Последнее обновление данных: 4 ноября 2026 г., с учетом источников, ссылки на которые приведены в этом посте.
Заседание совета директоров состоится в четверг, и у председателя есть один вопрос к руководителю службы информационной безопасности: «Если завтра нас атакует программа-вымогатель, кто будет принимать решения и провели ли мы соответствующие тренировки?» Инструменты важны, но ответ зависит от управления, тренировок и оперативного реагирования персонала. Именно это должна охватывать подготовка руководителей по кибербезопасности. NIST подчеркнул это в своей Рамочной программе кибербезопасности 2.0, добавив шестую функцию. Управление, охватывающее роли, обязанности и полномочия, политику и надзор за стратегией кибербезопасности..
Этот список предоставляет руководителю службы информационной безопасности (CISO) курсы для проведения соответствующей программы. Вы получаете 10 готовых курсов, сгруппированных по 3 категориям, с описанием того, что каждая из них исправляет, и способами их внедрения. Каждая категория заканчивается кратким описанием. Наш выборПриведенные правовые аспекты описывают федеральные правила США, поэтому используйте это как краткое изложение, а не как постановление.
Все 10 курса с первого взгляда
| "Курс" | Что это покрывает | Длина | Закон, лежащий в основе этого? |
|---|---|---|---|
| Управление киберрисками для менеджеров и советов директоров | Пять вопросов, задаваемых советом директоров, склонность к риску и решения в кризисных ситуациях. | 40 мин | Нет |
| Управление ИТ, корпоративная архитектура и ИТ-аудит: COBIT и TOGAF | Цели управления, архитектурный подход и планирование аудита. | 45 мин | Нет |
| ISO/IEC 27001 и система управления информационной безопасностью (СУИБ) | От политики к практике, исключения и общение с аудитором. | 40 мин | Нет |
| Настольная программа-вымогатель для менеджеров | В первый час решающий фактор — кто принимает решение и кто говорит, — имеет значение. | 60 мин | Нет |
| осведомленность о внутренних угрозах | Индикаторы риска, методы подбора персонала и отчетность | 30 мин | Да (подрядчики, имеющие допуск в США) |
| Основы осведомленности в области информационной безопасности | Этапы атаки и основные привычки | 35 мин | Да (финансовые учреждения, находящиеся под юрисдикцией США) |
| Фишинг и социальная инженерия | Тревожные сигналы, проверка и отчетность | 30 мин | Нет |
| Пароли, ключи доступа и многофакторная аутентификация | Безопасный вход в систему, многофакторная аутентификация, пароли и восстановление. | 30 мин | Нет |
| Безопасность ИИ для всех | Теневой ИИ, внедрение импульсов и манипулированные выходные данные | 30 мин | Нет |
| Социальная инженерия, мошенничество и дипфейки | Телефонные мошенничества, мошенничества с платежами и мошенничества с использованием чужих личных данных | 35 мин | Нет |
В соответствии с федеральным правилом США, существуют два курса, доступные только некоторым организациям. Согласно правилу NISPOM, сотрудники оборонных подрядчиков, имеющие допуск к секретной информации, обязаны предоставлять этот допуск новым сотрудникам. Перед предоставлением доступа к секретной информации необходимо пройти обучение по вопросам осведомленности об угрозах со стороны инсайдеров. и подтверждать первоначальное и ежегодное завершение. Правило FTC о мерах защиты гласит, что соответствующие финансовые учреждения должны предоставлять обучение персонала основам безопасностиНи один из них не задает курс для всех остальных.
Управление и рамки
Управление киберрисками для менеджеров и советов директоров
Этот 40-минутный курс рассматривает киберриски как бизнес-риски. Он охватывает пять вопросов, которые следует задать о вашей организации, допустимом уровне риска и краткой информационной панели, неоднозначные моменты в вопросах оплаты, управления и компромиссов, происхождение обязанностей и дальнейшие действия руководства. Руководитель службы информационной безопасности может провести его с командой руководителей перед заседанием совета директоров. Вопрос «информационная панель показывает сотни показателей» используется как слайд с выбором ответа и запускает правильную дискуссию. Члены совета директоров получают свой собственный список вопросов. руководство по обучению членов совета директоров.
Системы управления ИТ, корпоративной архитектуры и аудита ИТ: COBIT и TOGAF.
Этот 45-минутный курс начинается с описания «системы, за которую никто не нес ответственности», а затем рассматривает, почему управление ИТ имеет значение для ценности, рисков и ресурсов, вопросы управления и управленческих целей, метод разработки архитектуры, модели зрелости и планирование ИТ-аудита с отчетом для руководства. Он предоставляет ИТ-менеджерам, подчиняющимся директору по информационной безопасности, общую концепцию. Задание «управление или менеджмент?» позволяет быстро выбрать правильный ответ.
