Lần cuối được xem xét vào ngày 4 tháng 11 năm 2026 dựa trên các nguồn được liên kết trong bài đăng này.
Hội đồng quản trị sẽ họp vào thứ Năm, và chủ tịch có một câu hỏi dành cho Giám đốc An ninh Thông tin (CISO): "Nếu ngày mai chúng ta bị tấn công bằng mã độc tống tiền, ai sẽ quyết định điều gì, và chúng ta đã diễn tập về vấn đề này chưa?" Các công cụ rất quan trọng, nhưng câu trả lời phụ thuộc vào quản trị, diễn tập và đội ngũ nhân viên báo cáo nhanh chóng. Đó là những gì mà chương trình đào tạo an ninh mạng cho các nhà quản lý cấp cao cần phải đề cập. NIST đã nêu rõ điểm này trong Khung An ninh mạng 2.0 của mình, bổ sung thêm chức năng thứ sáu. Quản lý, bao gồm vai trò, trách nhiệm và quyền hạn, chính sách và giám sát chiến lược an ninh mạng..
Danh sách này cung cấp cho CISO các khóa học cần thiết để triển khai chương trình đó. Bạn sẽ nhận được 10 khóa học được thiết kế sẵn, chia thành 3 nhóm, mỗi nhóm giải quyết vấn đề gì và cách triển khai chúng. Mỗi nhóm đều kết thúc bằng một bài tập thực hành. Lựa chọn của chúng tôiCác điểm pháp lý mô tả các quy định liên bang của Hoa Kỳ, vì vậy hãy sử dụng tài liệu này như một bản tóm tắt nội dung, chứ không phải là một phán quyết.
Tổng quan về tất cả 10 khóa học
| Khóa học | Những gì nó bao gồm | Chiều dài | Luật nào đứng sau chuyện này? |
|---|---|---|---|
| Quản trị rủi ro mạng cho các nhà quản lý và hội đồng quản trị | Năm câu hỏi dành cho hội đồng quản trị, mức độ chấp nhận rủi ro và các quyết định trong khủng hoảng. | 40 phút | Không |
| Quản trị CNTT, kiến trúc doanh nghiệp và kiểm toán CNTT: COBIT và TOGAF | Mục tiêu quản trị, phương pháp kiến trúc và kế hoạch kiểm toán | 45 phút | Không |
| Tiêu chuẩn ISO/IEC 27001 và hệ thống quản lý an toàn thông tin (ISMS). | Từ chính sách đến thực tiễn, các trường hợp ngoại lệ và trao đổi với kiểm toán viên. | 40 phút | Không |
| Mô hình quản lý phần mềm tống tiền | Giờ đầu tiên, ai quyết định và ai phát biểu, ai được hỗ trợ. | 60 phút | Không |
| nhận thức về mối đe dọa nội bộ | Các chỉ số rủi ro, phương pháp tuyển dụng và báo cáo | 30 phút | Có (nhà thầu được cấp phép của Mỹ) |
| Những yếu tố thiết yếu về nhận thức an ninh | Các giai đoạn của một cuộc tấn công và các thói quen cốt lõi | 35 phút | Có (áp dụng cho các tổ chức tài chính tại Hoa Kỳ) |
| Lừa đảo và kỹ thuật xã hội | Các dấu hiệu đáng ngờ, xác minh và báo cáo | 30 phút | Không |
| Mật khẩu, mã khóa và xác thực đa yếu tố | Đăng nhập an toàn, xác thực đa yếu tố (MFA), mật khẩu và khôi phục. | 30 phút | Không |
| Bảo mật AI cho tất cả mọi người | Trí tuệ nhân tạo ngầm, tiêm thuốc nhanh và đầu ra bị thao túng | 30 phút | Không |
| Kỹ thuật thao túng tâm lý, lừa đảo và deepfake | Các vụ lừa đảo qua điện thoại, thanh toán và mạo danh | 35 phút | Không |
Hai khóa học dựa trên quy định liên bang của Hoa Kỳ, và chỉ áp dụng cho một số tổ chức nhất định. Theo quy định NISPOM, các nhà thầu quốc phòng đã được cấp phép phải cung cấp khóa học này cho những nhân viên mới được cấp phép. Đào tạo nâng cao nhận thức về mối đe dọa nội bộ trước khi cấp quyền truy cập thông tin mật. và xác nhận việc hoàn thành ban đầu và hàng năm. Quy tắc Bảo vệ của FTC quy định các tổ chức tài chính thuộc phạm vi điều chỉnh phải cung cấp đào tạo nâng cao nhận thức về an ninh cho nhân viên của họ.Không bên nào vạch ra hướng đi cho tất cả mọi người.
