CISM - Πιστοποιημένος Διαχειριστής Ασφάλειας Πληροφοριών Κομμάτι εκπαίδευσης

Τομέας 1—Διακυβέρνηση Ασφαλείας Πληροφοριών (24%)

Συστήστε και διατηρήστε ένα πλαίσιο διακυβέρνησης ασφαλείας πληροφοριών και στήριξης διαδικασιών για να εξασφαλίσετε ότι η στρατηγική ασφαλείας πληροφοριών είναι ευθυγραμμισμένη με τους στόχους και τους σκοπούς του οργανισμού, το ρίσκο πληροφοριών διαχειρίζεται κατάλληλα και τα πόρους του προγράμματος διαχειρίζονται ευθύνως.

• 1.1 Σύσταση και διατήρηση μιας στρατηγικής ασφαλείας πληροφοριών σε ευθυγράμμιση με τους στόχους και τους σκοπούς του οργανισμού για να καθοδηγεί τη σύσταση και την συνεχή διαχείριση του προγράμματος ασφαλείας πληροφοριών.
• 1.2 Σύσταση και διατήρηση ενός πλαισίου διακυβέρνησης ασφαλείας πληροφοριών για να καθοδηγεί δραστηριότητες που υποστηρίζουν τη στρατηγική ασφαλείας πληροφοριών.
• 1.3 Ενσωμάτωση της διακυβέρνησης ασφαλείας πληροφοριών στη διακυβέρνηση της εταιρείας για να εξασφαλίσει ότι οι στόχοι και οι σκοποί του οργανισμού υποστηρίζονται από το πρόγραμμα ασφαλείας πληροφοριών.
• 1.4 Σύσταση και διατήρηση πολιτικών ασφαλείας πληροφοριών για να επικοινωνούν τις οδηγίες της διαχείρισης και να καθοδηγούν την ανάπτυξη κανονισμών, διαδικασιών και κατευθυντήριων γραμμών.
• 1.5 Ανάπτυξη επιχειρηματικών περιπτώσεων για να υποστηρίζουν επενδύσεις σε ασφάλεια πληροφοριών.
• 1.6 Εντοπισμός εσωτερικών και εξωτερικών επιρροών στον οργανισμό (για παράδειγμα, τεχνολογία, επιχειρηματικό περιβάλλον, ανοχή στον κίνδυνο, γεωγραφική θέση, νομικές και κανονιστικές απαιτήσεις) για να εξασφαλίσει ότι questi στοιχεία λαμβάνονται υπόψη από τη στρατηγική ασφαλείας πληροφοριών.
• 1.7 Απόκτηση δέσμευσης από την ανώτατη διοίκηση και υποστήριξης από άλλα ενδιαφερόμενα μέρη για να μεγιστοποιήσει την πιθανότητα επιτυχούς εφαρμογής της στρατηγικής ασφαλείας πληροφοριών.
• 1.8 Ορισμός και επικοινωνία των ρόλων και ευθυνών της ασφαλείας πληροφοριών σε ολόκληρο τον οργανισμό για να καθορίσει σαφείς ευθύνες και γραμμές εξουσίας.
• 1.9 Σύσταση, παρακολούθηση, αξιολόγηση και αναφορά μετρικών (για παράδειγμα, κλειδί δείκτες στόχων [KGIs], κλειδί δείκτες απόδοσης [KPIs], κλειδί δείκτες ρίσκου [KRIs]) για να παρέχει στη διαχείριση ακριβείς πληροφορίες σχετικά με την αποτελεσματικότητα της στρατηγικής ασφαλείας πληροφοριών.

Τομέας 2—Διαχείριση Ρίσκου και Συμμόρφωσης Πληροφοριών (33%)

Διαχειρίστε το ρίσκο πληροφοριών σε αποδεκτά επίπεδα ώστε να ικανοποιούνται οι επιχειρηματικές και συμμορφωτικές απαιτήσεις του οργανισμού.

