Curs de pregatire CISM - Certified Information Security Manager

Domeniul 1—Guvernanța Securității Informațiilor (24%)

Stabilește și menține un framework de guvernanță a securității informațiilor și procesele de suport pentru a te asigura că strategia de securitate a informațiilor este aliniată cu obiectivele și scopurile organizației, că riscurile informaționale sunt gestionate corespunzător și că resursele programului sunt administrate responsabil.

• 1.1 Stabilește și menține o strategie de securitate a informațiilor aliniată cu obiectivele și scopurile organizației, care să ghideze stabilirea și gestionarea continuă a programului de securitate a informațiilor.
• 1.2 Stabilește și menține un framework de guvernanță a securității informațiilor pentru a ghida activitățile care susțin strategia de securitate a informațiilor.
• 1.3 Integrează guvernanța securității informațiilor în guvernanța corporativă pentru a te asigura că obiectivele și scopurile organizației sunt susținute de programul de securitate a informațiilor.
• 1.4 Stabilește și menține politici de securitate a informațiilor pentru a comunica directivele managementului și a ghida dezvoltarea standardelor, procedurilor și ghidurilor.
• 1.5 Dezvoltă argumente de business (business cases) pentru a susține investițiile în securitatea informațiilor.
• 1.6 Identifică influențele interne și externe asupra organizației (de exemplu, tehnologie, mediu de business, toleranța la risc, locația geografică, cerințe legale și reglementări) pentru a te asigura că acești factori sunt abordați în strategia de securitate a informațiilor.
• 1.7 Obține angajamentul managementului de top și sprijinul celorlalți stakeholderi pentru a maximiza probabilitatea implementării cu succes a strategiei de securitate a informațiilor.
• 1.8 Definește și comunică rolurile și responsabilitățile privind securitatea informațiilor pe întreaga organizație pentru a stabili responsabilități clare și linii de autoritate.
• 1.9 Stabilește, monitorizează, evaluează și raportează metrici (de exemplu, indicatori cheie ai obiectivelor [KGIs], indicatori cheie de performanță [KPIs], indicatori cheie de risc [KRIs]) pentru a furniza managementului informații precise privind eficacitatea strategiei de securitate a informațiilor.

Domeniul 2—Managementul Riscului Informațional și Conformitate (33%)

Gestionează riscurile informaționale la un nivel acceptabil pentru a satisface cerințele de business și conformitate ale organizației.

• 2.1 Stabilește și menține un proces de identificare și clasificare a activelor informaționale pentru a te asigura că măsurile luate pentru protecția acestora sunt proporționale cu valoarea lor de business.
• 2.2 Identifică cerințele legale, reglementări, organizaționale și alte cerințe aplicabile pentru a gestiona riscul de neconformitate la niveluri acceptabile.
• 2.3 Asigură-te că evaluările de risc, evaluările de vulnerabilități și analizele de amenințări sunt efectuate periodic și constant pentru a identifica riscurile pentru informațiile organizației.
• 2.4 Determină și implementează opțiuni adecvate de tratamentul riscului pentru a gestiona riscul la niveluri acceptabile.
• 2.5 Evaluează controlul securității informațiilor pentru a determina dacă acestea sunt adecvate și dacă atenuează efectiv riscul la un nivel acceptabil.
• 2.6 Integrează managementul riscului informațional în procesele de business și IT (de exemplu, dezvoltare, achiziții, management de proiect, fuziuni și achiziții) pentru a promova un proces consistent și comprehensiv de management al riscului informațional pe întreaga organizație.
• 2.7 Monitorizează riscurile existente pentru a te asigura că modificările sunt identificate și gestionate corespunzător.
• 2.8 Raportează neconformitățile și alte modificări în riscurile informațiale către managementul competent pentru a asista în procesul de luare a deciziilor privind managementul riscului.

