Остання перевірка 4 листопада 2026 року на відповідність джерелам, посилання на які наведено в цій публікації.
Рада директорів збирається у четвер, і в голови є одне запитання до директора з інформаційної безпеки: «Якщо завтра на нас вдарить програма-вимагач, хто що вирішить, і чи ми це відпрацьовували?» Інструменти мають значення, але відповідь залежить від управління, навчань та персоналу, який швидко звітує. Саме це має охоплювати навчання керівників з кібербезпеки. NIST зазначив це у своїй платформі Cybersecurity Framework 2.0, яка додала шосту функцію, Управління, що охоплює ролі, обов'язки та повноваження, політику та нагляд за стратегією кібербезпеки.
Цей список надає CISO курси для реалізації цієї програми. Ви отримуєте 10 готових курсів, розділених на 3 групи, що виправляє кожен з них і як їх впроваджувати. Кожна група завершується... Наш вибірЮридичні питання описують федеральні правила США, тому використовуйте це як навчальну програму, а не як постанову.
Усі 10 курсів одним поглядом
| Курс | Що воно охоплює | довжина | Закон, що стоїть за цим? |
|---|---|---|---|
| Управління кіберризиками для менеджерів та рад директорів | П'ять питань ради директорів, схильність до ризику та рішення у кризових ситуаціях | 40 хв | Немає |
| Управління ІТ, архітектура підприємства та ІТ-аудит: COBIT та TOGAF | Цілі управління, метод архітектури та планування аудиту | 45 хв | Немає |
| ISO/IEC 27001 та СУІБ | Політика застосування, винятки та розмова з аудитором | 40 хв | Немає |
| Настільний комп'ютер із програмами-вимагачами для менеджерів | Перша година, хто вирішує, а хто говорить, резервні копії | 60 хв | Немає |
| Обізнаність про внутрішні загрози | Індикатори ризику, методи рекрутингу та звітність | 30 хв | Так (підрядники, що мають дозвіл США) |
| Основи обізнаності з питань безпеки | Стадії атаки та основні звички | 35 хв | Так (фінансові установи, що охоплені США) |
| Фішинг та соціальна інженерія | Тривожні сигнали, перевірка та звітність | 30 хв | Немає |
| Паролі, ключі доступу та багатофакторна автентифікація | Безпечний вхід, багатофакторна автентифікація, ключі доступу та відновлення | 30 хв | Немає |
| Безпека зі штучним інтелектом для всіх | Тіньовий ШІ, оперативне впровадження та маніпульовані виходи | 30 хв | Немає |
| Соціальна інженерія, шахрайство та діпфейки | Телефонне шахрайство, платіжні схеми та шахрайство, пов'язані з видаванням себе за іншу особу | 35 хв | Немає |
Два курси базуються на федеральному правилі США та стосуються лише деяких організацій. Згідно з правилом NISPOM, підрядники оборонної галузі повинні надати нещодавно перевіреним співробітникам навчання щодо обізнаності про внутрішні загрози перед наданням доступу до секретної інформації та підтвердити початкове та щорічне завершення. Правило захисних заходів FTC говорить, що охоплені фінансові установи повинні надавати навчання персоналу з питань безпекиЖоден з них не встановлює курс для всіх інших.
Управління та структури
Управління кіберризиками для менеджерів та рад директорів
Цей 40-хвилинний курс розглядає кіберризик як бізнес-ризик. Він охоплює п'ять запитань про вашу організацію, схильність до ризику та коротку інформаційну панель, сірі зони оплати, повідомлення та компромісів, звідки беруться обов'язки, а також подальші дії керівництва. CISO може провести його з командою керівництва перед засіданням ради директорів. Запитання «інформаційна панель показує сотні заходів» працює як слайд «Вибери відповідь» і розпочинає правильну дискусію. Члени ради директорів отримують власний список. наш навчальний посібник ради директорів.
Управління ІТ, архітектура підприємства та структури ІТ-аудиту: COBIT та TOGAF
Цей 45-хвилинний курс починається з теми «система, за яку ніхто не ніс відповідальності», потім розглядається важливість управління ІТ для цінності, ризиків та ресурсів, цілі управління проти цілей управління, метод розробки архітектури, моделі зрілості та планування аудиту ІТ зі звітом для керівництва. Це надає ІТ-менеджерам, які звітують перед CISO, спільну структуру. Вправа на сортування «управління чи менеджмент?» створює швидкий раунд «Вибери відповідь».
