Naposledy skontrolované 4. novembra 2026 podľa zdrojov uvedených v tomto príspevku.
Správna rada sa stretne vo štvrtok a predseda má pre CISO jednu otázku: „Ak by nás zajtra zasiahol ransomvér, kto o čom rozhodne a či sme to nacvičili?“ Nástroje sú dôležité, ale odpoveď závisí od riadenia, cvičení a zamestnancov, ktorí rýchlo podávajú správy. To musí zahŕňať školenie manažérov v oblasti kybernetickej bezpečnosti. NIST to zdôraznil vo svojom Rámci kybernetickej bezpečnosti 2.0, ktorý pridal šiestu funkciu, Riadenie, zahŕňajúce úlohy, zodpovednosti a právomoci, politiku a dohľad nad stratégiou kybernetickej bezpečnosti.
Tento zoznam poskytuje CISO kurzy na spustenie daného programu. Dostanete 10 hotových kurzov v 3 skupinách, čo každý z nich rieši a ako ich zaviesť. Každá skupina končí Náš výberPrávne body opisujú federálne pravidlá USA, preto ich používajte ako osnovy, nie ako rozhodnutie.
Všetkých 10 kurzov na prvý pohľad
| Cesta | Čo pokrýva | Dĺžka | Zákon za tým? |
|---|---|---|---|
| Riadenie kybernetických rizík pre manažérov a predstavenstvá | Päť otázok pre predstavenstvo, chuť riskovať a krízové rozhodnutia | 40 min | Nie |
| Riadenie IT, podniková architektúra a audit IT: COBIT a TOGAF | Ciele riadenia, metóda architektúry a plánovanie auditu | 45 min | Nie |
| ISO/IEC 27001 a ISMS | Pravidlá, ktoré treba dodržiavať, výnimky a rozhovor s audítorom | 40 min | Nie |
| Ransomware stolový systém pre manažérov | Prvá hodina, kto rozhoduje a kto hovorí, zálohy | 60 min | Nie |
| Povedomie o vnútorných hrozbách | Ukazovatele rizika, metódy náboru a podávanie správ | 30 min | Áno (dodávatelia s previerkou v USA) |
| Základné informácie o bezpečnosti | Fázy útoku a základné návyky | 35 min | Áno (finančné inštitúcie kryté USA) |
| Phishing a sociálne inžinierstvo | Varovné signály, overovanie a hlásenie | 30 min | Nie |
| Heslá, prístupové kľúče a viacfaktorové overovanie | Bezpečné prihlásenia, MFA, prístupové kľúče a obnovenie | 30 min | Nie |
| Bezpečnosť s umelou inteligenciou pre každého | Tieňová umelá inteligencia, promptná injekcia a manipulované výstupy | 30 min | Nie |
| Sociálne inžinierstvo, podvody a deepfakes | Telefonické, platobné a imitačné podvody | 35 min | Nie |
Dva kurzy sú založené na federálnom pravidle USA a platia len pre niektoré organizácie. Podľa pravidla NISPOM musia preverení dodávatelia v oblasti obrany poskytnúť novo prevereným zamestnancom školenie o povedomí o vnútorných hrozbách pred udelením prístupu k utajovaným informáciám a overiť počiatočné a ročné dokončenie. Zásady ochranných opatrení FTC hovoria, že finančné inštitúcie, na ktoré sa vzťahujú tieto opatrenia, musia poskytnúť školenie o bezpečnosti pre svojich zamestnancovAni jeden z nich neurčuje smer pre všetkých ostatných.
Riadenie a rámce
Riadenie kybernetických rizík pre manažérov a predstavenstvá
Tento 40-minútový kurz sa zaoberá kybernetickým rizikom ako obchodným rizikom. Zahŕňa päť otázok, ktoré si môžete položiť o vašej organizácii, o apetíte riskovať a krátkej tabuľke, šedých zónach platenia, informovania a kompromisov, odkiaľ pochádzajú povinnosti a aké kroky vedenia je potrebné podniknúť ďalej. CISO si ho môže preštudovať s vedúcim tímom pred zasadnutím predstavenstva. Otázka „tabuľka zobrazuje stovky opatrení“ funguje ako slajd s možnosťou výberu odpovede a začína správnu argumentáciu. Členovia predstavenstva dostanú svoj vlastný zoznam v... náš sprievodca školením predstavenstva.
Rámce pre riadenie IT, podnikovú architektúru a audit IT: COBIT a TOGAF
Tento 45-minútový kurz sa začína témou „systém, za ktorý nikto nebol zodpovedný“, potom sa venuje tomu, prečo je riadenie IT dôležité pre hodnotu, riziko a zdroje, cieľom riadenia verzus manažment, metóde vývoja architektúry, modelom zrelosti a plánovaniu IT auditu so správou pre vedenie. Poskytuje IT manažérom, ktorí sa podávajú správy CISO, spoločný rámec. Triediaca aktivita „riadenie alebo manažment?“ vytvára rýchle kolo výberu odpovede.