ISO/IEC 27001 и система управления информационной безопасностью
Обычно за систему управления информационной безопасностью (СУИБ) отвечает руководитель службы информационной безопасности (CISO), и каждый сотрудник является её частью. Этот 40-минутный курс объясняет, что такое СУИБ, как политика становится практикой, как обрабатываются исключения и уязвимости, и как общаться с аудитором. Проведите его перед сертификационным или надзорным аудитом, чтобы сотрудники могли отвечать на вопросы, подкрепляя их доказательствами. Слайд с открытым вопросом «Что бы вы показали аудитору?» позволяет выявить пробелы в знаниях на ранней стадии.
Наш выбор: Управление киберрисками для менеджеров и советов директоров. Это превращает функцию управления NIST в пять вопросов, на которые может ответить команда руководителей, и именно с этого разговора большинству руководителей служб информационной безопасности нужно начинать.
Готовность к инцидентам и риски, связанные с инсайдерской информацией.
Настольная программа-вымогатель для менеджеров
Этот 60-минутный курс представляет собой настольную игру, состоящую из трех частей: первый час — принятие решений и коммуникация, а также резервное копирование и исправление ошибок. Менеджеры отрабатывают действия по изоляции машин, общению с прессой и принятию решения о выкупе, на что курс отвечает в рамках лидерства, предоставляя юридические консультации. Завершается курс итоговой проверкой из 7 вопросов. Проведите его в режиме реального времени, используя реальные имена руководителя инцидента и руководителя отдела коммуникаций. Информацию об аналитиках, выполняющих план, см. в соответствующем разделе. наш список обучающих материалов для аналитиков SOC.
осведомленность о внутренних угрозах
Программы по борьбе с внутренними угрозами часто находятся в ведении директора по информационной безопасности (CISO) и охватывают все этапы — от обнаружения до реагирования. Этот 30-минутный курс рассматривает, почему важно обнаружение, поведенческие, технические и финансовые индикаторы, как злоумышленники вербуют доверенных инсайдеров, что нужно делать и чего не нужно делать, и куда сообщать о таких случаях. Он завершается итоговой проверкой из 10 вопросов, для прохождения которой необходимо набрать 80%. Для американских подрядчиков, имеющих допуск к секретной информации, это готовый способ проведения обучения, требуемого правилом NISPOM, хотя в самом правиле этот курс не указан.
Наш выбор: настольная игра-вымогатель для менеджеров. План, который никто не отрабатывал, проваливается в первый же час, и эта настольная игра заставляет лидеров принимать решения еще до того, как давление станет реальным.
Привычки персонала в вопросах безопасности и риски, связанные с ИИ.
Основы осведомленности в области информационной безопасности
Это базовая программа повышения осведомленности, за которую отвечает руководитель службы информационной безопасности (CISO). 35-минутный курс охватывает причины, по которым люди становятся мишенью атак, структуру атаки, тревожные сигналы, способы защиты, а также порядок реагирования и сообщения о происшествиях. В конце курса проводится проверка знаний с помощью 12 вопросов, для прохождения которой необходимо набрать 80% правильных ответов. Для финансовых учреждений, подпадающих под действие правил, это готовый способ выполнить требование FTC о проведении обучения по вопросам информационной безопасности, хотя в самом правиле этот курс не указан.
Фишинг и социальная инженерия
Устойчивость к фишингу — распространенный показатель для руководителей служб информационной безопасности. Этот 30-минутный курс объясняет, как строятся атаки, какие признаки указывают на них, как защитить себя и как сообщать о них. В конце курса вас ждет проверка знаний с помощью 12 вопросов, для прохождения которой необходимо набрать 80%. Используйте его вместе с кнопкой для отправки отчетов, чтобы курс и показатель соответствовали друг другу.
Пароли, ключи доступа и многофакторная аутентификация для персонала.
Внедрение паролей и многофакторной аутентификации — это решение, принимаемое в рамках программы, и сотрудники должны понимать, почему. Этот 30-минутный курс охватывает такие темы, как: почему учетные записи являются объектом пристального внимания, надежные и уникальные способы входа в систему, многофакторная аутентификация и пароли, поддельные страницы входа в систему, а также спорные моменты, связанные с обменом данными, ярлыками и восстановлением. Запустите курс на той неделе, когда будет запущен новый способ входа в систему.
Безопасность ИИ для всех: теневой ИИ, внедрение вредоносного кода и манипулирование результатами.