Quản trị và khuôn khổ
Quản trị rủi ro mạng cho các nhà quản lý và hội đồng quản trị
Khóa học 40 phút này xem rủi ro mạng như một rủi ro kinh doanh. Khóa học bao gồm năm câu hỏi cần đặt ra về tổ chức của bạn, mức độ chấp nhận rủi ro và một bảng điều khiển ngắn gọn, các vùng xám trong việc chi trả, thông báo và đánh đổi, nguồn gốc của các nghĩa vụ và các hành động lãnh đạo cần thực hiện tiếp theo. Một CISO có thể trình bày khóa học này với đội ngũ lãnh đạo trước chu kỳ họp hội đồng quản trị. Câu hỏi "bảng điều khiển hiển thị hàng trăm chỉ số" hoạt động như một slide Chọn câu trả lời và khởi đầu cho lập luận đúng đắn. Các thành viên hội đồng quản trị sẽ nhận được danh sách riêng của họ. hướng dẫn đào tạo hội đồng quản trị của chúng tôi.
Các khuôn khổ quản trị CNTT, kiến trúc doanh nghiệp và kiểm toán CNTT: COBIT và TOGAF
Khóa học 45 phút này bắt đầu với "một hệ thống không ai chịu trách nhiệm", sau đó đề cập đến lý do tại sao quản trị CNTT lại quan trọng đối với giá trị, rủi ro và nguồn lực, mục tiêu quản trị so với mục tiêu quản lý, phương pháp phát triển kiến trúc, các mô hình trưởng thành và lập kế hoạch kiểm toán CNTT kèm báo cáo cho lãnh đạo. Khóa học cung cấp cho các nhà quản lý CNTT báo cáo cho CISO một khuôn khổ chung. Hoạt động phân loại "quản trị hay quản lý?" tạo thành một vòng chọn đáp án nhanh.
Tiêu chuẩn ISO/IEC 27001 và hệ thống quản lý an ninh thông tin
Giám đốc An ninh Thông tin (CISO) thường chịu trách nhiệm về hệ thống quản lý an ninh thông tin (ISMS), và mọi nhân viên đều là một phần của hệ thống này. Khóa học 40 phút này giải thích ISMS là gì, chính sách được hiện thực hóa như thế nào, cách xử lý các trường hợp ngoại lệ và điểm yếu, và cách trao đổi với kiểm toán viên. Hãy triển khai khóa học này trước khi kiểm toán chứng nhận hoặc giám sát để nhân viên có thể trả lời các câu hỏi bằng chứng cứ. Một slide mở về "Bạn sẽ trình bày những gì cho kiểm toán viên?" sẽ giúp chỉ ra những thiếu sót ngay từ đầu.
Lựa chọn của chúng tôi: Quản trị rủi ro mạng dành cho các nhà quản lý và hội đồng quản trị. Nó biến chức năng Quản trị của NIST thành năm câu hỏi mà đội ngũ lãnh đạo có thể trả lời, đây chính là cuộc thảo luận mà hầu hết các CISO cần trước tiên.
Sự sẵn sàng ứng phó sự cố và rủi ro nội bộ
Mô hình quản lý phần mềm tống tiền
Khóa học 60 phút này được thiết kế như một bài tập mô phỏng trên bàn, gồm ba phần: giờ đầu tiên, quyết định và truyền thông, và sao lưu và khắc phục sự cố. Các nhà quản lý sẽ thực hành việc ai sẽ cách ly máy móc, ai sẽ liên lạc với báo chí và ai sẽ quyết định về việc đòi tiền chuộc, mà khóa học sẽ giải đáp dưới góc độ lãnh đạo với lời khuyên pháp lý. Khóa học kết thúc bằng bài kiểm tra cuối cùng gồm 7 câu hỏi. Hãy chạy thử trực tiếp với tên thật của người phụ trách sự cố và người đứng đầu bộ phận truyền thông. Đối với các nhà phân tích thực hiện kế hoạch, xem thêm danh sách đào tạo chuyên viên phân tích SOC của chúng tôi.
nhận thức về mối đe dọa nội bộ
Các chương trình phòng chống mối đe dọa nội bộ thường do Giám đốc An ninh Thông tin (CISO) phụ trách, từ khâu phát hiện đến ứng phó. Khóa học 30 phút này bao gồm lý do tại sao việc phát hiện lại quan trọng, các chỉ số về hành vi, kỹ thuật và tài chính, cách thức kẻ thù tuyển dụng những người nội bộ đáng tin cậy, những việc nên làm và không nên làm, và nơi cần báo cáo. Khóa học kết thúc bằng bài kiểm tra cuối khóa gồm 10 câu hỏi, cần đạt 80% để đậu. Đối với các nhà thầu được cấp phép an ninh tại Hoa Kỳ, đây là một cách thức sẵn có để cung cấp khóa đào tạo theo yêu cầu của quy định NISPOM nêu trên, mặc dù quy định không chỉ định cụ thể khóa học nào.