ISO/IEC 27001 a systém riadenia informačnej bezpečnosti
CISO zvyčajne vlastní ISMS a každý zamestnanec je jeho súčasťou. Tento 40-minútový kurz vysvetľuje, čo je ISMS, ako sa politika stáva praxou, ako sa riešia výnimky a slabé stránky a ako hovoriť s audítorom. Zaveďte ho pred certifikačným alebo dohľadovým auditom, aby zamestnanci mohli odpovedať na otázky s dôkazmi. Otvorená snímka na tému „čo by ste ukázali audítorovi?“ odhalí medzery včas.
Náš výber: Riadenie kybernetických rizík pre manažérov a predstavenstvá. Funkciu riadenia NIST premieňa na päť otázok, na ktoré môže odpovedať vedúci tím, čo je konverzácia, ktorú väčšina CISO potrebuje ako prvú.
Pripravenosť na incidenty a vnútorné riziko
Ransomware stolový systém pre manažérov
Tento 60-minútový kurz je formou simulovaného kurzu v troch častiach: prvá hodina, rozhodnutia a komunikácia a zálohy a opravy. Manažéri si precvičujú, kto izoluje stroje, kto hovorí s tlačou a kto rozhoduje o výkupnom, na čo kurz odpovedá ako vedenie s právnym poradenstvom. Končí záverečnou kontrolou so 7 otázkami. Spustite ho naživo so skutočnými menami vášho vedúceho incidentu a vedúceho komunikácie. Analytikov, ktorí plán realizujú, nájdete tu. náš zoznam školení pre analytikov SOC.
Povedomie o vnútorných hrozbách
Programy na riešenie vnútorných hrozieb často prebiehajú pod vedením CISO, od detekcie až po reakciu. Tento 30-minútový kurz sa zaoberá tým, prečo je detekcia dôležitá, behaviorálnymi, technickými a finančnými ukazovateľmi, ako útočníci získavajú dôveryhodných zasvätených osôb, čo robiť a nerobiť a kde hlásiť hrozby. Končí záverečnou kontrolou s 10 otázkami, na ktorej je 80 % úspešných. Pre preverených amerických dodávateľov je to hotový spôsob poskytovania školenia, ktoré vyžaduje vyššie uvedené pravidlo NISPOM, hoci pravidlo neuvádza žiadny kurz.
Náš výber: Ransomware stolový softvér pre manažérov. Plán, ktorý nikto nenacvičil, zlyhá v prvej hodine a tento stôl núti lídrov rozhodnúť sa skôr, ako je tlak skutočný.
Bezpečnostné návyky zamestnancov a riziko umelej inteligencie
Základné informácie o bezpečnosti
Toto je základný program zvyšovania povedomia, za ktorý je zodpovedný CISO. 35-minútový kurz sa zaoberá tým, prečo sú ľudia terčom útoku, anatómiou útoku, varovnými signálmi, ako sa chrániť a ako reagovať a nahlásiť útok, s 12-otázkovou záverečnou kontrolou s 80 % úspešnosťou. Pre finančné inštitúcie, na ktoré sa vzťahuje tento program, je to hotový spôsob, ako splniť požiadavku na školenie v oblasti bezpečnostného povedomia podľa pravidla FTC o zárukách, hoci pravidlo neuvádza žiadny kurz.
Phishing a sociálne inžinierstvo
Odolnosť voči phishingu je bežnou metrikou CISO. Tento 30-minútový kurz vysvetľuje, ako sa útoky vytvárajú, varovné signály, ako sa chrániť a ako nahlásiť útoky, pričom záverečný test pozostáva z 12 otázok s 80 % úspešnosťou. Spárujte ho s tlačidlom nahlasovania, aby sa kurz a metrika zhodovali.
Heslá, prístupové kľúče a viacfaktorové overovanie pre zamestnancov
Zavádzanie prístupových kľúčov a viacfaktorovej autentifikácie (MFA) je programové rozhodnutie a zamestnanci musia vedieť prečo. Tento 30-minútový kurz sa zaoberá tým, prečo sú účty cieľom, silnými a jedinečnými prihláseniami, viacfaktorovými a prístupovými kľúčmi, falošnými prihlasovacími stránkami a šedými zónami zdieľania, skratiek a obnovy. Spustite ho v týždni, keď bude spustená nová metóda prihlásenia.
Zabezpečenie umelej inteligencie pre každého: tieňová umelá inteligencia, promptná injekcia a manipulované výstupy
Bezpečnostná politika umelej inteligencie pre tieňovú umelú inteligenciu a prompt injection čoraz častejšie pripadá na riaditeľa bezpečnostnej bezpečnosti (CISO). Tento 30-minútový kurz sa zaoberá tieňovou umelou inteligenciou a kompromitovaným chatbotom, prompt injection a infikovaným obsahom, skrytými pokynmi v PDF súboroch a e-mailoch, bezplatnými rozšíreniami umelej inteligencie a tým, ako požiadať o schválený nástroj alebo nahlásiť incident. Slovný mrak na tému „ktoré nástroje umelej inteligencie používate v práci?“ ukazuje tieňovú umelú inteligenciu, o ktorej ste nevedeli.