ISO/IEC 27001 та система управління інформаційною безпекою
Зазвичай інформаційно-комунікаційна система управління безпекою (ISMS) є власником, і кожен співробітник є її частиною. Цей 40-хвилинний курс пояснює, що таке ISMS, як політика стає практикою, як обробляються винятки та слабкі місця, а також як спілкуватися з аудитором. Розгорніть його перед сертифікаційним або наглядовим аудитом, щоб персонал міг відповісти на запитання з доказами. Відкритий слайд на тему «що б ви показали аудитору?» виявляє прогалини на ранній стадії.
Наш вибір: управління кіберризиками для менеджерів та рад директорів. Це перетворює функцію управління NIST на п'ять питань, на які може відповісти команда керівництва, і саме ця розмова потрібна більшості CISO в першу чергу.
Готовність до інцидентів та внутрішній ризик
Настільний комп'ютер із програмами-вимагачами для менеджерів
Цей 60-хвилинний курс складається з трьох частин: перша година, рішення та комунікація, резервне копіювання та виправлення. Менеджери відпрацьовують, хто ізолює машини, хто спілкується з пресою та хто приймає рішення про викуп, на що курс відповідає як лідерство з юридичною консультацією. Він завершується фінальною перевіркою з 7 питань. Проведіть його в прямому ефірі зі справжніми іменами вашого керівника з інцидентів та керівника відділу комунікацій. Інформацію про аналітиків, які виконують план, див. наш список тренінгів для аналітиків SOC.
Обізнаність про внутрішні загрози
Програми боротьби з внутрішніми загрозами часто проводяться разом із CISO, від виявлення до реагування. Цей 30-хвилинний курс охоплює важливість виявлення, поведінкові, технічні та фінансові показники, як зловмисники вербують довірених інсайдерів, що робити і чого не робити, і куди повідомляти. Він завершується фінальною перевіркою з 10 запитань, на якій 80% відповідає результат. Для перевірених американських підрядників це готовий спосіб проведення навчання, якого вимагає вищезгадане правило NISPOM, хоча в правилі не згадується жодний курс.
Наш вибір: Програма-вимагач для менеджерів на робочому столі. План, який ніхто не репетирував, провалюється в першу годину, і цей стіл змушує лідерів приймати рішення ще до того, як тиск стане реальним.
Звички безпеки персоналу та ризики ШІ
Основи обізнаності з питань безпеки
Це базова програма підвищення обізнаності, за яку відповідає CISO. 35-хвилинний курс охоплює причини, чому люди стають цілями, анатомію атаки, ознаки тривожних сигналів, як захистити себе, як реагувати та повідомляти про атаки, а підсумкова перевірка з 12 запитань на 80% успішна. Для фінансових установ, на які поширюється дія курсу, це готовий спосіб виконати вимогу щодо навчання з питань безпеки, передбачену Правилом про захисні заходи FTC, хоча в самому правилі не згадується жодний курс.
Фішинг та соціальна інженерія
Стійкість до фішингу – поширений показник CISO. Цей 30-хвилинний курс пояснює, як будуються атаки, які тривожні сигнали, як захистити себе та як повідомляти про несправності, а також завершальний тест із 12 запитань на 80% успішності. Поєднайте його з кнопкою повідомлення про несправність, щоб курс та показник збігалися.
Паролі, ключі доступу та багатофакторна автентифікація для персоналу
Впровадження ключів доступу та багатофакторної автентифікації (MFA) – це програмне рішення, і персонал повинен знати, чому. Цей 30-хвилинний курс охоплює причини, чому облікові записи є цільовою аудиторією, надійні та унікальні входи, багатофакторні ключі доступу, фальшиві сторінки входу та сірі зони спільного доступу, швидких атак та відновлення. Запустіть його того ж тижня, коли буде запущено новий метод входу.
