CISM - Certified Information Security Manager Treningskurs

Domain 1—Informasjonssikkerhetsstyring (24%)

Opprett og opprett et rammeverk for informasjonssikkerhetsstyring og støttende prosesser for å sikre at informasjonssikkerhetsstrategien er i tråd med organisasjonens mål og formål, at informasjonsrisiko håndteres korrekt, og at programmets ressurser håndteres ansvarsfullt.

• 1.1 Opprett og oppretthold en informasjonssikkerhetsstrategi i tråd med organisasjonens mål og formål for å veilede opprettelsen og den løpende administreringen av informasjonssikkerhetsprogrammet.
• 1.2 Opprett og oppretthold et rammeverk for informasjonssikkerhetsstyring for å veilede aktiviteter som støtter informasjonssikkerhetsstrategien.
• 1.3 Integrer informasjonssikkerhetsstyring i den korporative styringen for å sikre at organisasjonens mål og formål støttes av informasjonssikkerhetsprogrammet.
• 1.4 Opprett og oppretthold informasjonssikkerhetspolicyer for å kommunisere ledelsens retningslinjer og veilede utviklingen av standarder, prosedyrer og retningslinjer.
• 1.5 Utarbeide forretningsfall som støtter investeringer i informasjonssikkerhet.
• 1.6 Identifiser interne og eksterne påvirkninger på organisasjonen (for eksempel teknologi, forretningsmiljø, risikotoleranse, geografisk beliggenhet, lovlige og regulatoriske krav) for å sikre at disse faktorene adresseres av informasjonssikkerhetsstrategien.
• 1.7 Oppnå engasjement fra toppledelsen og støtte fra andre interessenter for å maksimere sannsynligheten for vellykket gjennomføring av informasjonssikkerhetsstrategien.
• 1.8 Definer og kommuniser rollene og ansvarsområdene for informasjonssikkerhet i hele organisasjonen for å etablere tydelige ansvar og autoritetslinjer.
• 1.9 Etablere, overvåke, evaluere og rapportere på nøkkeltall (for eksempel nøkkeldrifter [KGIs], nøkkelforstyringstreff [KPIs], nøkkelriskoregistreringer [KRIs]) for å gi ledelsen nøyaktig informasjon om effektiviteten av informasjonssikkerhetsstrategien.

Domain 2—Informasjonsrisikostyring og samsvar (33%)

Styr informasjonsrisiko til et akseptabelt nivå for å møte organisasjonens forretnings- og samsvarskrav.

• 2.1 Opprett og oppretthold en prosess for identifisering og klassifisering av informasjonsressurser for å sikre at tiltak som treffes for å beskytte ressursene er proporsjonale med deres forretningsverdi.
• 2.2 Identifiser lovmessige, regulatoriske, organisatoriske og andre tilleggskrav for å håndtere risikoen for ikke samsvar til akseptabelt nivå.
• 2.3 Sikre at risikovurderinger, sårbarehetstester og trusselanalyser utføres periodisk og konsistent for å identifisere risiko for organisasjonens informasjon.
• 2.4 Bestemme og gjennomføre egnede risikobehandlingsalternativer for å håndtere risikoen til akseptabelt nivå.
• 2.5 Vurdere informasjonssikkerhetskontroller for å avgjøre om de er hensiktsmessige og effektivt mitigerer risiko til et akseptabelt nivå.
• 2.6 Integrer informasjonsrisikostyring i forretnings- og IT-prosesser (for eksempel utvikling, innkjøp, prosjektstyring, fusjoner og oppkjøp) for å fremme en konsekvent og omfattende prosess for informasjonsrisikostyring i hele organisasjonen.
• 2.7 Overvåk eksisterende risiko for å sikre at endringer identifiseres og håndteres hensiktsmessig.
• 2.8 Rapportere ikke-samsvar og andre endringer i informasjonsrisiko til tilstrekkelig ledelse for å bistå i risikostyringsbeslutninger.

Domain 3—Utvikling og administrering av informasjonssikkerhetsprogrammer (25%)

Opprett og administrer informasjonssikkerhetsprogrammet i tråd med informasjonssikkerhetsstrategien.

