CISM - Πιστοποιημένος Διευθυντής Ασφαλείας Πληροφοριών Κομμάτι εκπαίδευσης

Τομέας 1 — Διακυβέρνηση Ασφαλείας Πληροφοριών (24%)

Επίσταση και διατήρηση ενός πλαισίου διακυβέρνησης ασφαλείας πληροφοριών και υποστηρικτικών διαδικασιών για να εξασφαλιστεί ότι η στρατηγική ασφαλείας πληροφοριών ευθυγραμμίζεται με τους στόχους και τους στόχους του οργανισμού, ότι το ρίσκο πληροφοριών διαχειρίζεται κατάλληλα και ότι οι πόροι του προγράμματος διαχειρίζονται υπεύθυνα.

• 1.1 Επίσταση και διατήρηση μιας στρατηγικής ασφαλείας πληροφοριών σε ευθυγράμμιση με τους στόχους και τους στόχους του οργανισμού, για να καθοδηγήσει την επίσταση και τη συνεχή διαχείριση του προγράμματος ασφαλείας πληροφοριών.
• 1.2 Επίσταση και διατήρηση ενός πλαισίου διακυβέρνησης ασφαλείας πληροφοριών για να καθοδηγήσει δραστηριότητες που υποστηρίζουν την στρατηγική ασφαλείας πληροφοριών.
• 1.3 Ενσωμάτωση της διακυβέρνησης ασφαλείας πληροφοριών στη διακυβέρνηση της επιχείρησης για να εξασφαλιστεί ότι οι στόχοι και οι στόχοι του οργανισμού υποστηρίζονται από το πρόγραμμα ασφαλείας πληροφοριών.
• 1.4 Επίσταση και διατήρηση πολιτικών ασφαλείας πληροφοριών για να επικοινωνηθούν οι οδηγίες της διοίκησης και να καθοδηγηθεί η ανάπτυξη τυπολογιών, διαδικασιών και καθοδηγήσεων.
• 1.5 Ανάπτυξη επιχειρηματικών περιπτώσεων για να υποστηριχθούν επενδύσεις στην ασφάλεια πληροφοριών.
• 1.6 Αναγνώριση εσωτερικών και εξωτερικών επιπλοκών στον οργανισμό (π.χ., τεχνολογία, επιχειρηματικό περιβάλλον, ανοχή στο ρίσκο, γεωγραφική θέση, νομικές και κανονιστικές απαιτήσεις) για να εξασφαλιστεί ότι αυτοί οι παράγοντες λαμβάνονται υπόψη από την στρατηγική ασφαλείας πληροφοριών.
• 1.7 Απόκτηση δέσμευσης από την ανώτερη διοίκηση και υποστήριξης από άλλα μέρη συμφεροντων για να μεγιστοποιηθεί η πιθανότητα επιτυχούς υλοποίησης της στρατηγικής ασφαλείας πληροφοριών.
• 1.8 Ορισμός και επικοινωνία των ρόλων και ευθυνών ασφαλείας πληροφοριών σε όλο τον οργανισμό για να καθοριστούν σαφείς ευθύνες και γραμμές εξουσίας.
• 1.9 Επίσταση, παρακολούθηση, αξιολόγηση και αναφορά μετρικών (π.χ., βασικοί δείκτες στόχων [KGIs], βασικοί δείκτες απόδοσης [KPIs], βασικοί δείκτες ρίσκου [KRIs]) για να παρέχουν στη διοίκηση ακριβείς πληροφορίες σχετικά με την αποτελεσματικότητα της στρατηγικής ασφαλείας πληροφοριών.

Τομέας 2 — Διαχείριση Ρίσκου και Συμμόρφωση Πληροφοριών (33%)

Διαχείριση του ρίσκου πληροφοριών σε αποδεκτό επίπεδο για την ικανοποίηση των επιχειρηματικών και κανονιστικών απαιτήσεων του οργανισμού.

