Ostatnia aktualizacja: 4 listopada 2026 r. w oparciu o źródła podane w tym poście.
Zarząd zbiera się w czwartek, a przewodniczący ma jedno pytanie do CISO: „Jeśli jutro zostaniemy zaatakowani przez ransomware, kto będzie decydował o tym i czy stosowaliśmy się do zaleceń?”. Narzędzia mają znaczenie, ale odpowiedź zależy od zarządzania, ćwiczeń i pracowników, którzy szybko się zgłaszają. Właśnie to powinno obejmować szkolenie kadry kierowniczej z zakresu cyberbezpieczeństwa. NIST podkreślił to w swoim dokumencie Cybersecurity Framework 2.0, który dodał szóstą funkcję: Zarządzanie obejmujące role, obowiązki i uprawnienia, politykę i nadzór nad strategią cyberbezpieczeństwa.
Ta lista zawiera kursy dla CISO potrzebne do uruchomienia programu. Otrzymujesz 10 gotowych kursów w 3 grupach, z informacjami o tym, co każdy z nich naprawia i jak to wdrożyć. Każda grupa kończy się Nasz wybórPunkty prawne opisują przepisy federalne USA, należy więc traktować je jako konspekt, a nie orzeczenie.
Wszystkie 10 kursów w skrócie
| Kurs | Co obejmuje | Długość | Jakie prawo za tym stoi? |
|---|---|---|---|
| Zarządzanie ryzykiem cybernetycznym dla menedżerów i zarządów | Pięć pytań zarządu, apetyt na ryzyko i decyzje kryzysowe | 40 min | Nie |
| Zarządzanie IT, architektura przedsiębiorstwa i audyt IT: COBIT i TOGAF | Cele zarządzania, metoda architektury i planowanie audytu | 45 min | Nie |
| ISO/IEC 27001 i SZBI | Polityka w praktyce, wyjątki i rozmowa z audytorem | 40 min | Nie |
| Tablica z narzędziami do wykrywania ransomware dla menedżerów | Pierwsza godzina, kto decyduje i kto mówi, kopie zapasowe | 60 min | Nie |
| Świadomość zagrożeń wewnętrznych | Wskaźniki ryzyka, metody rekrutacji i raportowanie | 30 min | Tak (kontrahenci posiadający zezwolenie w USA) |
| Podstawy świadomości bezpieczeństwa | Etapy ataku i podstawowe nawyki | 35 min | Tak (instytucje finansowe objęte zasięgiem USA) |
| Phishing i inżynieria społeczna | Czerwone flagi, weryfikacja i raportowanie | 30 min | Nie |
| Hasła, klucze dostępu i uwierzytelnianie wieloskładnikowe | Bezpieczne logowanie, uwierzytelnianie wieloskładnikowe, klucze dostępu i odzyskiwanie | 30 min | Nie |
| Bezpieczeństwo AI dla każdego | Sztuczna inteligencja Shadow AI, szybkie wstrzykiwanie i manipulowane wyniki | 30 min | Nie |
| Inżynieria społeczna, oszustwa i deepfake’i | Oszustwa telefoniczne, płatnicze i podszywanie się pod kogoś innego | 35 min | Nie |
Dwa kursy opierają się na przepisach federalnych USA i dotyczą tylko niektórych organizacji. Zgodnie z przepisami NISPOM, certyfikowani wykonawcy sektora obronnego muszą zapewnić nowo certyfikowanym pracownikom szkolenie w zakresie świadomości zagrożeń wewnętrznych przed udzieleniem dostępu do informacji niejawnych i zatwierdzać wstępne i roczne ukończenie. Przepisy FTC dotyczące zabezpieczeń stanowią, że objęte nimi instytucje finansowe muszą zapewnić szkolenia dla personelu w zakresie świadomości bezpieczeństwa. Żaden z nich nie wyznacza kursu dla wszystkich pozostałych.
