Laatst herzien op 4 november 2026 aan de hand van de bronnen waarnaar in dit bericht wordt verwezen.
De raad van bestuur vergadert donderdag en de voorzitter heeft één vraag voor de CISO: "Als we morgen getroffen worden door ransomware, wie beslist dan wat, en hebben we dat geoefend?" De tools zijn belangrijk, maar het antwoord hangt af van governance, oefeningen en medewerkers die snel rapporteren. Dat is wat cybersecuritytraining voor leidinggevenden moet omvatten. NIST benadrukte dit punt in zijn Cybersecurity Framework 2.0, waarin een zesde functie werd toegevoegd. Overheid, met betrekking tot rollen, verantwoordelijkheden en bevoegdheden, beleid en toezicht op de cyberbeveiligingsstrategie..
Deze lijst biedt een CISO de cursussen die nodig zijn om dat programma uit te voeren. Je krijgt 10 kant-en-klare cursussen in 3 groepen, met een beschrijving van wat elke cursus oplost en hoe je ze kunt implementeren. Elke groep eindigt met een Onze keuzeDe juridische punten beschrijven de federale wetgeving van de VS, dus beschouw dit als een leerplan, niet als een bindende uitspraak.
Alle 10 gangen in één oogopslag
| Cursus | Wat het omvat | Lengte | De juridische grondslag hiervoor? |
|---|---|---|---|
| Cyberrisicobeheer voor managers en bestuursleden | Vijf bestuursvragen, risicobereidheid en crisisbeslissingen | 40 min | Nee |
| IT-governance, bedrijfsarchitectuur en IT-audit: COBIT en TOGAF | Bestuursdoelstellingen, architectuurmethode en auditplanning | 45 min | Nee |
| ISO/IEC 27001 en het ISMS | Beleid in de praktijk, uitzonderingen en overleg met een auditor | 40 min | Nee |
| Ransomware-tablet voor managers | Het eerste uur, wie beslist en wie spreekt, back-ups. | 60 min | Nee |
| Bewustzijn van interne dreigingen | Risico-indicatoren, wervingsmethoden en rapportage | 30 min | Ja (door de VS goedgekeurde aannemers) |
| Essentiële aspecten van beveiligingsbewustzijn | De fasen van een aanval en kerngewoonten | 35 min | Ja (financiële instellingen in de VS die onder de regeling vallen) |
| Phishing en social engineering | Waarschuwingssignalen, verificatie en rapportage | 30 min | Nee |
| Wachtwoorden, toegangscodes en multifactorauthenticatie | Veilige aanmeldingen, MFA, wachtwoorden en herstel | 30 min | Nee |
| AI-beveiliging voor iedereen | Schaduw-AI, snelle injectie en gemanipuleerde outputs | 30 min | Nee |
| Social engineering, fraude en deepfakes | Oplichting via telefoon, betalingen en identiteitsfraude | 35 min | Nee |
Twee cursussen vallen onder een Amerikaanse federale regelgeving, en zijn alleen van toepassing op bepaalde organisaties. Volgens de NISPOM-regelgeving moeten defensieaannemers met een veiligheidsmachtiging nieuw gemachtigde werknemers een dergelijke opleiding aanbieden. Training over interne dreigingen voordat toegang tot vertrouwelijke informatie wordt verleend. en de initiële en jaarlijkse voltooiing valideren. De FTC Safeguards Rule stelt dat de betrokken financiële instellingen het volgende moeten verstrekken: Beveiligingsbewustzijnstraining voor hun personeelGeen van beide bepaalt de koers voor alle anderen.
Bestuur en kaders
Cyberrisicobeheer voor managers en bestuursleden
Deze cursus van 40 minuten behandelt cyberrisico's als bedrijfsrisico's. Er komen vijf vragen aan bod die u over uw organisatie kunt stellen, de risicobereidheid en een kort dashboard, de grijze gebieden van betalen, melden en afwegingen, waar verantwoordelijkheden vandaan komen en welke acties het management vervolgens moet ondernemen. Een CISO kan de cursus met het managementteam uitvoeren vóór een bestuursvergadering. De vraag "een dashboard toont honderden meetwaarden" fungeert als een meerkeuzedia en zet de juiste discussie in gang. Bestuursleden krijgen hun eigen lijst. onze trainingshandleiding voor bestuursleden.
IT-governance, bedrijfsarchitectuur en IT-auditkaders: COBIT en TOGAF
Deze cursus van 45 minuten begint met "een systeem waar niemand verantwoording voor hoefde af te leggen" en behandelt vervolgens waarom IT-governance belangrijk is voor waarde, risico en middelen, governance- versus managementdoelstellingen, de architectuurontwikkelingsmethode, volwassenheidsmodellen en het plannen van een IT-audit met een rapportage aan het management. Het biedt IT-managers die rapporteren aan de CISO een gemeenschappelijk kader. De sorteeropdracht "governance of management?" zorgt voor een snelle keuzeronde.