Domeniul 3—Dezvoltarea și Managementul Programului de Securitate a Informațiilor (25%)

Stabilește și gestionează programul de securitate a informațiilor în aliniere cu strategia de securitate a informațiilor.

• 3.1 Stabilește și menține programul de securitate a informațiilor în aliniere cu strategia de securitate a informațiilor.
• 3.2 Asigură alinierea dintre programul de securitate a informațiilor și alte funcții de business (de exemplu, resurse umane [HR], contabilitate, achiziții și IT) pentru a susține integrarea cu procesele de business.
• 3.3 Identifică, achiziționează, gestionează și definește cerințele pentru resursele interne și externe necesare pentru a executa programul de securitate a informațiilor.
• 3.4 Stabilește și menține arhitecturi de securitate a informațiilor (persoane, procese, tehnologie) pentru a executa programul de securitate a informațiilor.
• 3.5 Stabilește, comunică și menține standarde, proceduri, ghiduri și alte documente de securitate a informațiilor organizației pentru a susține și ghida conformitatea cu politicile de securitate a informațiilor.
• 3.6 Stabilește și menține un program de conștientizare și training pentru securitatea informațiilor pentru a promova un mediu securizat și o cultură de securitate eficientă.
• 3.7 Integrează cerințele de securitate a informațiilor în procesele organizației (de exemplu, controlul modificărilor, fuziuni și achiziții, dezvoltare, continuitatea afacerii, recuperarea de dezastre) pentru a menține linia de bază a securității organizației.
• 3.8 Integrează cerințele de securitate a informațiilor în contractele și activitățile terților (de exemplu, joint ventures, furnizori externalizați, parteneri de business, clienți) pentru a menține linia de bază a securității organizației.
• 3.9 Stabilește, monitorizează și raportează periodic metrici de management al programului și operaționale pentru a evalua eficacitatea și eficiența programului de securitate a informațiilor.

Domeniul 4—Managementul Incidentelor de Securitate a Informațiilor (18%)

Planifică, stabilește și gestionează capacitatea de a detecta, investiga, răspunde la și recupera incidente de securitate a informațiilor pentru a minimiza impactul asupra afacerii.

• 4.1 Stabilește și menține un proces de clasificare și categorizare a incidentelor de securitate a informațiilor pentru a permite identificarea precisă a incidentelor și răspunsul adecvat.
• 4.2 Stabilește, menține și aliniază planul de răspuns la incidente cu planul de continuitate a afacerii și planul de recuperare de dezastre pentru a asigura un răspuns eficient și prompt la incidente de securitate a informațiilor.
• 4.3 Dezvoltă și implementează procese pentru a asigura identificarea în timp util a incidentelor de securitate a informațiilor.
• 4.4 Stabilește și menține procese pentru a investiga și documenta incidentele de securitate a informațiilor pentru a putea răspunde adecvat și a determina cauzele acestora, respectând cerințele legale, reglementări și organizaționale.
• 4.5 Stabilește și menține procese de gestionare a incidentelor pentru a te asigura că stakeholderii competenți sunt implicați în managementul răspunsului la incidente.
• 4.6 Organizează, instruiește și echipamentează echipele pentru a răspunde eficient la incidente de securitate a informațiilor în timp util.
• 4.7 Testează și revizuiești periodic planurile de management al incidentelor pentru a asigura un răspuns eficient la incidente de securitate a informațiilor și pentru a îmbunătăți capacitățile de răspuns.
• 4.8 Stabilește și menține planuri și procese de comunicare pentru a gestiona comunicarea cu entitățile interne și externe.
• 4.9 Efectuează revizuiri post-incident pentru a determina cauza de rădăcină a incidentelor de securitate a informațiilor, a dezvolta acțiuni corective, a reevalua riscul, a evalua eficacitatea răspunsului și a lua măsuri remediere adecvate.
• 4.10 Stabilește și menține integrarea dintre planul de răspuns la incidente, planul de recuperare de dezastre și planul de continuitate a afacerii.