امنیت برای مدیران ارشد

امنیت سایبری برای مدیران ارشد و مدیرعامل

مدرس: علی سلطانی

امنیت سایبری برای مدیر ارشد، مسئله تصمیم درباره ریسک، اختیار، منابع و تداوم کسب‌وکار است. این دوره با تدریس علی سلطانی برای مدیرانی طراحی شده که باید درباره بودجه امنیت، ریسک قابل پذیرش، وابستگی به تأمین‌کننده و آمادگی سازمان در بحران تصمیم بگیرند و از تیم فنی پرسش‌های دقیق و قابل سنجش بپرسند.

مفاهیم فنی مانند هویت دیجیتال، MFA، مدیریت دسترسی ممتاز، Segment کردن شبکه، Vulnerability Management، Logging و Backup به زبان تصمیم مدیریتی توضیح داده می‌شوند. به‌جای فهرست خرید ابزار، زنجیره کنترل بررسی می‌شود: چه دارایی یا فرایندی حفاظت می‌شود، شکست کنترل چه اثری دارد، مالک ریسک کیست و چه شواهدی اثربخشی اقدام را نشان می‌دهد. ساختار NIST CSF برای سامان‌دادن بحث حاکمیت، شناسایی، حفاظت، کشف، پاسخ و بازیابی استفاده می‌شود.

در بخش برنامه‌ریزی، BIA، وابستگی سرویس‌ها، RTO و RPO، ریسک شخص ثالث و سناریوهای باج‌افزار و افشای اطلاعات بررسی می‌شوند. تمرین مدیریتی بر ساخت Risk Register، اولویت‌بندی اقدام، تعریف KPI و KRI و تصمیم‌گیری در Tabletop Exercise متمرکز است. خروجی مورد انتظار، توانایی تبدیل گزارش فنی به انتخابی روشن درباره اولویت، مسئول، زمان و معیار ارزیابی است؛ نه واگذاری تصمیم به عدد یک ابزار یا پذیرش ادعای امنیت مطلق.

مهارت‌هایی که در این دوره دنبال می‌کنید

• تعریف Risk Ownership و حدود پذیرش ریسک
• ارزیابی منطقی پیشنهادهای خرید و پروژه امنیت
• خواندن داشبورد با KPI و KRI معنادار
• تعیین RTO/RPO با توجه به اثر اختلال کسب‌وکار
• تصمیم‌گیری در بحران با نقش و اختیار مشخص
• تدوین نقشه اقدام امنیت با اولویت و معیار سنجش

پیش‌نیازهای فنی

• مسئولیت یا علاقه به مدیریت کسب‌وکار، فناوری یا ریسک
• شناخت کلی فرایندهای سازمان و سرویس‌های حیاتی
• توانایی مطالعه گزارش مدیریتی و تصمیم درباره اولویت
• سابقه برنامه‌نویسی یا تست نفوذ لازم نیست

ابزارها و منابع فنی مسیر آموزش

• NIST Cybersecurity Framework در سطح مدیریتی
• Risk Register و ماتریس مسئولیت RACI
• BIA، RTO/RPO و برنامه تداوم کسب‌وکار
• KPI، KRI و سناریوی Tabletop Exercise

برنامه آموزشی و سرفصل‌های تخصصی

1. اقتصاد رخداد سایبری و اثر بر کسب‌وکار

• بررسی اختلال عملیات، افشای داده و تقلب
• تفکیک تهدید، آسیب‌پذیری، ریسک و اثر
• شناخت دارایی اطلاعاتی و فرایند حیاتی
• طرح سؤال مدیریتی از یک گزارش فنی

2. حاکمیت امنیت و مسئولیت ریسک

• تعریف مالک ریسک و مالک کنترل
• تعیین نقش هیئت‌مدیره، مدیریت و تیم امنیت
• مفهوم Risk Appetite و Risk Tolerance
• ثبت اختیار، پاسخ‌گویی و تصمیم با RACI