Безпека ШІ для всіх: тіньовий ШІ, оперативне впровадження та маніпульовані виходи
Політика безпеки ШІ для тіньового ШІ та оперативного впровадження все частіше лягає на плечі CISO. Цей 30-хвилинний курс охоплює тіньовий ШІ та скомпрометований чат-бот, оперативне впровадження та отруєний контент, приховані інструкції у PDF-файлах та електронних листах, безкоштовні розширення ШІ та те, як запросити схвалений інструмент або повідомити про інцидент. Хмара слів на тему «які інструменти ШІ ви використовуєте на роботі?» показує тіньовий ШІ, про який ви не знали.
Соціальна інженерія, шахрайство та діпфейки: телефонні, платіжні та імперсонаційні шахрайства
Шахрайство з використанням дипфейків та видавання себе за іншу особу має бути частиною кожного брифінгу про загрози для керівників, оскільки зловмисники імітують імена та голоси керівників. Цей 35-хвилинний курс триває після переконливого запиту, охоплює тактики, перевірку змін платежів, підробку голосу та відео, а також пояснює, чому старшинство та секретність є тиском, а не доказом. Спочатку проведіть його з фінансовим відділом та помічниками керівників.
Наш вибір: безпека на основі штучного інтелекту для всіх. Персонал часто впроваджує інструменти штучного інтелекту швидше, ніж це може встигнути зробити політика, і цей курс дає їм простий цикл запиту, використання, перевірки та звітності.
Як розгорнути план
Почніть з управління. CSF 2.0 NIST ставить Уряд по-перше: керівники встановлюють очікування щодо схильності до ризику, підзвітності та ресурсів, а решта програми випливає з них.
- У цьому кварталі для лідерів: управління кіберризиками, а потім робоча область щодо програм-вимагачів із людьми, зазначеними у вашому плані дій.
- Для кожного співробітника під час адаптації: основи безпеки, фішинг, паролі, ключі доступу та багатофакторна автентифікація.
- Для ІТ-менеджерів та менеджерів з безпеки: COBIT та TOGAF, а також ISO 27001 перед вашим наступним аудитом.
- Щороку: повторно запускати настільний тест, повторний тест з кожного курсу та курс безпеки штучного інтелекту щоразу, коли впроваджується новий інструмент штучного інтелекту.
- Коли застосовується: Перевірені підрядники оборонної сфери США проводять навчання з питань інсайдерських загроз перед доступом до секретної інформації та щороку після цього; фінансові установи, на які поширюється дія цього правила, постійно оновлюють навчання з питань безпеки, як це описано в Правилі захисних заходів Федеральної торгової комісії (FTC). Запитайте свого адвоката, що ще застосовується у вашій країні чи штаті.
Способи проведення цих курсів AhaSlides
Ви можете створити будь-який з них як курс у власному темпі за допомогою AhaSlides творець курсу, запустіть їх як сесію запитань і відповідей у реальному часі або і те, й інше, з опитуванням після курсу, щоб побачити, що змінилося.
- Виберіть відповідь: на столі покажіть записку з вимогою викупу та запитайте, хто вирішує наступний крок.
- Хмара слів: Запитайте лідерів: «Що вас найбільше турбує в кіберінциденті?» та порівняйте це зі своїм реєстром ризиків.
- Шкала рейтингу: до та після запитайте «Наскільки готовий наш план дій у разі інциденту?» від 1 до 5.
- Відкритий кінець: збирати анонімні запитання для дошки в кінці живої сесії.
FAQ
Яка підготовка потрібна CISO?
CISO потребує управління ризиками та управління, лідерства у реагуванні на інциденти, знання чинних правил та вміння інструктувати раду директорів. Вищезазначені курси охоплюють програму, яку проводить CISO; сертифікати охоплюють особисті повноваження.
Які сертифікати мають CISO?
Поширені серед них – CISSP, CISM та CCISO Ради ЄС. Жоден із перелічених вище курсів не є сертифікацією.
Як часто керівники повинні проводити навчання з питань інцидентів?
Принаймні раз на рік є розумним базовим показником, а також знову після значних змін, таких як злиття, нова система або новий інцидентний лід.
Що таке настільний комп'ютер із програмою-вимагачем?
«Технічний огляд програм-вимагачів» – це вправа на основі обговорення, яка відпрацьовує рішення, що приймаються керівниками під час атаки програм-вимагачів, не торкаючись робочих систем.
Ця публікація є загальною інформацією, а не юридичною порадою. Щоб прийняти рішення щодо вашого власного робочого місця, зверніться до кваліфікованого юриста або до регулятора.
