Curs de pregatire CISM - Certified Information Security Manager

Domeniul 1—Guvernanța Securității Informațiilor (24%)

Stabilește și menține un cadru de guvernanță a securității informațiilor și procesele de suport, pentru a asigura alinierea strategiei de securitate a informațiilor cu obiectivele organizației, gestionarea adecvată a riscurilor informaționale și gestionarea responsabilă a resurselor programului.

• 1.1 Stabilește și menține o strategie de securitate a informațiilor aliniată cu obiectivele organizației, pentru a ghida stabilirea și managementul continuu al programului de securitate a informațiilor.
• 1.2 Stabilește și menține un cadru de guvernanță a securității informațiilor pentru a ghida activitățile care suportă strategia de securitate a informațiilor.
• 1.3 Integrează guvernanța securității informațiilor în guvernanța corporativă, pentru a asigura că obiectivele organizației sunt susținute de programul de securitate a informațiilor.
• 1.4 Stabilește și menține politici de securitate a informațiilor pentru a comunica directivele managementului și a ghida dezvoltarea standardelor, procedurilor și ghidurilor.
• 1.5 Dezvoltă cazuri de afaceri (business cases) pentru a susține investițiile în securitatea informațiilor.
• 1.6 Identifică influențele interne și externe asupra organizației (de exemplu, tehnologie, mediul de afaceri, toleranța la risc, locația geografică, cerințele legale și regulatorii) pentru a asigura că acești factori sunt abordați în strategia de securitate a informațiilor.
• 1.7 Obține angajamentul managementului superior și sprijinul altor stakeholderi pentru a maximiza probabilitatea implementării reușite a strategiei de securitate a informațiilor.
• 1.8 Definește și comunică rolurile și responsabilitățile securității informațiilor în întreaga organizație, pentru a stabili responsabilități clare și linii de autoritate.
• 1.9 Stabilește, monitorizează, evaluează și raportează metrici (de exemplu, indicatori cheie de obiectiv [KGI], indicatori cheie de performanță [KPI], indicatori cheie de risc [KRI]) pentru a furniza managementului informații precise privind eficacitatea strategiei de securitate a informațiilor.

Domeniul 2—Managementul Riscului Informaticii și Compliance (33%)

Gestionează riscurile informaționale la un nivel acceptabil, pentru a satisface cerințele de afaceri și de compliance ale organizației.

• 2.1 Stabilește și menține un proces de identificare și clasificare a asset-urilor informaționale, pentru a asigura că măsurile luate pentru protejarea acestora sunt proportionale cu valoarea lor de afaceri.
• 2.2 Identifică cerințele legale, regulatorii, organizaționale și alte cerințe aplicabile, pentru a gestiona riscul de non-compliance la niveluri acceptabile.
• 2.3 Asigură că evaluările de risc, evaluările de vulnerabilități și analizele de amenințări sunt efectuate periodic și constant, pentru a identifica riscurile pentru informațiile organizației.
• 2.4 Determină și implementează opțiuni adecvate de tratare a riscului, pentru a gestiona riscul la niveluri acceptabile.
• 2.5 Evaluează controalele de securitate a informațiilor, pentru a determina dacă sunt adecvate și dacă atenuează efectiv riscul la un nivel acceptabil.
• 2.6 Integrează managementul riscului informațional în procesele de afaceri și IT (de exemplu, dezvoltare, procurare, managementul proiectelor, fuziuni și achiziții), pentru a promova un proces coerent și comprehensiv de management al riscului informațional în întreaga organizație.
• 2.7 Monitorizează riscurile existente, pentru a asigura că modificările sunt identificate și gestionate adecvat.
• 2.8 Raportează non-compliance-ul și alte modificări în riscurile informaționale către managementul adecvat, pentru a susține procesul de luare a deciziilor privind managementul riscului.

Domeniul 3—Dezvoltarea și Managementul Programului de Securitate a Informațiilor (25%)

Stabilește și gestionează programul de securitate a informațiilor în aliniere cu strategia de securitate a informațiilor.