• 2.1 Επίσταση και διατήρηση μιας διαδικασίας για την ταυτοποίηση και τον διαχωρισμό πόρων πληροφοριών για να εξασφαλιστεί ότι τα μέτρα που λαμβάνονται για την προστασία των πόρων είναι αναλογικά με την επιχειρηματική τους αξία.
• 2.2 Αναγνώριση νομικών, κανονιστικών, οργανωτικών και άλλων εφαρμογών απαιτήσεων για τη διαχείριση του ρίσκου μη συμμόρφωσης σε αποδεκτά επίπεδα.
• 2.3 Εξασφάλιση ότι οι εκτιμήσεις ρίσκου, οι εκτιμήσεις ευλωτότητας και οι αναλύσεις απειλών πραγματοποιούνται περιοδικά και με συνέπεια για την αναγνώριση του ρίσκου για τις πληροφορίες του οργανισμού.
• 2.4 Προσδιορισμός και υλοποίηση κατάλληλων επιλογών αντιμετώπισης ρίσκου για τη διαχείριση του ρίσκου σε αποδεκτά επίπεδα.
• 2.5 Αξιολόγηση των ελεγχών ασφαλείας πληροφοριών για να προσδιοριστεί αν είναι κατάλληλοι και αν μειώνουν αποτελεσματικά το ρίσκο σε αποδεκτά επίπεδα.
• 2.6 Ενσωμάτωση της διαχείρισης ρίσκου πληροφοριών σε διαδικασίες επιχειρήσεων και TI (π.χ., ανάπτυξη, προμήθεια, διαχείριση έργων, συγχωνεύσεις και αποκτήσεις) για να προωθηθεί μια συνεπής και ολοκληρωμένη διαδικασία διαχείρισης ρίσκου πληροφοριών σε όλο τον οργανισμό.
• 2.7 Παρακολούθηση του υπάρχοντος ρίσκου για να εξασφαλιστεί ότι οι αλλαγές εντοπίζονται και διαχειρίζονται κατάλληλα.
• 2.8 Αναφορά μη συμμόρφωσης και άλλων αλλαγών στο ρίσκο πληροφοριών στην κατάλληλη διοίκηση για να υποβοηθηθεί η διαδικασία λήψης αποφάσεων διαχείρισης ρίσκου.

Τομέας 3 — Ανάπτυξη και Διαχείριση Προγράμματος Ασφαλείας Πληροφοριών (25%)

Επίσταση και διαχείριση του προγράμματος ασφαλείας πληροφοριών σε ευθυγράμμιση με τη στρατηγική ασφαλείας πληροφοριών.

• 3.1 Επίσταση και διατήρηση του προγράμματος ασφαλείας πληροφοριών σε ευθυγράμμιση με τη στρατηγική ασφαλείας πληροφοριών.
• 3.2 Εξασφάλιση ευθυγράμμισης μεταξύ του προγράμματος ασφαλείας πληροφοριών και άλλων επιχειρηματικών λειτουργιών (π.χ., ανθρώπινους πόρους [HR], λογιστική, προμήθεια και TI) για να υποστηριχθεί η ενσωμάτωση με διαδικασίες επιχειρήσεων.
• 3.3 Αναγνώριση, απόκτηση, διαχείριση και ορισμός απαιτήσεων για εσωτερικούς και εξωτερικούς πόρους για την εκτέλεση του προγράμματος ασφαλείας πληροφοριών.
• 3.4 Επίσταση και διατήρηση αρχιτεκτονικών ασφαλείας πληροφοριών (άνθρωποι, διαδικασίες, τεχνολογία) για την εκτέλεση του προγράμματος ασφαλείας πληροφοριών.
• 3.5 Επίσταση, επικοινωνία και διατήρηση τυπολογιών, διαδικασιών, καθοδήσεων και άλλων εγγράφων ασφαλείας πληροφοριών του οργανισμού για να υποστηριχθεί και να καθοδηγηθεί η συμμόρφωση με τις πολιτικές ασφαλείας πληροφοριών.
• 3.6 Επίσταση και διατήρηση ενός προγράμματος ευαισθητοποίησης και εκπαίδευσης ασφαλείας πληροφοριών για να προωθηθεί ένα ασφαλές περιβάλλον και μια αποτελεσματική κουλτούρα ασφαλείας.
• 3.7 Ενσωμάτωση απαιτήσεων ασφαλείας πληροφοριών σε οργανωτικές διαδικασίες (π.χ., έλεγχος αλλαγών, συγχωνεύσεις και αποκτήσεις, ανάπτυξη, συνέχιση επιχειρήσεων, ανακατάσταση καταστροφών) για να διατηρηθεί η βάση ασφαλείας του οργανισμού.
• 3.8 Ενσωμάτωση απαιτήσεων ασφαλείας πληροφοριών σε συμβόλαια και δραστηριότητες τρίτων (π.χ., κοινοπραξίες, εξωτερικοί πάροχοι, επιχειρηματικοί εταίροι, πελάτες) για να διατηρηθεί η βάση ασφαλείας του οργανισμού.
• 3.9 Επίσταση, παρακολούθηση και περιοδική αναφορά μετρικών διαχείρισης προγράμματος και επιχειρήσεων για την αξιολόγηση της αποτελεσματικότητας και της αποδοτικότητας του προγράμματος ασφαλείας πληροφοριών.