ISO/IEC 27001 en het informatiebeveiligingsbeheersysteem
De CISO is doorgaans verantwoordelijk voor het ISMS, en elke medewerker is erbij betrokken. Deze cursus van 40 minuten legt uit wat een ISMS is, hoe beleid in de praktijk wordt gebracht, hoe uitzonderingen en zwakke punten worden aangepakt en hoe je met een auditor communiceert. Voer de cursus uit vóór een certificerings- of surveillance-audit, zodat medewerkers vragen kunnen beantwoorden met onderbouwing. Een open vraag in de vorm van een slide over "Wat zou je een auditor laten zien?" brengt eventuele lacunes vroegtijdig aan het licht.
Onze aanbeveling: Cyberrisicobeheer voor managers en raden van bestuur. Het vertaalt de Govern-functie van NIST naar vijf vragen die een managementteam kan beantwoorden, en dat is het gesprek dat de meeste CISO's als eerste moeten voeren.
Incidentparaatheid en risico's van binnenuit
Ransomware-tablet voor managers
Deze cursus van 60 minuten is een simulatie in drie delen: het eerste uur, besluitvorming en communicatie, en back-ups en oplossingen. Managers oefenen wie machines isoleert, wie met de pers spreekt en wie beslist over losgeld. De cursus biedt leiderschap met juridisch advies. De cursus eindigt met een afsluitende toets van 7 vragen. Voer de cursus live uit met de echte namen van uw incidentleider en hoofd communicatie. Voor de analisten die het plan uitvoeren, zie onze lijst met trainingen voor SOC-analisten.
Bewustzijn van interne dreigingen
Programma's voor het bestrijden van interne dreigingen vallen vaak onder de verantwoordelijkheid van de CISO, van detectie tot respons. Deze cursus van 30 minuten behandelt waarom detectie belangrijk is, gedragsmatige, technische en financiële indicatoren, hoe tegenstanders vertrouwde medewerkers rekruteren, wat wel en niet te doen, en waar melding te maken. De cursus eindigt met een afsluitende toets van 10 vragen, waarbij een score van 80% vereist is om te slagen. Voor Amerikaanse contractanten met een veiligheidsmachtiging is dit een kant-en-klare manier om de training te verzorgen die de NISPOM-regel hierboven vereist, hoewel de regel geen specifieke cursus noemt.
Onze aanbeveling: Ransomware-bordspel voor managers. Een plan dat niemand heeft geoefend, mislukt al in het eerste uur, en deze simulatie dwingt leiders tot een beslissing voordat de druk echt toeneemt.
Beveiligingsgewoonten van medewerkers en AI-risico's
Essentiële aspecten van beveiligingsbewustzijn
Dit is het basisprogramma voor bewustwording waarvoor een CISO verantwoordelijk is. De 35 minuten durende cursus behandelt de redenen waarom mensen doelwit zijn, de anatomie van een aanval, waarschuwingssignalen, hoe u uzelf kunt beschermen en hoe u moet reageren en rapporteren, met een afsluitende toets van 12 vragen die vereist dat u 80% van de vragen beantwoordt om te slagen. Voor financiële instellingen die onder de regelgeving vallen, is dit een kant-en-klare manier om te voldoen aan de vereisten voor beveiligingsbewustwordingstraining van de FTC Safeguards Rule, hoewel de regelgeving geen specifieke cursus noemt.
Phishing en social engineering
Phishingbestendigheid is een veelgebruikte CISO-indicator. Deze cursus van 30 minuten legt uit hoe aanvallen worden opgezet, wat de waarschuwingssignalen zijn, hoe u uzelf kunt beschermen en hoe u incidenten kunt melden. De cursus wordt afgesloten met een toets van 12 vragen, waarbij u minimaal 80% moet behalen om te slagen. Koppel de cursus aan uw meldingsknop, zodat de cursus en de indicator op elkaar aansluiten.
Wachtwoorden, toegangscodes en multifactorauthenticatie voor personeel
Het invoeren van wachtwoorden en MFA is een programmabeslissing, en medewerkers moeten weten waarom. Deze cursus van 30 minuten behandelt waarom accounts de doelgroep zijn, sterke en unieke aanmeldmethoden, multifactorauthenticatie en wachtwoorden, nep-aanmeldpagina's en de grijze gebieden rondom delen, snelkoppelingen en herstel. Lanceer de cursus in de week dat een nieuwe aanmeldmethode wordt geïntroduceerd.
AI-beveiliging voor iedereen: schaduw-AI, promptinjectie en gemanipuleerde outputs.