3. NIST CSF؛ ساختار برنامه امنیت سازمان

• کاربرد Govern، Identify، Protect، Detect، Respond و Recover
• شناخت وضعیت فعلی و وضعیت هدف
• نگاشت اقدام‌ها به هدف کسب‌وکار
• ارزیابی شکاف بدون تبدیل چارچوب به چک‌لیست خرید

4. ارزیابی ریسک و ساخت Risk Register

• تعریف سناریو و دارایی در معرض ریسک
• بررسی احتمال، اثر و عدم قطعیت برآورد
• تفکیک Inherent Risk و Residual Risk
• ثبت تصمیم کاهش، انتقال، پذیرش یا اجتناب

5. کنترل‌های پایه و پرسش از اثربخشی آن‌ها

• مدیریت دارایی و Patch Management
• نقش MFA، IAM و دسترسی ممتاز
• تفکیک شبکه و کاهش سطح دسترسی
• سنجش Coverage، استثنا و Evidence اجرای کنترل

6. امنیت داده، هویت و فرایندهای حساس

• طبقه‌بندی داده و اصل نیاز به دسترسی
• بررسی Joiner/Mover/Leaver در چرخه کارکنان
• کنترل عملیات حساس و تفکیک وظایف
• بررسی ریسک داده در سرویس ابری و اشتراک فایل

7. ریسک تأمین‌کننده و خدمات برون‌سپاری

• شناخت وابستگی عملیاتی و دسترسی شخص ثالث
• تعیین شواهد ارزیابی و سطح خدمت امنیتی
• بررسی مسئولیت مشترک در سرویس ابری
• تعریف خروج، بازیابی داده و مدیریت تغییر تأمین‌کننده

8. سرمایه‌گذاری امنیت و اولویت‌بندی سبد پروژه

• اتصال هزینه کنترل به سناریوی ریسک
• مقایسه ابزار، فرایند و نیروی انسانی
• بررسی هزینه مالکیت، نگهداری و وابستگی
• تعریف معیار پذیرش و ارزیابی نتیجه پروژه

9. پایش مدیریتی؛ KPI، KRI و کیفیت گزارش

• تفکیک شاخص فعالیت و شاخص نتیجه
• بررسی پوشش MFA، Patch و بازیابی Backup
• خواندن روند Incident و زمان پاسخ با Context
• شناسایی Vanity Metric و گزارش فاقد مخرج

10. BIA، تداوم کسب‌وکار و بازیابی سرویس

• تعیین اثر اختلال بر فرایند و زمان
• تعریف RTO و RPO و وابستگی سرویس‌ها
• بررسی Backup، Restore Test و بازیابی هویت
• مقایسه برنامه مستند و قابلیت بازیابی آزموده‌شده

11. مدیریت بحران سایبری و ارتباطات

• تعیین Incident Commander و دامنه اختیار
• نقاط تصمیم ایزوله‌سازی و توقف سرویس
• هماهنگی فنی، مدیریت، روابط عمومی و واحد حقوقی
• ثبت تصمیم، شواهد و مسیر بازگشت عملیات

12. Tabletop Exercise و نقشه اقدام مدیریتی

• تمرین سناریوی باج‌افزار یا افشای اطلاعات
• بررسی تصمیم‌ها در شرایط داده ناقص
• ثبت Gap، مسئول، مهلت و معیار تکمیل
• ارائه برنامه اولویت‌بندی‌شده به هیئت‌مدیره

سناریوی تمرین و خروجی فنی

برای یک سازمان نمونه، سناریوی ریسک سایبری و Risk Register تدوین می‌شود. سپس طی یک تمرین بحران، درباره اولویت سرویس‌ها، RTO/RPO، سطح اختیار پاسخ و ارتباطات تصمیم می‌گیرید. خروجی، داشبورد کوتاه مدیریتی و نقشه اقدام شامل مالک، موعد و معیار اثربخشی است.

شیوه ارائه و برنامه‌ریزی یادگیری

شیوه ارائه این دوره ضبط‌شده / آنلاین است. سرفصل‌ها و زمان‌بندی جلسات، برنامه آموزشی دوره را نشان می‌دهند؛ دسترسی به محتوای جلسات پس از فعال‌شدن ثبت‌نام ارائه می‌شود.