Политика безопасности ИИ в отношении теневого ИИ и внедрения подсказок все чаще ложится на плечи директора по информационной безопасности (CISO). Этот 30-минутный курс охватывает теневой ИИ и скомпрометированный чат-бот, внедрение подсказок и отравленный контент, скрытые инструкции в PDF-файлах и электронных письмах, бесплатные расширения для ИИ, а также способы запроса утвержденного инструмента или сообщения об инциденте. Облако слов на тему «Какие инструменты ИИ вы используете на работе?» показывает теневой ИИ, о котором вы не знали.
Социальная инженерия, мошенничество и дипфейки: телефонные, платежные и мошеннические схемы с использованием поддельных данных.
Мошенничество с использованием дипфейков и подделкой личности должно быть включено в каждый брифинг по угрозам для руководителей, потому что злоумышленники имитируют имена и голоса руководителей. Этот 35-минутный курс, основанный на убедительном запросе, охватывает тактику, проверку изменений в платежах, подделку голоса и видео, а также объясняет, почему должность и секретность являются давлением, а не доказательством. В первую очередь, проведите его с финансовым отделом и помощниками руководителей.
Наш выбор: безопасность с использованием ИИ для всех. Сотрудники часто внедряют инструменты ИИ быстрее, чем успевают адаптироваться к новым правилам, и этот курс предлагает им простой цикл: запрос, использование, проверка и составление отчета.
Как реализовать план
Начните с управления. Программа NIST CSF 2.0 ставит... регламентировать Во-первых, руководители определяют ожидания в отношении допустимого уровня риска, подотчетности и ресурсов, а остальная часть программы вытекает из этих ожиданий.
- В этом квартале для лидеров: Управление киберрисками, затем обсуждение с участием лиц, указанных в вашем плане действий в случае инцидента, связанного с программами-вымогателями.
- Для каждого сотрудника при приеме на работу: Основные понятия информационной безопасности, фишинг, пароли, ключи доступа и многофакторная аутентификация.
- Для ИТ-специалистов и менеджеров по безопасности: Перед следующим аудитом ознакомьтесь с COBIT, TOGAF и ISO 27001.
- Каждый год: Повторно запускайте настольную игру, тест для повторения материала по каждому курсу, а также курс по безопасности ИИ всякий раз, когда внедряется новый инструмент ИИ.
- Когда это применяется: Американские оборонные подрядчики, имеющие допуск к секретной информации, проходят обучение по предотвращению внутренних угроз до получения доступа к секретной информации и ежегодно после этого; финансовые учреждения, подпадающие под действие правил, поддерживают актуальность обучения по вопросам безопасности в соответствии с Правилами защиты данных Федеральной торговой комиссии. Уточните у своего юриста, какие еще правила действуют в вашей стране или штате.
Способы проведения этих курсов на AhaSlides
Любой из этих курсов можно создать в удобном для вас темпе. AhaSlides С помощью создателя курса можно провести его в формате интерактивной сессии вопросов и ответов или и то, и другое, с последующим опросом, чтобы узнать, что изменилось.
- Выберите ответ: На столешнице покажите записку с требованием выкупа и спросите, кто будет принимать решение о дальнейших действиях.
- Облако слов: Спросите руководителей: «Что вас больше всего беспокоит в случае кибер-инцидента?» и сравните этот ответ с данными вашего реестра рисков.
- Шкала оценок: До и после инцидента задайте вопрос: «Насколько готов наш план действий в чрезвычайных ситуациях?» (от 1 до 5).
- Вопрос открытого типа: Собирайте анонимные вопросы для обсуждения на форуме в конце прямой трансляции.
FAQ
Какая подготовка необходима руководителю службы информационной безопасности (CISO)?
Для работы в должности CISO необходимы знания в области управления рисками и корпоративного управления, навыки руководства реагированием на инциденты, знание применимых правил и умение проводить брифинги для совета директоров. Вышеперечисленные курсы охватывают программы, которыми руководит CISO; сертификация же обеспечивает получение личного сертификата.
Какие сертификаты есть у руководителей служб информационной безопасности (CISO)?
К числу распространенных относятся CISSP, CISM и EC-Council CCISO. Ни один из вышеперечисленных курсов не является сертификацией.
Как часто руководителям следует проводить учения по отработке действий в чрезвычайных ситуациях?
Разумно проводить проверку хотя бы раз в год, а также после крупных изменений, таких как слияние компаний, внедрение новой системы или назначение нового руководителя по инцидентам.
Что такое настольный компьютер с программами-вымогателями?
«Турнир по вымогательству» — это упражнение в формате дискуссии, которое отрабатывает решения, принимаемые лидерами во время атаки с использованием программ-вымогателей, без непосредственного взаимодействия с работающими системами.
Данная публикация содержит общую информацию, а не юридическую консультацию. Для принятия решения относительно вашего рабочего места обратитесь к квалифицированному юристу или в регулирующий орган.