• 2.1 Σύσταση και διατήρηση μιας διαδικασίας για τον εντοπισμό και τη ταξινόμηση περιουσιακών στοιχείων πληροφοριών για να εξασφαλίσει ότι τα μέτρα που λαμβάνονται για την προστασία των περιουσιακών στοιχείων είναι αναλογικά με την επιχειρηματική τους αξία.
• 2.2 Εντοπισμός νομικών, κανονιστικών, οργανισμικών και άλλων εφαρμοστέων απαιτήσεων για να διαχειρίζεται τον κίνδυνο μη συμμόρφωσης σε αποδεκτά επίπεδα.
• 2.3 Εξασφάλιση ότι οι αξιολογήσεις ρίσκου, οι αξιολογήσεις ευάλωτων σημείων και οι αναλύσεις απειλών γίνονται περιοδικά και συνεπώς για να εντοπίσουν τον κίνδυνο στις πληροφορίες του οργανισμού.
• 2.4 Καθορισμός και εφαρμογή κατάλληλων επιλογών αντιμετώπισης ρίσκου για να διαχειρίζεται τον κίνδυνο σε αποδεκτά επίπεδα.
• 2.5 Αξιολόγηση ελέγχων ασφαλείας πληροφοριών για να προσδιορίσει αν είναι κατάλληλοι και αν μετριάζουν αποτελεσματικά τον κίνδυνο σε αποδεκτό επίπεδο.
• 2.6 Ενσωμάτωση της διαχείρισης ρίσκου πληροφοριών στις διαδικασίες επιχειρήσεων και ΠΛΗ (για παράδειγμα, ανάπτυξη, προμήθεια, διαχείριση έργων, ενοποιήσεις και αποκτήσεις) για να προάγει μια συνεπή και ολοκληρωμένη διαδικασία διαχείρισης ρίσκου πληροφοριών σε ολόκληρο τον οργανισμό.
• 2.7 Παρακολούθηση του υπάρχοντος ρίσκου για να εξασφαλίσει ότι οι αλλαγές εντοπίζονται και διαχειρίζονται κατάλληλα.
• 2.8 Αναφορά μη συμμόρφωσης και άλλων αλλαγών στο ρίσκο πληροφοριών στην κατάλληλη διαχείριση για να βοηθήσει στη διαδικασία λήψης αποφάσεων διαχείρισης ρίσκου.

Τομέας 3—Ανάπτυξη και Διαχείριση Προγράμματος Ασφαλείας Πληροφοριών (25%)

Συστήστε και διαχειρίστε το πρόγραμμα ασφαλείας πληροφοριών σε ευθυγράμμιση με τη στρατηγική ασφαλείας πληροφοριών.

• 3.1 Σύσταση και διατήρηση του προγράμματος ασφαλείας πληροφοριών σε ευθυγράμμιση με τη στρατηγική ασφαλείας πληροφοριών.
• 3.2 Εξασφάλιση ευθυγράμμισης μεταξύ του προγράμματος ασφαλείας πληροφοριών και άλλων επιχειρηματικών λειτουργιών (για παράδειγμα, ανθρώπινος κλάδος [HR], λογιστική, προμήθεια και ΠΛΗ) για να υποστηρίζει την ενσωμάτωση με τις επιχειρηματικές διαδικασίες.
• 3.3 Εντοπισμός, απόκτηση, διαχείριση και ορισμός απαιτήσεων για εσωτερικούς και εξωτερικούς πόρους για την εκτέλεση του προγράμματος ασφαλείας πληροφοριών.
• 3.4 Σύσταση και διατήρηση αρχιτεκτονικών ασφαλείας πληροφοριών (άνθρωποι, διεργασίες, τεχνολογία) για την εκτέλεση του προγράμματος ασφαλείας πληροφοριών.
• 3.5 Σύσταση, επικοινωνία και διατήρηση οργανισμικών κανονισμών, διαδικασιών, κατευθυντήριων γραμμών και άλλων εγγράφων ασφαλείας πληροφοριών για να υποστηρίζει και καθοδηγεί τη συμμόρφωση με τις πολιτικές ασφαλείας πληροφοριών.
• 3.6 Σύσταση και διατήρηση ενός προγράμματος για τη συνείδηση και την εκπαίδευση ασφαλείας πληροφοριών για να προάγει ένα ασφαλές περιβάλλον και μια αποτελεσματική κουλτούρα ασφαλείας.
• 3.7 Ενσωμάτωση των απαιτήσεων ασφαλείας πληροφοριών σε διαδικασίες οργανισμικές (για παράδειγμα, ελέγχος αλλαγών, ενοποιήσεις και αποκτήσεις, ανάπτυξη, επιχειρηματική συνέχεια, αποκατάσταση καταστροφών) για να διατηρεί το βασικό επίπεδο ασφαλείας του οργανισμού.
• 3.8 Ενσωμάτωση των απαιτήσεων ασφαλείας πληροφοριών σε συμβάσεις και δραστηριότητες τρίτων (για παράδειγμα, κοινές επιχειρήσεις, εξωτερικοί πάροχοι, επιχειρηματικοί εταίροι, πελάτες) για να διατηρεί το βασικό επίπεδο ασφαλείας του οργανισμού.
• 3.9 Σύσταση, παρακολούθηση και περιοδική αναφορά μετρικών διαχείρισης προγράμματος και λειτουργικών για να αξιολογεί την αποτελεσματικότητα και την αποτελεσματικότητα του προγράμματος ασφαλείας πληροφοριών.

