sertifikatus turi CISO?
Įprasti kursai yra CISSP, CISM ir EB Tarybos CCISO. Nė vienas iš aukščiau išvardytų kursų nėra sertifikavimas.
Kaip dažnai vadovai turėtų rengti incidentų pratybas?
Bent kartą per metus yra protinga pradėti, taip pat ir po didelių pokyčių, tokių kaip susijungimas, nauja sistema ar naujas incidento vadovas.
Kas yra išpirkos reikalaujančios programinės įrangos stalviršis?
Išpirkos reikalaujančios programinės įrangos atakos stalo diskusija – tai diskusijomis paremta užduotis, kurios metu, neliečiant veikiančių sistemų, repetuojami lyderių sprendimai išpirkos reikalaujančios programinės įrangos atakos metu.
Šis įrašas yra bendro pobūdžio informacija, o ne teisinė konsultacija. Norėdami priimti sprendimą dėl savo darbovietės, pasitarkite su kvalifikuotu teisininku arba reguliavimo institucija.
