Bu yazıda bağlantısı verilen kaynaklara göre en son 4 Kasım 2026 tarihinde incelenmiştir.
Yönetim kurulu Perşembe günü toplanıyor ve başkanın Bilgi Güvenliği Direktörüne (CISO) tek bir sorusu var: "Yarın fidye yazılımı saldırısına uğrarsak, kim ne yapacak ve biz bunun için tatbikat yaptık mı?" Araçlar önemli, ancak cevap yönetişime, tatbikatlara ve hızlı rapor veren personele bağlı. Yöneticiler için siber güvenlik eğitiminin kapsamı da bu olmalı. NIST, altıncı bir işlev ekleyen Siber Güvenlik Çerçevesi 2.0'da bu noktayı vurguladı. Yönetim; roller, sorumluluklar ve yetkiler, politika ve siber güvenlik stratejisinin denetimini kapsar..
Bu liste, bir CISO'ya bu programı yürütmek için gereken kursları sunar. Her biri hangi sorunu çözdüğünü ve nasıl uygulanacağını açıklayan 3 grupta 10 hazır kurs elde edersiniz. Her grup bir sonuçla sona erer. Bizim seçimHukuki noktalar ABD federal kurallarını açıklamaktadır, bu nedenle bunu bir ders programı olarak kullanın, bir karar olarak değil.
10 dersin tamamına genel bakış
| Kurs | Neyi kapsıyor | uzunluk | Bunun ardındaki yasa nedir? |
|---|---|---|---|
| Yöneticiler ve yönetim kurulları için siber risk yönetişimi | Yönetim kurulunun beş sorusu, risk iştahı ve kriz kararları | 40 dk | Yok hayır |
| BT yönetişimi, kurumsal mimari ve BT denetimi: COBIT ve TOGAF | Yönetişim hedefleri, mimari yöntem ve denetim planlaması | 45 dk | Yok hayır |
| ISO/IEC 27001 ve Bilgi Güvenliği Yönetim Sistemi | Politikadan uygulamaya, istisnalardan denetçiyle konuşmaya kadar | 40 dk | Yok hayır |
| Yöneticiler için fidye yazılımı masaüstü oyunu | İlk saatte kim karar veriyor, kim konuşuyor, yedeklemeler yapılıyor. | 60 dk | Yok hayır |
| İç tehdit farkındalığı | Risk göstergeleri, işe alım yöntemleri ve raporlama | 30 dk | Evet (ABD onaylı yükleniciler) |
| Güvenlik bilincinin temel unsurları | Saldırının aşamaları ve temel alışkanlıklar | 35 dk | Evet (ABD'deki finans kuruluşları) |
| Kimlik avı ve sosyal mühendislik | Şüpheli durumlar, doğrulama ve raporlama | 30 dk | Yok hayır |
| Parolalar, şifreler ve çok faktörlü kimlik doğrulama | Güvenli oturum açma, çok faktörlü kimlik doğrulama, parola ve veri kurtarma | 30 dk | Yok hayır |
| Herkes için yapay zeka güvenliği | Gölge yapay zeka, hızlı enjeksiyon ve manipüle edilmiş çıktılar | 30 dk | Yok hayır |
| Sosyal mühendislik, dolandırıcılık ve deepfake'ler | Telefon, ödeme ve kimlik hırsızlığı dolandırıcılıkları | 35 dk | Yok hayır |
İki kurs, ABD federal yönetmeliğine tabidir ve yalnızca bazı kuruluşlar için geçerlidir. NISPOM yönetmeliğine göre, güvenlik izni almış savunma sanayi yüklenicileri, yeni güvenlik izni almış çalışanlarına bu eğitimi vermek zorundadır. Gizli bilgilere erişim izni verilmeden önce içeriden gelen tehditlere karşı farkındalık eğitimi verilmesi ve ilk ve yıllık tamamlanmayı doğrulayın. FTC Güvenlik Önlemleri Kuralı, kapsama giren finansal kurumların sağlaması gerektiğini belirtiyor. personellerine güvenlik bilinci eğitimi vermekİkisinin de diğerleri için bir yol haritası belirlemesi söz konusu değil.