Het beveiligingsbeleid voor AI, met name met betrekking tot schaduw-AI en promptinjectie, komt steeds vaker op de schouders van de CISO terecht. Deze cursus van 30 minuten behandelt schaduw-AI en een gecompromitteerde chatbot, promptinjectie en vergiftigde content, verborgen instructies in pdf's en e-mails, gratis AI-extensies en hoe u een goedgekeurde tool kunt aanvragen of een incident kunt melden. Een woordwolk met de vraag "Welke AI-tools gebruikt u op het werk?" laat de schaduw-AI zien waarvan u het bestaan niet wist.
Social engineering, fraude en deepfakes: telefoon-, betaal- en identiteitsfraude
Deepfake en identiteitsfraude horen thuis in elke briefing over bedreigingen voor leidinggevenden, omdat aanvallers de namen en stemmen van leidinggevenden imiteren. Deze cursus van 35 minuten volgt een overtuigend verzoek, behandelt de tactieken, het verifiëren van betalingswijzigingen, vervalste stem en video, en legt uit waarom anciënniteit en geheimhouding druk uitoefenen, geen bewijs vormen. Voer de cursus eerst uit met de financiële afdeling en de directiesecretaresses.
Onze keuze: AI-beveiliging voor iedereen. Medewerkers implementeren AI-tools vaak sneller dan beleid kan bijbenen, en deze cursus biedt hen een eenvoudige cyclus van aanvragen, gebruiken, controleren en rapporteren.
Hoe voer je het plan uit?
Begin met governance. NIST's CSF 2.0 stelt Regeren Ten eerste: leidinggevenden stellen verwachtingen vast ten aanzien van risicobereidheid, verantwoordelijkheid en middelen, en de rest van het programma vloeit daaruit voort.
- Dit kwartaal, voor leiders: Cyberrisicobeheer, gevolgd door een ransomware-oefensessie met de personen die in uw incidentplan worden genoemd.
- Voor elke medewerker, tijdens het inwerkproces: Essentiële beveiligingskennis, phishing, wachtwoorden, toegangscodes en MFA.
- Voor IT- en beveiligingsmanagers: Zorg dat u op de hoogte bent van COBIT, TOGAF en ISO 27001 vóór uw volgende audit.
- Elk jaar: Herhaal de tafelbladoefening, een opfrisquiz over elke cursus en de cursus over AI-beveiliging telkens wanneer een nieuwe AI-tool wordt geïntroduceerd.
- Wanneer van toepassing: Gecertificeerde Amerikaanse defensieaannemers geven training over interne dreigingen voordat ze toegang krijgen tot geclassificeerde informatie en vervolgens jaarlijks; financiële instellingen die onder de regelgeving vallen, houden hun trainingen over beveiligingsbewustzijn actueel zoals de FTC Safeguards Rule voorschrijft. Vraag uw juridisch adviseur welke andere regels van toepassing zijn in uw land of staat.
Manieren om deze cursussen te geven op AhaSlides
Je kunt elk van deze cursussen in je eigen tempo samenstellen met behulp van de AhaSlides Je kunt de cursus als volgt opzetten: als live vraag- en antwoordsessie, met een presentatie en een enquête na afloop om te zien wat er veranderd is.
- Kies antwoord: Leg de losbrief op tafel en vraag wie de volgende stap bepaalt.
- Woordwolk: Vraag leidinggevenden: "Wat baart u de meeste zorgen met betrekking tot een cyberincident?" en vergelijk dit met uw risicoregister.
- Schaal: Stel vóór en na de oefening de vraag: "Hoe goed is ons incidentplan voorbereid?" op een schaal van 1 tot 5.
- Open einde: Verzamel anonieme vragen voor het bestuur aan het einde van een live sessie.
FAQ
Welke training heeft een CISO nodig?
Een CISO moet inzicht hebben in risicobeheer en governance, leiderschap tonen in incidentrespons, de geldende regels kennen en in staat zijn om een raad van bestuur te informeren. De bovenstaande cursussen behandelen het programma dat een CISO uitvoert; certificeringen vormen de persoonlijke kwalificatie.
Welke certificeringen hebben CISO's?
Bekende voorbeelden zijn CISSP, CISM en de EC-Council CCISO. Geen van de bovenstaande cursussen leidt tot een certificering.
Hoe vaak moeten leiders incidentoefeningen houden?
Een controle minstens één keer per jaar is een verstandige basisregel, en nogmaals na een grote verandering zoals een fusie, een nieuw systeem of een nieuwe incidentverantwoordelijke.
Wat is een ransomware-tabletop?
Een ransomware-tabletop is een op discussie gebaseerde oefening waarbij de beslissingen die leiders nemen tijdens een ransomware-aanval worden geoefend, zonder dat er live systemen worden aangeraakt.
Dit bericht bevat algemene informatie en is geen juridisch advies. Voor een beslissing over uw eigen werkplek dient u contact op te nemen met een gekwalificeerde advocaat of de toezichthouder.
