امنیت سایبری برای مدیران ارشد و مدیرعامل
مدرس: علی سلطانی
امنیت سایبری برای مدیر ارشد، مسئله تصمیم درباره ریسک، اختیار، منابع و تداوم کسب‌وکار است. این دوره با تدریس علی سلطانی برای مدیرانی طراحی شده که باید درباره بودجه امنیت، ریسک قابل پذیرش، وابستگی به تأمین‌کننده و آمادگی سازمان در بحران تصمیم بگیرند و از تیم فنی پرسش‌های دقیق و قابل سنجش بپرسند.
مفاهیم فنی مانند هویت دیجیتال، MFA، مدیریت دسترسی ممتاز، Segment کردن شبکه، Vulnerability Management، Logging و Backup به زبان تصمیم مدیریتی توضیح داده می‌شوند. به‌جای فهرست خرید ابزار، زنجیره کنترل بررسی می‌شود: چه دارایی یا فرایندی حفاظت می‌شود، شکست کنترل چه اثری دارد، مالک ریسک کیست و چه شواهدی اثربخشی اقدام را نشان می‌دهد. ساختار NIST CSF برای سامان‌دادن بحث حاکمیت، شناسایی، حفاظت، کشف، پاسخ و بازیابی استفاده می‌شود.
در بخش برنامه‌ریزی، BIA، وابستگی سرویس‌ها، RTO و RPO، ریسک شخص ثالث و سناریوهای باج‌افزار و افشای اطلاعات بررسی می‌شوند. تمرین مدیریتی بر ساخت Risk Register، اولویت‌بندی اقدام، تعریف KPI و KRI و تصمیم‌گیری در Tabletop Exercise متمرکز است. خروجی مورد انتظار، توانایی تبدیل گزارش فنی به انتخابی روشن درباره اولویت، مسئول، زمان و معیار ارزیابی است؛ نه واگذاری تصمیم به عدد یک ابزار یا پذیرش ادعای امنیت مطلق.
مهارت‌هایی که در این دوره دنبال می‌کنید
- تعریف Risk Ownership و حدود پذیرش ریسک
- ارزیابی منطقی پیشنهادهای خرید و پروژه امنیت
- خواندن داشبورد با KPI و KRI معنادار
- تعیین RTO/RPO با توجه به اثر اختلال کسب‌وکار
- تصمیم‌گیری در بحران با نقش و اختیار مشخص
- تدوین نقشه اقدام امنیت با اولویت و معیار سنجش
پیش‌نیازهای فنی
- مسئولیت یا علاقه به مدیریت کسب‌وکار، فناوری یا ریسک
- شناخت کلی فرایندهای سازمان و سرویس‌های حیاتی
- توانایی مطالعه گزارش مدیریتی و تصمیم درباره اولویت
- سابقه برنامه‌نویسی یا تست نفوذ لازم نیست
ابزارها و منابع فنی مسیر آموزش
- NIST Cybersecurity Framework در سطح مدیریتی
- Risk Register و ماتریس مسئولیت RACI
- BIA، RTO/RPO و برنامه تداوم کسب‌وکار
- KPI، KRI و سناریوی Tabletop Exercise
برنامه آموزشی و سرفصل‌های تخصصی
1. اقتصاد رخداد سایبری و اثر بر کسب‌وکار
- بررسی اختلال عملیات، افشای داده و تقلب
- تفکیک تهدید، آسیب‌پذیری، ریسک و اثر
- شناخت دارایی اطلاعاتی و فرایند حیاتی
- طرح سؤال مدیریتی از یک گزارش فنی
2. حاکمیت امنیت و مسئولیت ریسک
- تعریف مالک ریسک و مالک کنترل
- تعیین نقش هیئت‌مدیره، مدیریت و تیم امنیت
- مفهوم Risk Appetite و Risk Tolerance
- ثبت اختیار، پاسخ‌گویی و تصمیم با RACI
3. NIST CSF؛ ساختار برنامه امنیت سازمان
- کاربرد Govern، Identify، Protect، Detect، Respond و Recover