Yönetişim ve çerçeveler
Yöneticiler ve yönetim kurulları için siber risk yönetişimi
Bu 40 dakikalık kurs, siber riski iş riski olarak ele almaktadır. Kuruluşunuz hakkında sorulacak beş soruyu, risk iştahını ve kısa bir gösterge panosunu, ödeme, bilgilendirme ve ödünleşmelerin gri alanlarını, görevlerin nereden geldiğini ve bundan sonra atılacak liderlik adımlarını kapsamaktadır. Bir CISO, yönetim kurulu toplantısından önce liderlik ekibiyle birlikte bu kursu uygulayabilir. "Bir gösterge panosu yüzlerce ölçüm gösteriyor" sorusu, bir Cevap Seç slaytı olarak işlev görür ve doğru argümanı başlatır. Yönetim kurulu üyeleri kendi listelerini alırlar. Yönetim kurulu eğitim kılavuzumuz.
BT yönetişimi, kurumsal mimari ve BT denetim çerçeveleri: COBIT ve TOGAF
Bu 45 dakikalık kurs, "kimsenin hesap vermediği bir sistem" ile başlıyor ve ardından BT yönetişiminin değer, risk ve kaynaklar için neden önemli olduğunu, yönetişim ve yönetim hedeflerini, mimari geliştirme yöntemini, olgunluk modellerini ve liderliğe rapor sunulacak bir BT denetimi planlamasını ele alıyor. CISO'ya rapor veren BT yöneticilerine ortak bir çerçeve sunuyor. "Yönetişim mi, yönetim mi?" sıralama etkinliği, hızlı bir Cevap Seç turu oluşturuyor.
ISO/IEC 27001 ve bilgi güvenliği yönetim sistemi
Bilgi Güvenliği Yönetim Sistemi (ISMS) genellikle Bilgi Güvenliği Direktörü (CISO) tarafından yönetilir ve her çalışan bunun bir parçasıdır. Bu 40 dakikalık kurs, bir ISMS'nin ne olduğunu, politikanın nasıl uygulamaya dönüştüğünü, istisnaların ve zayıf noktaların nasıl ele alındığını ve bir denetçiyle nasıl konuşulacağını açıklar. Personelin soruları kanıtlarla yanıtlayabilmesi için sertifikasyon veya gözetim denetiminden önce uygulamaya koyun. "Bir denetçiye ne gösterirdiniz?" başlıklı açık uçlu bir slayt, eksiklikleri erken aşamada ortaya çıkarır.
Bizim önerimiz: Yöneticiler ve yönetim kurulları için siber risk yönetişimi. Bu, NIST'in Yönetişim işlevini, bir liderlik ekibinin yanıtlayabileceği beş soruya dönüştürüyor; bu da çoğu CISO'nun öncelikle yapması gereken bir görüşme.
Olaylara hazırlık ve içeriden kaynaklanan risk
Yöneticiler için fidye yazılımı masaüstü oyunu
Bu 60 dakikalık kurs, üç bölümden oluşan bir masa başı tatbikatıdır: ilk saat, kararlar ve iletişim, yedeklemeler ve düzeltmeler. Yöneticiler, makineleri kimin izole edeceğini, basına kimin konuşacağını ve fidye konusunda kimin karar vereceğini uygulamalı olarak öğrenirler; kurs, liderlik rolünde yasal tavsiyelerle bu sorulara yanıt verir. Kurs, 7 soruluk son bir kontrolle sona erer. Kursu, olay yöneticinizin ve iletişim sorumlunuzun gerçek adlarıyla canlı olarak uygulayın. Planı uygulayan analistler için bkz. SOC analist eğitim listemiz.
İç tehdit farkındalığı
İçeriden gelen tehditlerle mücadele programları, tespit aşamasından müdahale aşamasına kadar genellikle Bilgi Güvenliği Yöneticisi (CISO) sorumluluğundadır. Bu 30 dakikalık kurs, tespitin neden önemli olduğunu, davranışsal, teknik ve finansal göstergeleri, düşmanların güvenilir içeriden kişileri nasıl işe aldığını, ne yapılması ve ne yapılmaması gerektiğini ve nereye rapor verileceğini kapsar. Kurs, %80 başarı oranıyla 10 soruluk bir son kontrol sınavıyla sona erer. Güvenlik izni olan ABD'li yükleniciler için, yukarıdaki NISPOM kuralının gerektirdiği eğitimi sunmanın hazır bir yoludur, ancak kuralda herhangi bir kurs belirtilmemiştir.