Zarządzanie i ramy
Zarządzanie ryzykiem cybernetycznym dla menedżerów i zarządów
Ten 40-minutowy kurs traktuje cyberryzyko jako ryzyko biznesowe. Obejmuje pięć pytań, które należy zadać swojej organizacji, apetyt na ryzyko i krótki panel informacyjny, szare strefy płatności, informowania i kompromisów, skąd pochodzą obowiązki oraz działania, które należy podjąć w przyszłości. CISO może omówić to z zespołem kierowniczym przed cyklem posiedzeń zarządu. Pytanie „Panel informacyjny pokazuje setki środków” działa jak slajd z odpowiedziami i rozpoczyna właściwą argumentację. Członkowie zarządu otrzymują własną listę. nasz przewodnik szkoleniowy dla zarządu.
Zarządzanie IT, architektura przedsiębiorstwa i ramy audytu IT: COBIT i TOGAF
Ten 45-minutowy kurs rozpoczyna się od „systemu, za który nikt nie ponosi odpowiedzialności”, a następnie omawia, dlaczego ład IT ma znaczenie dla wartości, ryzyka i zasobów, ład a cele zarządzania, metodę rozwoju architektury, modele dojrzałości oraz planowanie audytu IT z raportem dla kierownictwa. Daje on menedżerom IT, którzy raportują do CISO, wspólną ramę. Ćwiczenie „ład czy zarządzanie?” umożliwia szybką rundę wyboru odpowiedzi.
ISO/IEC 27001 i system zarządzania bezpieczeństwem informacji
CISO zazwyczaj odpowiada za ISMS, a każdy pracownik jest jego częścią. Ten 40-minutowy kurs wyjaśnia, czym jest ISMS, jak polityka staje się praktyką, jak radzimy sobie z wyjątkami i słabościami oraz jak rozmawiać z audytorem. Przed audytem certyfikacyjnym lub kontrolnym należy go rozwinąć, aby pracownicy mogli odpowiadać na pytania, przedstawiając dowody. Slajd z otwartą odpowiedzią na temat „co pokazałbyś audytorowi?” szybko ujawnia luki.
Nasz wybór: Zarządzanie ryzykiem cybernetycznym dla menedżerów i zarządów. Funkcja zarządzania NIST została sprowadzona do pięciu pytań, na które zespół kierowniczy może odpowiedzieć, a jest to rozmowa, której większość dyrektorów ds. bezpieczeństwa informacji potrzebuje w pierwszej kolejności.
Gotowość na incydenty i ryzyko wewnętrzne
Tablica z narzędziami do wykrywania ransomware dla menedżerów
Ten 60-minutowy kurs to ćwiczenie praktyczne w trzech częściach: pierwsza godzina, decyzje i komunikacja oraz tworzenie kopii zapasowych i poprawki. Menedżerowie ćwiczą, kto izoluje maszyny, kto rozmawia z prasą i kto decyduje o okupie, na co kurs odpowiada jako lider, udzielając porad prawnych. Kończy się on 7-pytaniową weryfikacją końcową. Przeprowadź ją na żywo, podając prawdziwe nazwiska lidera incydentu i szefa ds. komunikacji. Informacje o analitykach realizujących plan można znaleźć tutaj. nasza lista szkoleń dla analityków SOC.
Świadomość zagrożeń wewnętrznych
Programy dotyczące zagrożeń wewnętrznych często leżą w gestii CISO, od wykrywania po reagowanie. Ten 30-minutowy kurs obejmuje zagadnienia, dlaczego wykrywanie zagrożeń jest ważne, wskaźniki behawioralne, techniczne i finansowe, jak przeciwnicy rekrutują zaufanych informatorów, co robić, a czego nie robić oraz gdzie zgłaszać incydenty. Kurs kończy się 10-pytaniowym testem końcowym, którego wynik wynosi 80%. Dla certyfikowanych kontrahentów z USA jest to gotowy sposób na przeprowadzenie szkolenia wymaganego przez powyższą zasadę NISPOM, choć zasada ta nie wymienia żadnego kursu.
