首席信息安全官 (CISO) 必须学习的 10 门课程，以领导安全、人工智能和事件响应

上次审核日期为 2026 年 11 月 4 日，依据本文链接的来源。

董事会将于周四召开会议，主席向首席信息安全官 (CISO) 提出了一个问题：“如果我们明天遭受勒索软件攻击，谁来决定应对措施？我们是否进行过演练？” 工具固然重要，但答案取决于治理、演练以及员工的快速汇报。这正是高管网络安全培训必须涵盖的内容。美国国家标准与技术研究院 (NIST) 在其网络安全框架 2.0 中强调了这一点，该框架新增了第六项职能。 治理涵盖角色、职责和权限、政策以及网络安全战略的监督。.

这份清单为首席信息安全官 (CISO) 提供了运行该项目所需的课程。您将获得 10 门现成的课程，分为 3 个组，分别介绍每门课程解决的问题以及部署方法。每个组都以一个……结尾。 我们的选择这些法律要点描述的是美国联邦法规，因此请将其作为教学大纲，而不是判决书。

全部10门课程概览

两项课程依据美国联邦法规制定，且仅适用于部分机构。根据《国家工业安全计划运营手册》(NISPOM) 的规定，获得安全许可的国防承包商必须为新近获得安全许可的员工提供此类课程。 在授予访问机密信息的权限之前，进行内部威胁意识培训。 并验证初始和年度完成情况。联邦贸易委员会保障规则规定，受监管的金融机构必须提供 对其员工进行安全意识培训两者都不会为其他人设定方向。

治理与框架

面向管理者和董事会的网络风险治理

这门40分钟的课程将网络风险视为业务风险。课程涵盖五个关于组织风险偏好和简明仪表盘的问题，探讨了支付、告知和权衡取舍等灰色地带，阐述了职责的来源，以及领导层下一步应采取的行动。首席信息安全官 (CISO) 可以在董事会会议前与领导团队一起学习这门课程。“仪表盘显示数百项指标”这个问题可以作为选择答案的幻灯片，并引出正确的讨论。董事会成员将获得他们自己的清单。 我们的董事会培训指南.

使用此模板

IT治理、企业架构和IT审计框架：COBIT和TOGAF

这门45分钟的课程以“无人负责的系统”开篇，然后讲解了IT治理对价值、风险和资源的重要性、治理与管理目标的区别、架构开发方法、成熟度模型以及如何规划IT审计并向领导层提交报告。它为向首席信息安全官 (CISO) 汇报的IT经理提供了一个共同的框架。“治理还是管理？”的分类练习构成了一个快速的选择题环节。

使用此模板

ISO/IEC 27001 和信息安全管理体系

首席信息安全官 (CISO) 通常负责信息安全管理体系 (ISMS)，每位员工都是其中的一份子。这门 40 分钟的课程解释了什么是 ISMS、政策如何转化为实践、如何处理例外情况和薄弱环节，以及如何与审计员沟通。建议在认证或监督审计之前进行培训，以便员工能够用证据回答问题。课程中关于“你会向审计员展示什么？”的开放式幻灯片可以帮助及早发现安全漏洞。

使用此模板

我们的推荐：面向管理者和董事会的网络风险治理。 它将 NIST 的 Govern 功能转化为领导团队可以回答的五个问题，而这正是大多数 CISO 首先需要进行的对话。

事件准备和内部风险

面向管理人员的勒索软件桌面演练

这门60分钟的课程以桌面演练的形式分为三个部分：第一部分（决策与沟通）、第二部分（备份与修复）。管理人员将练习谁负责隔离机器、谁负责与媒体沟通以及谁来决定赎金，课程会以领导力和法律建议的形式解答赎金问题。课程最后会进行7道题的最终检查。请使用事件负责人和沟通负责人的真实姓名进行实战演练。有关执行计划的分析师，请参阅…… 我们的 SOC 分析师培训清单.

使用此模板

内部威胁意识

内部威胁应对计划通常由首席信息安全官 (CISO) 负责，涵盖从检测到响应的整个流程。这门 30 分钟的课程涵盖了检测的重要性、行为、技术和财务指标、攻击者如何招募可信内部人员、应该做什么和不应该做什么，以及应该向哪里报告。课程最后设有 10 道题的最终考核，80% 的正确率即可通过。对于已获得安全许可的美国承包商而言，这是一种现成的培训方式，可以满足上述 NISPOM 规则的要求，尽管该规则并未指定具体的课程。

使用此模板

我们的推荐：面向管理人员的勒索软件桌面模拟器。 一个未经演练的计划在第一小时内就失败了，而这种桌面推演方式让领导者在真正的压力到来之前做出决定。

员工安全习惯和人工智能风险

安全意识要点

这是首席信息安全官 (CISO) 负责的基本安全意识培训项目。这门 35 分钟的课程涵盖了攻击目标的成因、攻击的构成、危险信号、如何保护自身安全以及如何应对和报告攻击，最后设有 12 道题的考核，80% 的正确率即可通过。对于受监管的金融机构而言，这套课程是满足联邦贸易委员会 (FTC) 安全保障规则中安全意识培训要求的现成途径，尽管该规则并未指定具体的课程。

