Disemak terakhir pada 4 November 2026 berdasarkan sumber yang dipautkan dalam siaran ini.
Lembaga bermesyuarat pada hari Khamis, dan pengerusi mempunyai satu soalan untuk CISO: "Jika kita terjejas oleh ransomware esok, siapa yang memutuskan apa, dan adakah kita telah mempraktikkannya?" Alat-alat itu penting, tetapi jawapannya bergantung pada tadbir urus, latihan dan kakitangan yang melaporkan dengan pantas. Itulah yang perlu diliputi oleh latihan keselamatan siber untuk eksekutif. NIST menegaskan perkara itu dalam Rangka Kerja Keselamatan Siber 2.0, yang menambah fungsi keenam, Pemerintah, meliputi peranan, tanggungjawab dan kuasa, dasar dan pengawasan strategi keselamatan siber.
Senarai ini memberikan CISO kursus untuk menjalankan program tersebut. Anda mendapat 10 kursus sedia ada dalam 3 kumpulan, apa yang setiap satunya perlu diperbaiki dan cara melancarkannya. Setiap kumpulan diakhiri dengan Pilih kamiPerkara-perkara perundangan tersebut menerangkan peraturan persekutuan AS, jadi gunakan ini sebagai sukatan pelajaran, bukan keputusan.
Sekilas pandang ke semua 10 kursus
| Jenis Sajian | Apa yang terkandung di dalamnya | Panjang | Undang-undang di sebaliknya? |
|---|---|---|---|
| Tadbir urus risiko siber untuk pengurus dan lembaga pengarah | Lima soalan lembaga, selera risiko dan keputusan krisis | 40 min | Tidak |
| Tadbir urus IT, seni bina perusahaan dan audit IT: COBIT dan TOGAF | Objektif tadbir urus, kaedah seni bina dan perancangan audit | 45 min | Tidak |
| ISO/IEC 27001 dan ISMS | Dasar amalan, pengecualian dan perbincangan dengan juruaudit | 40 min | Tidak |
| Meja ransomware untuk pengurus | Jam pertama, siapa yang memutuskan dan siapa yang bercakap, membuat sandaran | 60 min | Tidak |
| Kesedaran ancaman orang dalam | Petunjuk risiko, kaedah pengambilan pekerja dan pelaporan | 30 min | Ya (kontraktor yang diluluskan oleh AS) |
| Keperluan kesedaran keselamatan | Peringkat-peringkat serangan dan tabiat teras | 35 min | Ya (institusi kewangan yang dilindungi AS) |
| Pancingan data & kejuruteraan sosial | Bendera merah, pengesahan dan pelaporan | 30 min | Tidak |
| Kata laluan, kunci laluan dan pengesahan berbilang faktor | Daftar masuk selamat, MFA, kunci laluan dan pemulihan | 30 min | Tidak |
| Keselamatan AI untuk semua orang | Shadow AI, suntikan segera dan output yang dimanipulasi | 30 min | Tidak |
| Kejuruteraan sosial, penipuan dan deepfake | Penipuan telefon, pembayaran dan penyamaran | 35 min | Tidak |
Dua kursus berada di bawah peraturan persekutuan AS, dan hanya untuk sesetengah organisasi. Di bawah peraturan NISPOM, kontraktor pertahanan yang diluluskan mesti memberi pekerja yang baru diluluskan latihan kesedaran ancaman orang dalam sebelum memberikan akses kepada maklumat sulit dan mengesahkan penyiapan awal dan tahunan. Peraturan Perlindungan FTC menyatakan institusi kewangan yang dilindungi mesti menyediakan latihan kesedaran keselamatan kepada kakitangan merekaKedua-duanya tidak menetapkan hala tuju untuk orang lain.
Tadbir urus dan rangka kerja
Tadbir urus risiko siber untuk pengurus dan lembaga pengarah
Kursus 40 minit ini membincangkan risiko siber sebagai risiko perniagaan. Ia merangkumi lima soalan untuk ditanya tentang organisasi anda, selera risiko dan papan pemuka ringkas, bahagian kelabu pembayaran, penyataan dan pertukaran, dari mana datangnya tugas, dan tindakan kepimpinan yang perlu diambil seterusnya. CISO boleh menjalankannya bersama pasukan kepimpinan sebelum kitaran lembaga. Soalan "papan pemuka menunjukkan ratusan langkah" berfungsi sebagai slaid Pilih Jawapan dan memulakan hujah yang betul. Ahli lembaga mendapat senarai mereka sendiri dalam panduan latihan lembaga pengarah kami.
Tadbir urus IT, seni bina perusahaan dan rangka kerja audit IT: COBIT dan TOGAF
Kursus selama 45 minit ini dimulakan dengan "sistem yang tiada siapa yang bertanggungjawab", kemudian merangkumi mengapa tadbir urus IT penting untuk nilai, risiko dan sumber, objektif tadbir urus berbanding pengurusan, kaedah pembangunan seni bina, model kematangan dan perancangan audit IT dengan laporan kepada kepimpinan. Ia memberikan pengurus IT yang melapor kepada CISO kerangka bersama. Aktiviti penyusunan "tadbir urus atau pengurusan?" membuat pusingan Pilih Jawapan yang pantas.