Nasz wybór: narzędzie do wykrywania oprogramowania ransomware dla menedżerów. Plan, którego nikt nie przećwiczył, zawodzi już w pierwszej godzinie, a ta sytuacja zmusza liderów do podjęcia decyzji, zanim presja stanie się realna.
Nawyki pracowników w zakresie bezpieczeństwa i ryzyko związane ze sztuczną inteligencją
Podstawy świadomości bezpieczeństwa
To podstawowy program uświadamiający, za który odpowiada CISO. 35-minutowy kurs obejmuje zagadnienia związane z tym, dlaczego ludzie padają ofiarą ataku, anatomię ataku, sygnały ostrzegawcze, sposoby ochrony oraz reagowania i zgłaszania incydentów. Końcowy test składa się z 12 pytań i wymaga zaliczenia 80% odpowiedzi. Dla objętych programem instytucji finansowych jest to gotowy sposób na spełnienie wymogu szkolenia w zakresie świadomości bezpieczeństwa wynikającego z przepisów FTC Safeguards Rule, choć w przepisie nie wymieniono żadnego kursu.
Phishing i inżynieria społeczna
Odporność na phishing to powszechny wskaźnik CISO. Ten 30-minutowy kurs wyjaśnia, jak powstają ataki, jakie są sygnały ostrzegawcze, jak się chronić i jak zgłaszać incydenty. Na koniec czeka 12 pytań testowych, których zaliczenie wymaga 80%. Połącz kurs z przyciskiem raportowania, aby dopasować go do wskaźnika.
Hasła, klucze dostępu i uwierzytelnianie wieloskładnikowe dla personelu
Wdrożenie kluczy dostępu i uwierzytelniania wieloskładnikowego (MFA) to decyzja programowa, a pracownicy muszą wiedzieć, dlaczego. Ten 30-minutowy kurs obejmuje: dlaczego konta są celem, bezpieczne i unikalne logowania, uwierzytelnianie wieloskładnikowe i klucze dostępu, fałszywe strony logowania oraz szare obszary udostępniania, skrótów i odzyskiwania. Uruchom go w tygodniu, w którym zostanie wdrożona nowa metoda logowania.
Bezpieczeństwo sztucznej inteligencji dla każdego: ukryta sztuczna inteligencja, szybkie wstrzykiwanie i manipulowanie wynikami
Polityka bezpieczeństwa AI w zakresie sztucznej inteligencji typu shadow AI i szybkiego wstrzykiwania coraz częściej leży w gestii CISO. Ten 30-minutowy kurs obejmuje zagadnienia związane z ukrytą sztuczną inteligencją i zainfekowanym chatbotem, szybkim wstrzykiwaniem i zatrutą treścią, ukryte instrukcje w plikach PDF i e-mailach, darmowe rozszerzenia AI oraz sposób wnioskowania o zatwierdzone narzędzie lub zgłaszania incydentów. Chmura słów „Z jakich narzędzi AI korzystasz w pracy?” pokazuje ukrytą sztuczną inteligencję, o której nie wiedziałeś.
Inżynieria społeczna, oszustwa i deepfake: oszustwa telefoniczne, płatnicze i podszywające się pod kogoś innego
Oszustwa związane z deepfake i podszywaniem się pod kogoś innego powinny znaleźć się w każdym briefingu dotyczącym zagrożeń dla kadry kierowniczej, ponieważ atakujący imitują nazwiska i głosy kadry kierowniczej. Ten 35-minutowy kurs opiera się na przekonującym zapytaniu, obejmuje taktyki, weryfikację zmian w płatnościach, sfałszowane głosy i nagrania wideo oraz wyjaśnia, dlaczego staż pracy i poufność to presja, a nie dowód. Najpierw omów to z działem finansowym i asystentami kierownictwa.
Nasz wybór: bezpieczeństwo AI dla każdego. Pracownicy często wdrażają narzędzia AI szybciej, niż pozwalają na to przepisy. Ten kurs zapewnia im prostą pętlę wnioskowania, użytkowania, sprawdzania i raportowania.