Τομέας 4 — Διαχείριση Περιστατικών Ασφαλείας Πληροφοριών (18%)

Σχέδιο, επίσταση και διαχείριση της ικανότητας ανίχνευσης, έρευνας, αντίδρασης και ανάκαμψης από περιστατικά ασφαλείας πληροφοριών για τον ελαχισμο της επιρροής στην επιχείρηση.

• 4.1 Επίσταση και διατήρηση μιας διαδικασίας ταυτοποίησης και διαχωρισμού περιστατικών ασφαλείας πληροφοριών για να επιτρέψει την ακριβή αναγνώριση και αντίδραση στα περιστατικά.
• 4.2 Επίσταση, διατήρηση και ευθυγράμμιση του σχεδίου αντίδρασης σε περιστατικά με το σχέδιο συνέχισης επιχειρήσεων και το σχέδιο ανακατάστασης καταστροφών για να εξασφαλιστεί μια αποτελεσματική και έγκαιρη αντίδραση σε περιστατικά ασφαλείας πληροφοριών.
• 4.3 Ανάπτυξη και υλοποίηση διαδικασιών για να εξασφαλιστεί η έγκαιρη αναγνώριση περιστατικών ασφαλείας πληροφοριών.
• 4.4 Επίσταση και διατήρηση διαδικασιών για την έρευνα και την εγγραφή περιστατικών ασφαλείας πληροφοριών για να μπορεί να αντιδραστεί κατάλληλα και να προσδιοριστούν οι αιτίες τους, τηρώντας τις νομικές, κανονιστικές και οργανωτικές απαιτήσεις.
• 4.5 Επίσταση και διατήρηση διαδικασιών διαχείρισης περιστατικών για να εξασφαλιστεί ότι τα κατάλληλα μέρη συμφεροντων εμπλέκονται στη διαχείριση αντίδρασης σε περιστατικά.
• 4.6 Οργάνωση, εκπαίδευση και εξοπλισμός ομάδων για να αντιδράσουν αποτελεσματικά σε περιστατικά ασφαλείας πληροφοριών σε έγκαιρο χρόνο.
• 4.7 Δοκιμή και αξιολόγηση των σχεδίων διαχείρισης περιστατικών περιοδικά για να εξασφαλιστεί μια αποτελεσματική αντίδραση σε περιστατικά ασφαλείας πληροφοριών και να βελτιωθούν οι ικανότητες αντίδρασης.
• 4.8 Επίσταση και διατήρηση σχεδίων και διαδικασιών επικοινωνίας για τη διαχείριση της επικοινωνίας με εσωτερικές και εξωτερικές οντότητες.
• 4.9 Διεξαγωγή αναθεώρησης μετά το περιστατικό για να προσδιοριστεί η αιτία ρίζας των περιστατικών ασφαλείας πληροφοριών, να αναπτυχθούν διορθωτικές ενέργειες, να επανεξεταστεί το ρίσκο, να αξιολογηθεί η αποτελεσματικότητα της αντίδρασης και να ληφθούν κατάλληλες επανορθωτικές ενέργειες.
• 4.10 Επίσταση και διατήρηση ενσωμάτωσης μεταξύ του σχεδίου αντίδρασης σε περιστατικά, του σχεδίου ανακατάστασης καταστροφών και του σχεδίου συνέχισης επιχειρήσεων.