ISO/IEC 27001 dan sistem pengurusan keselamatan maklumat
CISO biasanya memiliki ISMS, dan setiap pekerja adalah sebahagian daripadanya. Kursus selama 40 minit ini menerangkan apa itu ISMS, bagaimana dasar menjadi amalan, bagaimana pengecualian dan kelemahan dikendalikan dan cara bercakap dengan juruaudit. Lancarkannya sebelum audit pensijilan atau pengawasan supaya kakitangan dapat menjawab soalan dengan bukti. Slaid Terbuka tentang "apa yang akan anda tunjukkan kepada juruaudit?" mendedahkan jurang lebih awal.
Pilihan kami: Tadbir urus risiko siber untuk pengurus dan lembaga pengarah. Ia mengubah fungsi Tadbir Urus NIST kepada lima soalan yang boleh dijawab oleh pasukan kepimpinan, yang merupakan perbualan yang paling diperlukan oleh CISO terlebih dahulu.
Kesediaan insiden dan risiko orang dalam
Meja ransomware untuk pengurus
Kursus 60 minit ini terdiri daripada tiga bahagian: jam pertama, keputusan dan komunikasi, serta sandaran dan pembaikan. Pengurus berlatih siapa yang mengasingkan mesin, siapa yang bercakap dengan pihak media dan siapa yang memutuskan tentang wang tebusan, yang dijawab oleh kursus ini sebagai kepimpinan dengan nasihat undang-undang. Ia diakhiri dengan semakan akhir 7 soalan. Jalankan secara langsung dengan nama sebenar ketua insiden dan ketua komunikasi anda. Untuk penganalisis yang menjalankan rancangan tersebut, lihat senarai latihan penganalisis SOC kami.
Kesedaran ancaman orang dalam
Program ancaman orang dalam sering kali berada di bawah tanggungjawab CISO, daripada pengesanan hinggalah tindak balas. Kursus selama 30 minit ini merangkumi sebab pengesanan penting, petunjuk tingkah laku, teknikal dan kewangan, bagaimana pihak lawan merekrut orang dalam yang dipercayai, apa yang perlu dilakukan dan tidak perlu dilakukan, dan di mana perlu melaporkan. Ia diakhiri dengan semakan akhir 10 soalan pada 80% untuk lulus. Bagi kontraktor AS yang diluluskan, ia merupakan cara sedia ada untuk menyampaikan latihan yang diperlukan oleh peraturan NISPOM di atas, walaupun peraturan tersebut tidak menamakan sebarang kursus.
Pilihan kami: Meja ransomware untuk pengurus. Rancangan yang tidak pernah diulang-ulang oleh sesiapa pun gagal dalam sejam pertama, dan meja ini membuatkan para pemimpin membuat keputusan sebelum tekanan menjadi nyata.
Tabiat keselamatan kakitangan dan risiko AI
Keperluan kesedaran keselamatan
Ini merupakan program kesedaran asas yang dipertanggungjawabkan oleh CISO. Kursus selama 35 minit ini merangkumi sebab orang ramai menjadi sasaran, anatomi serangan, tanda amaran, cara melindungi diri anda dan cara bertindak balas serta melaporkan, dengan semakan akhir 12 soalan pada tahap 80% untuk lulus. Bagi institusi kewangan yang dilindungi, ia merupakan cara sedia ada untuk memenuhi keperluan latihan kesedaran keselamatan Peraturan Perlindungan FTC, walaupun peraturan tersebut tidak menamakan sebarang kursus.
Pancingan data & kejuruteraan sosial
Daya tahan pancingan data merupakan metrik CISO yang biasa. Kursus selama 30 minit ini menerangkan cara serangan dibina, tanda amaran, cara melindungi diri anda dan cara melaporkan, dengan semakan akhir 12 soalan pada 80% untuk lulus. Padankannya dengan butang pelaporan anda supaya kursus dan metrik sepadan.
Kata laluan, kunci laluan dan pengesahan berbilang faktor untuk kakitangan
Pelancaran kunci laluan dan MFA merupakan keputusan program dan kakitangan perlu tahu sebabnya. Kursus 30 minit ini merangkumi sebab akaun menjadi sasaran, log masuk yang kukuh dan unik, berbilang faktor dan kunci laluan, halaman log masuk palsu dan bahagian kelabu perkongsian, pintasan dan pemulihan. Lancarkannya pada minggu kaedah log masuk baharu dilancarkan.