Jak wdrożyć plan
Zacznij od zarządzania. CSF 2.0 NIST stawia Rządzić po pierwsze: kadra kierownicza ustala oczekiwania dotyczące gotowości do podejmowania ryzyka, odpowiedzialności i zasobów, a reszta programu jest ich konsekwencją.
- W tym kwartale dla liderów: zarządzanie ryzykiem cybernetycznym, a następnie stół do zarządzania zagrożeniami typu ransomware z osobami wymienionymi w planie incydentów.
- Dla każdego pracownika podczas wdrażania: Podstawy świadomości bezpieczeństwa, phishing, hasła, klucze dostępu i uwierzytelnianie wieloskładnikowe.
- Dla menedżerów IT i bezpieczeństwa: COBIT i TOGAF oraz ISO 27001 przed kolejnym audytem.
- Każdego roku: powtórz kurs, powtórz test z każdego kursu i kurs bezpieczeństwa AI za każdym razem, gdy zostanie wprowadzone nowe narzędzie AI.
- Kiedy ma zastosowanie: Kontrolowani amerykańscy kontrahenci zbrojeniowi przeprowadzają szkolenia z zakresu zagrożeń wewnętrznych przed uzyskaniem dostępu do informacji niejawnych i co roku po nim; instytucje finansowe objęte nadzorem stale aktualizują szkolenia z zakresu świadomości bezpieczeństwa, zgodnie z Regułami Zabezpieczeń FTC. Zapytaj swojego prawnika, co jeszcze obowiązuje w Twoim kraju lub stanie.
Sposoby prowadzenia tych kursów AhaSlides
Możesz utworzyć dowolny z nich jako kurs w swoim tempie, korzystając z AhaSlides twórca kursu, przeprowadź je w formie sesji pytań i odpowiedzi na żywo lub w obu formach, a po kursie przeprowadź ankietę, aby zobaczyć, co się zmieniło.
- Wybierz odpowiedź: pokaż na blacie stołu notatkę z żądaniem okupu i zapytaj, kto decyduje o następnym kroku.
- Chmura słów: zapytaj liderów: „Co najbardziej Cię niepokoi w związku z incydentem cybernetycznym?” i porównaj to z rejestrem ryzyka.
- Skala ocen: przed i po zadaj pytanie „Jak gotowy jest nasz plan działania w razie incydentu?”, skalując je od 1 do 5.
- Otwarte: zbieraj anonimowe pytania do zarządu pod koniec sesji na żywo.
FAQ
Jakie szkolenia są potrzebne CISO?
CISO musi posiadać wiedzę z zakresu zarządzania ryzykiem i zarządzania, umiejętności przywódcze w reagowaniu na incydenty, znajomość obowiązujących przepisów oraz umiejętność informowania zarządu. Powyższe kursy obejmują program prowadzony przez CISO; certyfikaty obejmują uprawnienia osobiste.
Jakie certyfikaty posiadają CISO?
Do popularnych należą CISSP, CISM i EC-Council CCISO. Żaden z powyższych kursów nie jest certyfikowany.
Jak często liderzy powinni przeprowadzać ćwiczenia reagowania na incydenty?
Rozsądnym punktem wyjścia jest przeprowadzenie takiej kontroli co najmniej raz w roku, a także po każdej większej zmianie, np. fuzji, wprowadzeniu nowego systemu lub otrzymaniu nowego zgłoszenia incydentu.
Czym jest ransomware tabletop?
Ćwiczenie polegające na dyskusji, mające na celu przećwiczenie decyzji podejmowanych przez liderów podczas ataku ransomware, bez ingerencji w działające systemy.
Ten post zawiera ogólne informacje, a nie porady prawne. Aby podjąć decyzję dotyczącą własnego miejsca pracy, skonsultuj się z wykwalifikowanym prawnikiem lub organem regulacyjnym.