• 3.1 Opprett og oppretthold informasjonssikkerhetsprogrammet i tråd med informasjonssikkerhetsstrategien.
• 3.2 Sikre sammenfall mellom informasjonssikkerhetsprogrammet og andre forretningsfunksjoner (for eksempel personalavdelinger [HR], regnskap, innkjøp og IT) for å støtte integrering med forretningsprosesser.
• 3.3 Identifisere, anskaffe, administrere og definere krav til interne og eksterne ressurser for å gjennomføre informasjonssikkerhetsprogrammet.
• 3.4 Opprett og oppretthold informasjonssikkerhetsarkitekturer (mennesker, prosesser, teknologi) for å gjennomføre informasjonssikkerhetsprogrammet.
• 3.5 Etablere, kommunisere og oppretthold organisasjonens standarder, prosedyrer, retningslinjer og annen dokumentasjon relatert til informasjonssikkerhet for å støtte og veilede samsvar med informasjonssikkerhetspolicyer.
• 3.6 Opprett og oppretthold et program for bevissthet og opplæring i informasjonssikkerhet for å fremme et trygt miljø og en effektiv sikkerhetskultur.
• 3.7 Integrer krav til informasjonssikkerhet i organisatoriske prosesser (for eksempel endringskontroll, fusjoner og oppkjøp, utvikling, forretningssikkerhet, katastrofegjenvinning) for å opprettholde organisasjonens sikkerhetsgrunnlinje.
• 3.8 Integrer krav til informasjonssikkerhet i kontrakter og aktiviteter hos tredjeparter (for eksempel joint ventures, utestede leverandører, forretningspartnere, kunder) for å opprettholde organisasjonens sikkerhetsgrunnlinje.
• 3.9 Etablere, overvåke og rapportere periodisk på programstyrings- og operative måleverdier for å evaluere effektiviteten og effektiviteten av informasjonssikkerhetsprogrammet.

Domain 4—Håndtering av informasjonssikkerhetshendelser (18%)

Planlegg, etabler og administrer kapasitet til å oppdage, undersøke, respondere og gjenvinne fra informasjonssikkerhetshendelser for å minimere forretningsmessig påvirkning.

• 4.1 Etablere og vedlikeholde en prosess for klassifisering og kategorisering av informasjonssikkerhetshendelser for å tillate nøyaktig identifisering av og respons på hendelser.
• 4.2 Etablere, vedlikeholde og justere hendelsesplaner for å ivareta samstemmighet med planen for forretningskontinuitet og plan for katastrofegjenvinning, for å sikre en effektiv og rettidig respons på informasjonssikkerhetshendelser.
• 4.3 Utvikle og gjennomføre prosesser for å sikre rettidig identifisering av informasjonssikkerhetshendelser.
• 4.4 Etablere og vedlikeholde prosesser for å undersøke og dokumentere informasjonssikkerhetshendelser slik at man kan reagere hensiktsmessig og avgjøre deres årsaker, samtidig som man overholder lovmessige, regulatoriske og organisatoriske krav.
• 4.5 Etablere og vedlikeholde prosesser for hendelsesbehandling for å sikre at de aktuelle interessentene involveres i håndteringen av hendelsesrespons.
• 4.6 Organiser, tildele utstyr til, og utstyre lagene for å reagere effektivt på informasjonssikkerhetshendelser på en rettidig måte.
• 4.7 Test og gjennomgå planer for hendelsesadministrasjon periodisk for å sikre en effektiv respons på informasjonssikkerhetshendelser og for å forbedre rekkapitalen.
• 4.8 Etablere og vedlikeholde kommunikasjonsplaner og prosesser for å administrere kommunikasjon med interne og eksterne entiteter.
• 4.9 Gjennomfør gjeldende evalueringsruter for å bestemme den bakliggende årsaken til informasjonssikkerhetshendelser, utarbeide rettsmiddelaksjoner, vurdere om risiko, vurdere effektiviteten av responsen og vedta passende rettsmidelsaksjoner.
• 4.10 Etablere og vedlikeholde integrasjon mellom planer for hendelsesrespons, planer for katastrofegjenvinning og planer for forretningskontinuitet.