Última revisão em 4 de novembro de 2026, com base nas fontes citadas nesta publicação.
O conselho se reúne na quinta-feira, e o presidente tem uma pergunta para o CISO: "Se fôssemos atingidos por um ransomware amanhã, quem decidiria o quê, e nós praticamos para isso?" As ferramentas são importantes, mas a resposta depende de governança, simulações e funcionários que reportam rapidamente. É isso que o treinamento em segurança cibernética para executivos precisa abordar. O NIST destacou esse ponto em seu Cybersecurity Framework 2.0, que adicionou uma sexta função, Governança, abrangendo funções, responsabilidades e autoridades, políticas e a supervisão da estratégia de cibersegurança..
Esta lista fornece ao CISO os cursos necessários para executar esse programa. Você recebe 10 cursos prontos, divididos em 3 grupos, cada um com informações sobre o que corrige e como implementá-los. Cada grupo termina com um guia. Nossa escolhaOs pontos legais descrevem as normas federais dos EUA, portanto, use isto como um programa de estudos, não como uma decisão judicial.
Todos os 10 cursos em resumo
| Para | O que cobre | Comprimento | Existe alguma lei que o sustente? |
|---|---|---|---|
| Governança de riscos cibernéticos para gestores e conselhos de administração | Cinco perguntas para o conselho, apetite ao risco e decisões em situações de crise. | 40 minutos | Não |
| Governança de TI, arquitetura empresarial e auditoria de TI: COBIT e TOGAF | Objetivos de governança, método de arquitetura e planejamento de auditoria | 45 minutos | Não |
| ISO/IEC 27001 e o SGSI (Sistema de Gestão de Segurança da Informação) | Política à prática, exceções e como conversar com um auditor | 40 minutos | Não |
| Jogo de tabuleiro sobre ransomware para gerentes | Na primeira hora, quem decide e quem fala, planos de contingência. | 60 minutos | Não |
| Conscientização sobre ameaças internas | Indicadores de risco, métodos de recrutamento e relatórios | 30 minutos | Sim (contratados com autorização de segurança dos EUA) |
| Noções básicas de conscientização sobre segurança | As fases de um ataque e os principais hábitos | 35 minutos | Sim (instituições financeiras abrangidas pelos EUA) |
| Phishing e engenharia social | Sinais de alerta, verificação e denúncia | 30 minutos | Não |
| Senhas, chaves de acesso e autenticação multifatorial | Logins seguros, MFA, chaves de acesso e recuperação. | 30 minutos | Não |
| Segurança de IA para todos | IA paralela, injeção imediata e resultados manipulados. | 30 minutos | Não |
| Engenharia social, fraude e deepfakes | Golpes por telefone, pagamento e falsificação de identidade. | 35 minutos | Não |
Dois cursos são exigidos por uma norma federal dos EUA, e apenas para algumas organizações. De acordo com a norma NISPOM, as empresas contratadas pela área de defesa que possuem autorização de segurança devem fornecer treinamento a funcionários recém-autorizados. Treinamento de conscientização sobre ameaças internas antes de conceder acesso a informações confidenciais. e validar a conclusão inicial e anual. A Regra de Salvaguardas da FTC afirma que as instituições financeiras abrangidas devem fornecer treinamento de conscientização de segurança para seus funcionáriosNenhuma delas define um rumo para todos os outros.
Governança e estruturas
Governança de riscos cibernéticos para gestores e conselhos de administração
Este curso de 40 minutos trata o risco cibernético como um risco empresarial. Ele aborda cinco perguntas a serem feitas sobre sua organização, apetite ao risco e um breve painel de controle, as áreas cinzentas de pagamento, notificação e compensações, de onde vêm as responsabilidades e as próximas ações da liderança. Um CISO pode apresentá-lo à equipe de liderança antes de uma reunião do conselho. A pergunta "um painel de controle mostra centenas de indicadores" funciona como um slide de Escolha de Resposta e inicia a argumentação correta. Os membros do conselho recebem sua própria lista. nosso guia de treinamento para conselho administrativo.
Governança de TI, arquitetura empresarial e estruturas de auditoria de TI: COBIT e TOGAF
Este curso de 45 minutos começa com "um sistema pelo qual ninguém era responsabilizado" e, em seguida, aborda a importância da governança de TI para o valor, o risco e os recursos, os objetivos de governança versus gestão, o método de desenvolvimento de arquitetura, modelos de maturidade e o planejamento de uma auditoria de TI com relatório para a liderança. Ele oferece aos gerentes de TI que se reportam ao CISO uma perspectiva compartilhada. A atividade de classificação "governança ou gestão?" proporciona uma rodada rápida de escolha de respostas.