使用此模板

网络钓鱼和社会工程

网络钓鱼抵御能力是首席信息安全官 (CISO) 的一项常用指标。这门 30 分钟的课程讲解了攻击的构建方式、识别危险信号、如何保护自己以及如何举报，课程最后设有 12 道题的考核，80% 的正确率即可通过。请将此课程与您的举报按钮关联起来，确保课程内容与指标匹配。

使用此模板

员工密码、通行密钥和多因素身份验证

推出密码密钥和多因素身份验证 (MFA) 是一项项目决策，员工需要了解其原因。这门 30 分钟的课程涵盖了账户为何成为攻击目标、如何创建强大且唯一的登录方式、多因素身份验证和密码密钥、虚假登录页面以及共享、快捷方式和恢复等方面的灰色地带。建议在新登录方式上线的那一周推出此课程。

使用此模板

人人享有人工智能安全：影子人工智能、提示注入和操纵输出

针对影子人工智能和提示注入的AI安全策略，首席信息安全官（CISO）的职责日益加重。这门30分钟的课程涵盖了影子人工智能和被入侵的聊天机器人、提示注入和恶意内容、PDF和电子邮件中的隐藏指令、免费的AI扩展程序，以及如何申请使用已批准的工具或报告安全事件。课程最后还会展示一个关于“你在工作中使用哪些AI工具？”的词云，揭示你可能并不了解的影子人工智能。

使用此模板

社会工程、欺诈和深度伪造：电话诈骗、支付诈骗和身份冒用诈骗

深度伪造和身份冒用诈骗应该纳入所有高管威胁简报的内容，因为攻击者正是模仿高管的姓名和声音。这门35分钟的课程以令人信服的请求为基础，涵盖了各种攻击手法、如何验证付款变更、伪造语音和视频，以及为什么资历和保密反而会成为压力，而非证据。建议先在财务部门和高管助理中推广。

使用此模板

我们的推荐：人人都能享受的AI安全保障。 员工采用人工智能工具的速度往往比政策跟进的速度更快，本课程为他们提供了一个简单的请求、使用、检查和报告循环。

如何实施该计划

首先从治理入手。NIST 的 CSF 2.0 提出了…… 治理 首先：高管们设定风险偏好、问责制和资源方面的预期，其余的计划都以此为基础。

1. 本季度，针对领导者： 网络风险治理，然后是与事件计划中指定的人员一起进行勒索软件桌面讨论。
2. 对于每位员工，在入职时： 安全意识要点、网络钓鱼、密码、通行密钥和多因素身份验证。
3. 致 IT 和安全经理： 在下次审核之前，请准备好 COBIT、TOGAF 和 ISO 27001 认证。
4. 每年： 每当推出新的 AI 工具时，都要重新进行桌面演练、每门课程的复习测验以及 AI 安全课程。
5. 适用情况： 获得安全许可的美国国防承包商在接触机密信息之前以及之后每年都会接受内部威胁培训；受监管的金融机构会按照联邦贸易委员会保障规则的要求，定期更新安全意识培训。请咨询您的律师，了解您所在国家或州还有哪些其他适用规定。

开展这些课程的方法 AhaSlides

你可以利用以下任何一项功能，将这些内容构建成自定进度的课程： AhaSlides 课程创建者可以将其作为实时问答环节的演示文稿进行讲解，或者两者兼而有之，并在课程结束后进行调查，以了解发生了哪些变化。

1. 选择答案： 在桌面上，展示赎金信，并询问谁来决定下一步行动。
2. 词云： 询问领导者“您最担心网络安全事件的哪一点？”，并将其与您的风险登记册进行比较。
3. 评级量表： 在事故发生前后，询问“我们的事故应急预案准备情况如何？”，答案从 1 到 5。
4. 开放式： 在直播课程结束后，收集匿名问题提交给董事会。

常见问题解答

首席信息安全官需要接受哪些培训？

首席信息安全官 (CISO) 需要具备风险和治理、事件响应领导能力、相关规则知识以及向董事会汇报的能力。上述课程涵盖了 CISO 负责的项目；认证则代表了其个人资质。

首席信息安全官（CISO）需要哪些认证？

常见的认证包括CISSP、CISM和EC-Council CCISO。以上课程均不构成认证。

领导者应该多久进行一次事件演练？

至少每年一次是一个合理的基准，并且在发生重大变化（例如合并、新系统或新事件负责人）后也应再次进行。

什么是勒索软件桌面？

勒索软件桌面演练是一种基于讨论的练习，旨在模拟领导者在勒索软件攻击期间做出的决策，而无需接触实时系统。

本文仅提供一般信息，不构成法律建议。如需就您所在工作场所的相关事宜做出决定，请咨询合格律师或监管机构。