- شناخت وضعیت فعلی و وضعیت هدف
- نگاشت اقدام‌ها به هدف کسب‌وکار
- ارزیابی شکاف بدون تبدیل چارچوب به چک‌لیست خرید
4. ارزیابی ریسک و ساخت Risk Register
- تعریف سناریو و دارایی در معرض ریسک
- بررسی احتمال، اثر و عدم قطعیت برآورد
- تفکیک Inherent Risk و Residual Risk
- ثبت تصمیم کاهش، انتقال، پذیرش یا اجتناب
5. کنترل‌های پایه و پرسش از اثربخشی آن‌ها
- مدیریت دارایی و Patch Management
- نقش MFA، IAM و دسترسی ممتاز
- تفکیک شبکه و کاهش سطح دسترسی
- سنجش Coverage، استثنا و Evidence اجرای کنترل
6. امنیت داده، هویت و فرایندهای حساس
- طبقه‌بندی داده و اصل نیاز به دسترسی
- بررسی Joiner/Mover/Leaver در چرخه کارکنان
- کنترل عملیات حساس و تفکیک وظایف
- بررسی ریسک داده در سرویس ابری و اشتراک فایل
7. ریسک تأمین‌کننده و خدمات برون‌سپاری
- شناخت وابستگی عملیاتی و دسترسی شخص ثالث
- تعیین شواهد ارزیابی و سطح خدمت امنیتی
- بررسی مسئولیت مشترک در سرویس ابری
- تعریف خروج، بازیابی داده و مدیریت تغییر تأمین‌کننده
8. سرمایه‌گذاری امنیت و اولویت‌بندی سبد پروژه
- اتصال هزینه کنترل به سناریوی ریسک
- مقایسه ابزار، فرایند و نیروی انسانی
- بررسی هزینه مالکیت، نگهداری و وابستگی
- تعریف معیار پذیرش و ارزیابی نتیجه پروژه
9. پایش مدیریتی؛ KPI، KRI و کیفیت گزارش
- تفکیک شاخص فعالیت و شاخص نتیجه
- بررسی پوشش MFA، Patch و بازیابی Backup
- خواندن روند Incident و زمان پاسخ با Context
- شناسایی Vanity Metric و گزارش فاقد مخرج
10. BIA، تداوم کسب‌وکار و بازیابی سرویس
- تعیین اثر اختلال بر فرایند و زمان
- تعریف RTO و RPO و وابستگی سرویس‌ها
- بررسی Backup، Restore Test و بازیابی هویت
- مقایسه برنامه مستند و قابلیت بازیابی آزموده‌شده
11. مدیریت بحران سایبری و ارتباطات
- تعیین Incident Commander و دامنه اختیار
- نقاط تصمیم ایزوله‌سازی و توقف سرویس
- هماهنگی فنی، مدیریت، روابط عمومی و واحد حقوقی
- ثبت تصمیم، شواهد و مسیر بازگشت عملیات
12. Tabletop Exercise و نقشه اقدام مدیریتی
- تمرین سناریوی باج‌افزار یا افشای اطلاعات
- بررسی تصمیم‌ها در شرایط داده ناقص
- ثبت Gap، مسئول، مهلت و معیار تکمیل
- ارائه برنامه اولویت‌بندی‌شده به هیئت‌مدیره
سناریوی تمرین و خروجی فنی
برای یک سازمان نمونه، سناریوی ریسک سایبری و Risk Register تدوین می‌شود. سپس طی یک تمرین بحران، درباره اولویت سرویس‌ها، RTO/RPO، سطح اختیار پاسخ و ارتباطات تصمیم می‌گیرید. خروجی، داشبورد کوتاه مدیریتی و نقشه اقدام شامل مالک، موعد و معیار اثربخشی است.
شیوه ارائه و برنامه‌ریزی یادگیری
شیوه ارائه این دوره ضبط‌شده / آنلاین است. سرفصل‌ها و زمان‌بندی جلسات، برنامه آموزشی دوره را نشان می‌دهند؛ دسترسی به محتوای جلسات پس از فعال‌شدن ثبت‌نام ارائه می‌شود.