ISO/IEC 27001 e o sistema de gestão de segurança da informação
O CISO geralmente é o responsável pelo SGSI (Sistema de Gestão de Segurança da Informação), e todos os funcionários fazem parte dele. Este curso de 40 minutos explica o que é um SGSI, como a política se torna prática, como lidar com exceções e pontos fracos e como se comunicar com um auditor. Realize o curso antes de uma auditoria de certificação ou de acompanhamento para que a equipe possa responder às perguntas com base em evidências. Um slide com pergunta aberta, sobre "o que você mostraria a um auditor?", identifica as lacunas logo no início.
Nossa escolha: Governança de riscos cibernéticos para gestores e conselhos de administração. Isso transforma a função Govern do NIST em cinco perguntas que uma equipe de liderança pode responder, que é a conversa que a maioria dos CISOs precisa ter em primeiro lugar.
Preparação para incidentes e risco interno
Jogo de tabuleiro sobre ransomware para gerentes
Este curso de 60 minutos é um exercício prático dividido em três partes: a primeira hora, decisões e comunicação, e backups e correções. Os gestores praticam quem isola máquinas, quem fala com a imprensa e quem decide sobre o pagamento de resgate, questões que o curso aborda como liderança com aconselhamento jurídico. O curso termina com uma verificação final de 7 perguntas. Realize o exercício ao vivo com os nomes reais do responsável pela gestão de incidentes e do responsável pela comunicação. Para os analistas que executam o plano, consulte [link para o material de apoio]. nossa lista de treinamento para analistas de SOC.
Conscientização sobre ameaças internas
Os programas de ameaças internas geralmente ficam a cargo do CISO, desde a detecção até a resposta. Este curso de 30 minutos aborda a importância da detecção, indicadores comportamentais, técnicos e financeiros, como os adversários recrutam funcionários de confiança, o que fazer e o que não fazer, e onde reportar. Ao final, há um teste final com 10 perguntas, sendo necessário acertar 80% para aprovação. Para contratados americanos com autorização de segurança, este curso é uma maneira prática de ministrar o treinamento exigido pela norma NISPOM mencionada acima, embora a norma não especifique um curso.
Nossa escolha: Jogo de tabuleiro sobre ransomware para gerentes. Um plano que ninguém ensaiou falha na primeira hora, e esta simulação faz com que os líderes decidam antes que a pressão se torne real.
Hábitos de segurança dos funcionários e risco da IA
Noções básicas de conscientização sobre segurança
Este é o programa básico de conscientização pelo qual um CISO é responsável. O curso de 35 minutos aborda por que as pessoas são alvos, a anatomia de um ataque, sinais de alerta, como se proteger e como responder e relatar incidentes, com uma verificação final de 12 perguntas, sendo necessário acertar 80% para aprovação. Para instituições financeiras abrangidas pela norma, trata-se de uma maneira prática de atender ao requisito de treinamento de conscientização em segurança da Regra de Salvaguardas da FTC, embora a regra não mencione nenhum curso específico.
Phishing e engenharia social
A resiliência a ataques de phishing é uma métrica comum para CISOs. Este curso de 30 minutos explica como os ataques são construídos, os sinais de alerta, como se proteger e como denunciá-los, com uma verificação final de 12 perguntas, sendo necessário acertar 80% para aprovação. Combine-o com seu botão de denúncia para que o curso e a métrica estejam alinhados.
Senhas, chaves de acesso e autenticação multifatorial para funcionários
A implementação de senhas e autenticação multifator (MFA) é uma decisão do programa, e os funcionários precisam entender o porquê. Este curso de 30 minutos aborda por que as contas são o alvo, logins fortes e exclusivos, autenticação multifator e senhas, páginas de login falsas e as áreas cinzentas do compartilhamento, atalhos e recuperação. Lance-o na semana em que um novo método de login entrar em vigor.
Segurança da IA para todos: IA paralela, injeção imediata e resultados manipulados.