Lựa chọn của chúng tôi: Phần mềm quản lý trò chơi mã độc tống tiền. Một kế hoạch chưa được ai diễn tập sẽ thất bại ngay trong giờ đầu tiên, và bài tập mô phỏng này giúp các nhà lãnh đạo đưa ra quyết định trước khi áp lực thực sự xuất hiện.
Thói quen bảo mật của nhân viên và rủi ro trí tuệ nhân tạo
Những yếu tố thiết yếu về nhận thức an ninh
Đây là chương trình nâng cao nhận thức cơ bản mà một Giám đốc An ninh Thông tin (CISO) phải chịu trách nhiệm. Khóa học 35 phút bao gồm lý do tại sao mọi người bị nhắm mục tiêu, cấu trúc của một cuộc tấn công, các dấu hiệu cảnh báo, cách tự bảo vệ mình, cách ứng phó và báo cáo, với bài kiểm tra cuối khóa gồm 12 câu hỏi, cần đạt 80% để vượt qua. Đối với các tổ chức tài chính thuộc phạm vi điều chỉnh, đây là một cách thức sẵn có để đáp ứng yêu cầu đào tạo nâng cao nhận thức về an ninh của Quy tắc Bảo vệ của FTC, mặc dù quy tắc không nêu tên khóa học cụ thể nào.
Lừa đảo và kỹ thuật xã hội
Khả năng chống lại tấn công lừa đảo (phishing) là một chỉ số phổ biến đối với Giám đốc An ninh Thông tin (CISO). Khóa học 30 phút này giải thích cách thức các cuộc tấn công được xây dựng, các dấu hiệu cảnh báo, cách tự bảo vệ mình và cách báo cáo, với bài kiểm tra cuối khóa gồm 12 câu hỏi, đạt 80% trở lên để vượt qua. Hãy kết hợp khóa học này với nút báo cáo của bạn để khóa học và chỉ số được đồng bộ hóa.
Mật khẩu, mã khóa và xác thực đa yếu tố dành cho nhân viên
Việc triển khai mật khẩu và xác thực đa yếu tố (MFA) là một quyết định của chương trình, và nhân viên cần hiểu lý do tại sao. Khóa học 30 phút này sẽ đề cập đến lý do tại sao tài khoản lại là mục tiêu, cách đăng nhập mạnh mẽ và độc đáo, xác thực đa yếu tố và mật khẩu, các trang đăng nhập giả mạo và những vùng xám trong việc chia sẻ, lối tắt và khôi phục. Hãy bắt đầu khóa học vào tuần phương thức đăng nhập mới được đưa vào sử dụng.
Bảo mật AI cho mọi người: AI ngầm, tiêm mã độc và kết quả bị thao túng
Chính sách bảo mật AI đối với AI ngầm và tấn công chèn thông báo ngày càng trở nên quan trọng đối với Giám đốc An ninh Thông tin (CISO). Khóa học 30 phút này bao gồm các nội dung về AI ngầm và chatbot bị xâm nhập, tấn công chèn thông báo và nội dung độc hại, hướng dẫn ẩn trong PDF và email, tiện ích mở rộng AI miễn phí và cách yêu cầu công cụ đã được phê duyệt hoặc báo cáo sự cố. Một đám mây từ khóa về "Bạn sử dụng công cụ AI nào tại nơi làm việc?" sẽ cho thấy những AI ngầm mà bạn chưa biết đến.
Kỹ thuật thao túng tâm lý, lừa đảo và deepfake: các vụ lừa đảo qua điện thoại, thanh toán và mạo danh.
Gian lận bằng công nghệ Deepfake và mạo danh là một vấn đề cần được đề cập trong mọi buổi họp giao ban về các mối đe dọa đối với lãnh đạo cấp cao, bởi vì tên và giọng nói của các nhà lãnh đạo chính là thứ mà kẻ tấn công đang bắt chước. Khóa học 35 phút này sẽ trình bày theo một yêu cầu thuyết phục, bao gồm các chiến thuật, xác minh các thay đổi về thanh toán, giọng nói và video giả mạo, và lý do tại sao thâm niên và bí mật lại là áp lực chứ không phải bằng chứng. Hãy thảo luận với bộ phận tài chính và các trợ lý điều hành trước tiên.
Lựa chọn của chúng tôi: Bảo mật AI cho tất cả mọi người. Nhân viên thường áp dụng các công cụ AI nhanh hơn so với tốc độ ban hành chính sách, và khóa học này cung cấp cho họ một quy trình đơn giản gồm yêu cầu, sử dụng, kiểm tra và báo cáo.