Sociálne inžinierstvo, podvody a deepfakes: telefonické, platobné a zosobňovacie podvody
Podvody s deepfake a imitáciou identity patria do každého brífingu o hrozbách pre manažérov, pretože útočníci napodobňujú mená a hlasy manažérov. Tento 35-minútový kurz nasleduje po presvedčivej žiadosti, zaoberá sa taktikami, overovaním zmien platieb, falošným hlasom a videom a vysvetlením, prečo sú seniority a utajovanie nátlakom, nie dôkazom. Najprv si ho preberte s finančným oddelením a asistentmi manažéra.
Naša voľba: Zabezpečenie pomocou umelej inteligencie pre každého. Zamestnanci často zavádzajú nástroje umelej inteligencie rýchlejšie, ako to dokáže politika, a tento kurz im poskytne jednoduchý cyklus požiadavky, použitia, kontroly a hlásenia.
Ako zaviesť plán
Začnite s riadením. CSF 2.0 od NISTu uvádza vládnuť po prvé: manažéri stanovujú očakávania týkajúce sa ochoty riskovať, zodpovednosti a zdrojov a zvyšok programu z nich vyplýva.
- Tento štvrťrok, pre lídrov: riadenie kybernetických rizík, potom tabuľka ransomvéru s ľuďmi uvedenými vo vašom pláne incidentov.
- Pre každého zamestnanca pri nástupe do zamestnania: základné informácie o bezpečnosti, phishing a heslá, prístupové kľúče a MFA.
- Pre IT a bezpečnostných manažérov: COBIT a TOGAF a ISO 27001 pred vaším ďalším auditom.
- Každý rok: znova spustite tabuľku, opakovací kvíz z každého kurzu a kurz bezpečnosti umelej inteligencie vždy, keď sa zavedie nový nástroj umelej inteligencie.
- Kedy sa to uplatňuje: Preverení americkí dodávatelia v oblasti obrany poskytujú školenie o vnútorných hrozbách pred prístupom k utajovaným informáciám a každý rok potom; finančné inštitúcie, na ktoré sa vzťahuje táto žiadosť, udržiavajú školenia o bezpečnostnom povedomí aktuálne, ako je popísané v pravidle FTC Safeguards. Opýtajte sa svojho právneho zástupcu, čo ešte platí vo vašej krajine alebo štáte.
Spôsoby, ako viesť tieto kurzy AhaSlides
Ktorýkoľvek z nich si môžete vytvoriť ako kurz vlastným tempom s AhaSlides tvorca kurzu, spustite ich ako živú diskusiu s otázkami a odpoveďami alebo oboje s prieskumom po kurze, aby ste zistili, čo sa zmenilo.
- Vyberte odpoveď: na stole ukážte výkupné a opýtajte sa, kto rozhodne o ďalšom kroku.
- Word Cloud: opýtajte sa vedúcich pracovníkov „Čo vás na kybernetickom incidente najviac znepokojuje?“ a porovnajte to s vaším registrom rizík.
- Hodnotiaca stupnica: Pred a po sa opýtajte „Ako pripravený je náš plán pre prípad incidentu?“ od 1 do 5.
- Otvorené: zbierať anonymné otázky pre predstavenstvo na konci živého stretnutia.
Často kladené otázky
Aké školenie potrebuje CISO?
CISO potrebuje znalosti o rizikách a riadení, vedenie v reakcii na incidenty, znalosť platných pravidiel a zručnosť informovať predstavenstvo. Vyššie uvedené kurzy pokrývajú program, ktorý CISO vedie; certifikácie pokrývajú osobné poverenia.
Aké certifikácie majú CISO?
Medzi bežné patria CISSP, CISM a CCISO Rady EÚ. Žiaden z vyššie uvedených kurzov nie je certifikáciou.
Ako často by mali vedúci pracovníci vykonávať cvičenia pre prípady incidentov?
Rozumným východiskovým bodom je aspoň raz ročne a opäť po veľkej zmene, ako je fúzia, nový systém alebo nový incidentový lead.
Čo je ransomvérový stôl?
Tabuľka ransomvéru je cvičenie založené na diskusii, ktoré si precvičuje rozhodnutia, ktoré vedúci pracovníci robia počas útoku ransomvéru, bez toho, aby sa dotýkali živých systémov.
Tento príspevok je všeobecnou informáciou, nie právnym poradenstvom. Ak chcete rozhodnúť o svojom vlastnom pracovisku, obráťte sa na kvalifikovaného právnika alebo regulačný orgán.