Bizim önerimiz: Yöneticiler için fidye yazılımı masaüstü oyunu. Daha önce kimsenin prova etmediği bir plan ilk saatte başarısız olur ve bu masa başı tatbikatı, liderlerin baskı gerçek hale gelmeden önce karar vermelerini sağlar.
Personel güvenlik alışkanlıkları ve yapay zeka riski
Güvenlik bilincinin temel unsurları
Bu, bir CISO'nun sorumlu olduğu temel farkındalık programıdır. 35 dakikalık kurs, insanların neden hedef alındığını, bir saldırının anatomisini, uyarı işaretlerini, kendinizi nasıl koruyacağınızı, nasıl yanıt vereceğinizi ve raporlayacağınızı kapsar ve %80 başarı oranıyla 12 soruluk bir final kontrolü içerir. Kapsam dahilindeki finans kuruluşları için, FTC Güvenlik Önlemleri Kuralı'nın güvenlik farkındalığı eğitim gereksinimini karşılamanın hazır bir yoludur, ancak kuralda herhangi bir kurs belirtilmemiştir.
Kimlik avı ve sosyal mühendislik
Kimlik avı saldırılarına karşı dayanıklılık, CISO'lar için yaygın bir ölçüttür. Bu 30 dakikalık kurs, saldırıların nasıl oluşturulduğunu, uyarı işaretlerini, kendinizi nasıl koruyacağınızı ve nasıl raporlama yapacağınızı açıklıyor; geçme notu %80 olan 12 soruluk bir final kontrolü de içeriyor. Kurs ve ölçütün eşleşmesi için raporlama düğmenizle birlikte kullanın.
Personel için parolalar, geçiş kartları ve çok faktörlü kimlik doğrulama.
Parola ve çok faktörlü kimlik doğrulamanın (MFA) kullanıma sunulması bir program kararıdır ve personelin bunun nedenini bilmesi gerekir. Bu 30 dakikalık kurs, hesapların neden hedef alındığını, güçlü ve benzersiz oturum açma işlemlerini, çok faktörlü kimlik doğrulamayı ve parolaları, sahte oturum açma sayfalarını ve paylaşım, kısayollar ve kurtarma işlemlerinin gri alanlarını kapsar. Yeni bir oturum açma yöntemi kullanıma sunulduğu hafta başlatın.
Herkes için yapay zeka güvenliği: gölge yapay zeka, anlık enjeksiyon ve manipüle edilmiş çıktılar
Gölge yapay zeka ve anlık enjeksiyon için yapay zeka güvenlik politikası giderek daha çok CISO'nun (Bilgi Güvenliği Yöneticisi) sorumluluğuna düşüyor. Bu 30 dakikalık kurs, gölge yapay zeka ve tehlikeye atılmış bir sohbet robotu, anlık enjeksiyon ve zehirli içerik, PDF'lerde ve e-postalarda gizli talimatlar, ücretsiz yapay zeka uzantıları ve onaylı bir araç talep etme veya bir olayı bildirme konularını ele alıyor. "İş yerinde hangi yapay zeka araçlarını kullanıyorsunuz?" sorusuna yönelik bir Kelime Bulutu, bilmediğiniz gölge yapay zekayı gösteriyor.
Sosyal mühendislik, dolandırıcılık ve deepfake'ler: telefon, ödeme ve kimlik taklit dolandırıcılıkları
Deepfake ve kimlik taklit dolandırıcılığı, her yönetici tehdit bilgilendirme toplantısında yer almalıdır, çünkü saldırganlar yöneticilerin isimlerini ve seslerini taklit ederler. Bu 35 dakikalık kurs, ikna edici bir talebi takip eder, taktikleri, ödeme değişikliklerinin doğrulanmasını, sahte ses ve videoyu ve kıdem ve gizliliğin kanıt değil, baskı aracı olmasının nedenlerini ele alır. Öncelikle finans departmanı ve yönetici asistanlarıyla uygulayın.
Bizim tercihimiz: Herkes için yapay zeka destekli güvenlik. Personel genellikle yapay zeka araçlarını politikalardan daha hızlı benimser ve bu kurs onlara basit bir talep, kullanım, kontrol ve raporlama döngüsü sunar.