Cách triển khai kế hoạch
Hãy bắt đầu với quản trị. CSF 2.0 của NIST đặt ra Quản lý Đầu tiên: các nhà quản lý đặt ra kỳ vọng về mức độ chấp nhận rủi ro, trách nhiệm giải trình và nguồn lực, và phần còn lại của chương trình sẽ dựa trên những kỳ vọng đó.
- Quý này, dành cho các nhà lãnh đạo: Quản trị rủi ro mạng, sau đó là diễn tập tấn công ransomware với những người được nêu tên trong kế hoạch xử lý sự cố của bạn.
- Đối với mỗi nhân viên, trong quá trình hội nhập: Các yếu tố cơ bản về nhận thức an ninh, lừa đảo trực tuyến (phishing), mật khẩu, mã khóa và xác thực đa yếu tố (MFA).
- Dành cho các nhà quản lý CNTT và an ninh: Hãy áp dụng COBIT, TOGAF và ISO 27001 trước kỳ kiểm toán tiếp theo.
- Mỗi năm: Tổ chức lại các bài tập mô phỏng trên bàn, bài kiểm tra ôn tập cho mỗi khóa học và khóa học về an ninh AI mỗi khi có công cụ AI mới được triển khai.
- Khi nào áp dụng: Các nhà thầu quốc phòng Hoa Kỳ được cấp phép cung cấp đào tạo về mối đe dọa nội bộ trước khi tiếp cận thông tin mật và hàng năm sau đó; các tổ chức tài chính thuộc phạm vi điều chỉnh duy trì đào tạo nâng cao nhận thức về an ninh theo quy định của Quy tắc Bảo vệ của FTC. Hãy hỏi luật sư của bạn về những quy định khác áp dụng tại quốc gia hoặc tiểu bang của bạn.
Các cách thức tổ chức các khóa học này AhaSlides
Bạn có thể tự xây dựng bất kỳ khóa học nào trong số này theo hình thức tự học bằng cách sử dụng... AhaSlides Người tạo khóa học có thể tổ chức chúng dưới dạng phiên hỏi đáp trực tiếp, hoặc cả hai, kèm theo khảo sát sau khóa học để xem những thay đổi nào đã diễn ra.
- Chọn đáp án: Trên bàn chơi, hãy cho xem thư đòi tiền chuộc và hỏi ai sẽ quyết định bước tiếp theo.
- Từ đám mây: Hãy hỏi các nhà lãnh đạo "Điều gì khiến các bạn lo lắng nhất về một sự cố an ninh mạng?" và so sánh câu trả lời với sổ đăng ký rủi ro của bạn.
- Thang đánh giá: Trước và sau khi thực hiện sự cố, hãy hỏi "Kế hoạch ứng phó sự cố của chúng ta đã sẵn sàng đến mức nào?" từ 1 đến 5.
- Câu hỏi mở: Thu thập các câu hỏi ẩn danh cho ban quản trị vào cuối phiên trực tiếp.
FAQ
Giám đốc an ninh thông tin (CISO) cần được đào tạo những gì?
Một CISO cần có kiến thức về rủi ro và quản trị, khả năng lãnh đạo ứng phó sự cố, hiểu biết về các quy định áp dụng và kỹ năng thuyết trình trước hội đồng quản trị. Các khóa học nêu trên bao gồm chương trình đào tạo mà một CISO cần thực hiện; các chứng chỉ thể hiện năng lực cá nhân.
Các CISO (Giám đốc An ninh Thông tin) có những chứng chỉ nào?
Các khóa học phổ biến bao gồm CISSP, CISM và EC-Council CCISO. Không có khóa học nào trong số trên là chứng chỉ.
Các nhà lãnh đạo nên tiến hành diễn tập xử lý sự cố với tần suất như thế nào?
Ít nhất một lần mỗi năm là một tiêu chuẩn hợp lý, và nên thực hiện lại sau những thay đổi lớn như sáp nhập, triển khai hệ thống mới hoặc có người phụ trách xử lý sự cố mới.
Mô phỏng tấn công bằng mã độc tống tiền là gì?
Diễn tập tấn công ransomware là một bài tập dựa trên thảo luận, mô phỏng các quyết định mà người lãnh đạo đưa ra trong một cuộc tấn công ransomware, mà không cần thao tác trên hệ thống thực tế.
Bài viết này chỉ cung cấp thông tin chung, không phải lời khuyên pháp lý. Để được tư vấn về vấn đề liên quan đến nơi làm việc của bạn, hãy tham khảo ý kiến luật sư có chuyên môn hoặc cơ quan quản lý.