Keselamatan AI untuk semua orang: AI bayangan, suntikan segera dan output yang dimanipulasi
Dasar keselamatan AI untuk shadow AI dan suntikan segera semakin tertakluk kepada CISO. Kursus 30 minit ini merangkumi shadow AI dan chatbot yang terjejas, suntikan segera dan kandungan yang diracuni, arahan tersembunyi dalam PDF dan e-mel, sambungan AI percuma dan cara meminta alat yang diluluskan atau melaporkan insiden. Word Cloud tentang "alat AI yang manakah anda gunakan di tempat kerja?" menunjukkan shadow AI yang anda tidak tahu.
Kejuruteraan sosial, penipuan dan deepfake: penipuan telefon, pembayaran dan penyamaran
Penipuan penyamaran dan penipuan deepfake adalah perkara yang wajar dalam setiap taklimat ancaman eksekutif, kerana nama dan suara eksekutif adalah apa yang ditiru oleh penyerang. Kursus selama 35 minit ini mengikuti permintaan yang meyakinkan, merangkumi taktik, pengesahan perubahan pembayaran, suara dan video palsu, dan mengapa kekananan dan kerahsiaan adalah tekanan, bukan bukti. Jalankan dengan kewangan dan pembantu eksekutif terlebih dahulu.
Pilihan kami: Keselamatan AI untuk semua orang. Kakitangan sering menggunakan alatan AI lebih pantas daripada yang boleh diikuti oleh dasar, dan kursus ini memberi mereka gelung permintaan, penggunaan, semak dan laporan yang mudah.
Cara melancarkan rancangan itu
Mulakan dengan tadbir urus. CSF 2.0 NIST meletakkan Tadbir pertama: eksekutif menetapkan jangkaan terhadap selera risiko, akauntabiliti dan sumber, dan program selebihnya menyusul daripada mereka.
- Suku tahun ini, untuk para pemimpin: tadbir urus risiko siber, kemudian meja ransomware dengan orang yang dinamakan dalam pelan insiden anda.
- Bagi setiap pekerja, semasa onboarding: keperluan kesedaran keselamatan, pancingan data dan kata laluan, kunci laluan dan MFA.
- Untuk pengurus IT dan keselamatan: COBIT dan TOGAF, dan ISO 27001 sebelum audit anda yang seterusnya.
- Setiap tahun: jalankan semula bahagian atas meja, kuiz ulangkaji untuk setiap kursus dan kursus keselamatan AI setiap kali alat AI baharu dilancarkan.
- Apabila ia terpakai: Kontraktor pertahanan AS yang telah dibersihkan memberikan latihan ancaman orang dalam sebelum mengakses maklumat sulit dan setiap tahun selepasnya; institusi kewangan yang dilindungi memastikan latihan kesedaran keselamatan terkini seperti yang diterangkan oleh Peraturan Perlindungan FTC. Tanya peguam anda apa lagi yang terpakai di negara atau negeri anda.
Cara-cara untuk menjalankan kursus-kursus ini AhaSlides
Anda boleh membina mana-mana daripada ini sebagai kursus kendiri dengan AhaSlides pencipta kursus, jalankannya sebagai dek sesi Soal Jawab langsung atau kedua-duanya, dengan tinjauan pasca kursus untuk melihat apa yang berubah.
- Pilih Jawapan: di atas meja, tunjukkan nota tebusan dan tanya siapa yang menentukan langkah seterusnya.
- Awan Perkataan: tanya pemimpin "Apakah yang paling membimbangkan anda tentang insiden siber?" dan bandingkannya dengan daftar risiko anda.
- Skala Penilaian: sebelum dan selepas, tanya "Seberapa bersediakah pelan insiden kita?" dari 1 hingga 5.
- Terbuka Berakhir: kumpulkan soalan tanpa nama untuk lembaga pada akhir sesi langsung.
Soalan Lazim
Apakah latihan yang diperlukan oleh CISO?
CISO memerlukan risiko dan tadbir urus, kepimpinan tindak balas insiden, pengetahuan tentang peraturan yang terpakai dan kemahiran untuk memberi taklimat kepada lembaga pengarah. Kursus di atas merangkumi program yang dijalankan oleh CISO; pensijilan merangkumi kelayakan peribadi.
Apakah pensijilan yang dimiliki oleh CISO?
Kursus yang biasa termasuk CISSP, CISM dan EC-Council CCISO. Tiada satu pun daripada kursus di atas yang merupakan pensijilan.
Berapa kerapkah pemimpin perlu menjalankan latihan insiden?
Sekurang-kurangnya sekali setahun merupakan garis dasar yang munasabah, dan sekali lagi selepas perubahan besar seperti penggabungan, sistem baharu atau petunjuk insiden baharu.
Apakah itu permukaan meja ransomware?
Meja ransomware ialah latihan berasaskan perbincangan yang melatih keputusan yang dibuat oleh pemimpin semasa serangan ransomware, tanpa menyentuh sistem langsung.
Catatan ini adalah maklumat umum, bukan nasihat undang-undang. Untuk keputusan tentang tempat kerja anda sendiri, berbincanglah dengan peguam yang berkelayakan atau pengawal selia.