Plan nasıl hayata geçirilecek?
Yönetişimle başlayın. NIST'in CSF 2.0'ı şunları öngörüyor: yönetmek İlk olarak, yöneticiler risk iştahı, hesap verebilirlik ve kaynaklar konusunda beklentileri belirler ve programın geri kalanı bunlara göre şekillenir.
- Bu çeyrekte liderler için: Siber risk yönetimi ve ardından olay planınızda adı geçen kişilerle fidye yazılımı masa başı tatbikatı.
- Her çalışan için, işe alım sürecinde: Güvenlik bilincinin temel unsurları, kimlik avı ve parolalar, geçiş anahtarları ve çok faktörlü kimlik doğrulama.
- BT ve güvenlik yöneticileri için: Bir sonraki denetiminizden önce COBIT, TOGAF ve ISO 27001 standartlarını kontrol edin.
- Her yıl: Yeni bir yapay zeka aracı kullanıma sunulduğunda masa başı tatbikatını, her dersle ilgili tekrar sınavını ve yapay zeka güvenliği kursunu yeniden başlatın.
- Uygulandığı durumlar: ABD savunma sanayiinde yetkilendirilmiş yükleniciler, gizli bilgilere erişimden önce ve sonrasında her yıl içeriden gelen tehditlere karşı eğitim vermektedir; kapsama giren finans kurumları, FTC Güvenlik Önlemleri Kuralı'nda belirtildiği gibi güvenlik bilinci eğitimlerini güncel tutmaktadır. Ülkenizde veya eyaletinizde başka nelerin geçerli olduğunu avukatınıza sorun.
Bu kursları yürütmenin yolları AhaSlides
Bunlardan herhangi birini kendi hızınızda ilerleyebileceğiniz bir kurs olarak oluşturabilirsiniz. AhaSlides Kurs oluşturucu olarak kullanabilir, canlı soru-cevap oturumu sunumu olarak gerçekleştirebilir veya her ikisini de yapabilir ve kurs sonrasında nelerin değiştiğini görmek için bir anket uygulayabilirsiniz.
- Cevap Seç: Masanın üzerine fidye notunu gösterin ve bir sonraki adıma kimin karar vereceğini sorun.
- Kelime Bulutu: Liderlere "Siber bir olayla ilgili sizi en çok ne endişelendiriyor?" diye sorun ve bunu risk kayıt defterinizle karşılaştırın.
- Derecelendirme Ölçeği: Olaydan önce ve sonra, "Olay planımız ne kadar hazır?" sorusunu 1 ile 5 arasında puanlayarak sorun.
- Açık Uçlu: Canlı oturumun sonunda yönetim kuruluna yöneltilmek üzere anonim sorular toplayın.
SSS
Bir Bilgi Güvenliği Yöneticisinin (CISO) hangi eğitimlere ihtiyacı var?
Bir CISO'nun risk ve yönetişim, olay müdahale liderliği, geçerli kurallar hakkında bilgi ve yönetim kuruluna sunum yapma becerisine ihtiyacı vardır. Yukarıdaki kurslar, bir CISO'nun yürüttüğü programı kapsarken, sertifikalar kişisel yetkinliği kapsar.
CISO'ların hangi sertifikaları vardır?
En yaygın olanları arasında CISSP, CISM ve EC-Council CCISO yer almaktadır. Yukarıdaki kursların hiçbiri sertifika niteliğinde değildir.
Liderler olay tatbikatlarını ne sıklıkla yapmalıdır?
Yılda en az bir kez kontrol etmek mantıklı bir temeldir ve birleşme, yeni bir sistem veya yeni bir olay yöneticisi gibi büyük bir değişiklikten sonra tekrar kontrol edilmelidir.
Fidye yazılımı masaüstü saldırısı nedir?
Fidye yazılımı masaüstü tatbikatı, canlı sistemlere dokunmadan, liderlerin bir fidye yazılımı saldırısı sırasında alacakları kararları prova eden, tartışmaya dayalı bir uygulamadır.
Bu yazı genel bilgilendirme amaçlıdır, hukuki tavsiye niteliği taşımaz. Kendi iş yerinizle ilgili bir karar için, yetkili bir avukata veya düzenleyici kuruma danışın.