• 3.1 Stabilește și menține programul de securitate a informațiilor în aliniere cu strategia de securitate a informațiilor.
• 3.2 Asigură alinierea dintre programul de securitate a informațiilor și alte funcții de afaceri (de exemplu, resurse umane [HR], contabilitate, procurare și IT), pentru a susține integrarea cu procesele de afaceri.
• 3.3 Identifică, achiziționează, gestionează și definești cerințele pentru resursele interne și externe necesare pentru executarea programului de securitate a informațiilor.
• 3.4 Stabilește și menține arhitecturi de securitate a informațiilor (oameni, procese, tehnologie) pentru executarea programului de securitate a informațiilor.
• 3.5 Stabilește, comunică și menține standardele, procedurile, ghidurile și alte documente de securitate informațională ale organizației, pentru a susține și ghida conformitatea cu politicile de securitate a informațiilor.
• 3.6 Stabilește și menține un program de conștientizare și training în securitatea informațiilor, pentru a promova un mediu securizat și o cultură de securitate eficientă.
• 3.7 Integrează cerințele de securitate a informațiilor în procesele organizației (de exemplu, controlul modificărilor, fuziuni și achiziții, dezvoltare, continuitatea afacerii, recuperarea de la dezastre), pentru a menține linia de bază a securității organizației.
• 3.8 Integrează cerințele de securitate a informațiilor în contractele și activitățile terților (de exemplu, joint ventures, furnizori outsourciți, parteneri de afaceri, clienți), pentru a menține linia de bază a securității organizației.
• 3.9 Stabilește, monitorizează și raportează periodic metrici de management al programului și operaționale, pentru a evalua eficacitatea și eficiența programului de securitate a informațiilor.

Domeniul 4—Managementul Incidentelor de Securitate a Informațiilor (18%)

Planifică, stabilește și gestionează capacitatea de a detecta, investiga, răspunde și a reveni de la incidente de securitate a informațiilor, pentru a minimiza impactul asupra afacerii.

• 4.1 Stabilește și menține un proces de clasificare și categorisire a incidentelor de securitate a informațiilor, pentru a permite identificarea și răspunsul precis la incidente.
• 4.2 Stabilește, menține și aliniază planul de răspuns la incidente cu planul de continuitate a afacerii și planul de recuperare de la dezastre, pentru a asigura un răspuns eficient și la timp la incidentele de securitate a informațiilor.
• 4.3 Dezvoltă și implementează procese pentru a asigura identificarea la timp a incidentelor de securitate a informațiilor.
• 4.4 Stabilește și menține procese pentru investigarea și documentarea incidentelor de securitate a informațiilor, pentru a putea răspunde adecvat și a determina cauzele acestora, respectând cerințele legale, regulatorii și organizaționale.
• 4.5 Stabilește și menține procese de gestionare a incidentelor, pentru a asigura că stakeholderii adecvati sunt implicați în managementul răspunsului la incidente.
• 4.6 Organizează, trainești și echipează echipele pentru a răspunde eficient și la timp la incidente de securitate a informațiilor.
• 4.7 Testează și revizuiești periodic planurile de management al incidentelor, pentru a asigura un răspuns eficient la incidente de securitate a informațiilor și pentru a îmbunătăți capacitatea de răspuns.
• 4.8 Stabilește și menține planuri și procese de comunicare pentru a gestiona comunicarea cu entitățile interne și externe.
• 4.9 Efectuezi revizuiri post-incident pentru a determina cauza rădăcină a incidentelor de securitate a informațiilor, pentru a dezvolta acțiuni corective, pentru a reevalua riscurile, pentru a evalua eficacitatea răspunsului și pentru a lua acțiuni remediere adecvate.
• 4.10 Stabilește și menține integrarea dintre planul de răspuns la incidente, planul de recuperare de la dezastre și planul de continuitate a afacerii.