A política de segurança de IA para IA oculta e injeção imediata de código está cada vez mais sob a responsabilidade do CISO. Este curso de 30 minutos aborda IA oculta e chatbots comprometidos, injeção imediata de código e conteúdo malicioso, instruções ocultas em PDFs e e-mails, extensões de IA gratuitas e como solicitar uma ferramenta aprovada ou relatar um incidente. Uma nuvem de palavras sobre "quais ferramentas de IA você usa no trabalho?" mostra a IA oculta que você desconhecia.
Engenharia social, fraudes e deepfakes: golpes por telefone, pagamento e falsificação de identidade.
Deepfakes e fraudes por personificação devem estar presentes em todos os briefings de segurança para executivos, pois os nomes e vozes dos executivos são o que os atacantes imitam. Este curso de 35 minutos, baseado em uma solicitação convincente, aborda as táticas, a verificação de alterações de pagamento, a falsificação de voz e vídeo e por que a hierarquia e o sigilo são formas de pressão, não de prova. Realize-o primeiro com a equipe financeira e os assistentes executivos.
Nossa escolha: Segurança com IA para todos. Os funcionários costumam adotar ferramentas de IA mais rapidamente do que as políticas conseguem acompanhar, e este curso oferece a eles um ciclo simples de solicitação, uso, verificação e relatório.
Como implementar o plano
Comece pela governança. O CSF 2.0 do NIST coloca Governo Primeiro: os executivos definem as expectativas em relação à tolerância ao risco, à responsabilidade e aos recursos, e o restante do programa decorre dessas definições.
- Neste trimestre, para líderes: governança de riscos cibernéticos e, em seguida, a simulação de ransomware com as pessoas nomeadas no seu plano de resposta a incidentes.
- Para cada funcionário, no momento da integração: Noções básicas de conscientização sobre segurança, phishing, senhas, chaves de acesso e autenticação multifator (MFA).
- Para gestores de TI e segurança: COBIT, TOGAF e ISO 27001 antes da sua próxima auditoria.
- A cada ano: Repita o exercício de simulação, faça um teste de revisão sobre cada curso e participe do curso de segurança de IA sempre que uma nova ferramenta de IA for lançada.
- Quando se aplica: Empresas contratadas pela defesa dos EUA, com autorização de segurança, oferecem treinamento sobre ameaças internas antes do acesso a informações confidenciais e anualmente depois disso; instituições financeiras abrangidas pela regulamentação mantêm o treinamento de conscientização sobre segurança atualizado, conforme descrito na Regra de Salvaguardas da FTC. Consulte seu advogado para saber quais outras medidas se aplicam em seu país ou estado.
Formas de ministrar esses cursos em AhaSlides
Você pode criar qualquer um desses cursos em seu próprio ritmo com o AhaSlides Criador de cursos, execute-os como uma apresentação de perguntas e respostas ao vivo ou ambos, com uma pesquisa pós-curso para verificar o que mudou.
- Escolha a resposta: Na mesa, mostre o bilhete de resgate e pergunte quem decide o próximo passo.
- Palavra nuvem: Pergunte aos líderes: "O que mais os preocupa em relação a um incidente cibernético?" e compare a resposta com o seu registro de riscos.
- Escala de classificação: Antes e depois, pergunte: "Quão preparado está nosso plano de resposta a incidentes?", numa escala de 1 a 5.
- Pergunta aberta: Recolher perguntas anônimas para a diretoria ao final de uma sessão ao vivo.
Perguntas frequentes
Que tipo de treinamento um CISO precisa?
Um CISO precisa ter experiência em gestão de riscos e governança, liderança em resposta a incidentes, conhecimento das normas aplicáveis e a habilidade de apresentar informações a um conselho administrativo. Os cursos acima abrangem o programa de atuação de um CISO; as certificações comprovam a qualificação profissional.
Que certificações os CISOs possuem?
Algumas das mais comuns são CISSP, CISM e CCISO do EC-Council. Nenhum dos cursos acima é uma certificação.
Com que frequência os líderes devem realizar exercícios de resposta a incidentes?
Pelo menos uma vez por ano é um intervalo razoável, e novamente após uma mudança importante, como uma fusão, um novo sistema ou um novo responsável por incidentes.
O que é um ransomware de mesa?
Uma simulação de ataque de ransomware é um exercício baseado em discussão que ensaia as decisões que os líderes tomam durante um ataque de ransomware, sem afetar os sistemas em produção.
Este post contém informações gerais e não constitui aconselhamento jurídico. Para decisões relativas ao seu local de trabalho específico, consulte um advogado qualificado ou o órgão regulador.