Τομέας 4—Διαχείριση Περιστατικών Ασφαλείας Πληροφοριών (18%)

Σχεδιάστε, συστήστε και διαχειρίστε την ικανότητα ανίχνευσης, έρευνας, ανταπόκρισης και αποκατάστασης περιστατικών ασφαλείας πληροφοριών για την ελαχιστοποίηση της επιχειρηματικής επιρροής.

• 4.1 Σύσταση και διατήρηση μιας διαδικασίας ταξινόμησης και κατηγοριοποίησης περιστατικών ασφαλείας πληροφοριών για να επιτρέπει την ακριβή αναγνώριση και ανταπόκριση στα περιστατικά.
• 4.2 Σύσταση, διατήρηση και ευθυγράμμιση του σχεδίου ανταπόκρισης σε περιστατικά με το σχέδιο επιχειρηματικής συνέχισης και το σχέδιο αποκατάστασης καταστροφών για να εξασφαλίσει μια αποτελεσματική και έγκαιρη ανταπόκριση σε περιστατικά ασφαλείας πληροφοριών.
• 4.3 Ανάπτυξη και εφαρμογή διαδικασιών για να εξασφαλίσει την έγκαιρη αναγνώριση περιστατικών ασφαλείας πληροφοριών.
• 4.4 Σύσταση και διατήρηση διαδικασιών για την έρευνα και την τεκμηρίωση περιστατικών ασφαλείας πληροφοριών για να μπορεί να ανταποκρίνεται κατάλληλα και να προσδιορίζει τις αιτίες τους, με τη τήρηση νομικών, κανονιστικών και οργανισμικών απαιτήσεων.
• 4.5 Σύσταση και διατήρηση διαδικασιών διαχείρισης περιστατικών για να εξασφαλίσει ότι τα κατάλληλα ενδιαφερόμενα μέρη εμπλέκονται στη διαχείριση ανταπόκρισης σε περιστατικά.
• 4.6 Οργάνωση, εκπαίδευση και εξοπλισμός ομάδων για να ανταποκρίνονται αποτελεσματικά σε περιστατικά ασφαλείας πληροφοριών σε έγκαιρο χρόνο.
• 4.7 Δοκιμές και ανασκόπηση των σχεδίων διαχείρισης περιστατικών περιοδικά για να εξασφαλίσει μια αποτελεσματική ανταπόκριση σε περιστατικά ασφαλείας πληροφοριών και για να βελτιώσει τις ικανότητες ανταπόκρισης.
• 4.8 Σύσταση και διατήρηση σχεδίων και διαδικασιών επικοινωνίας για να διαχειρίζεται την επικοινωνία με εσωτερικές και εξωτερικές οντότητες.
• 4.9 Διεξαγωγή μετ-περιστασιακών ανασκοπήσεων για να προσδιορίσει τη ρίζα της αιτίας των περιστατικών ασφαλείας πληροφοριών, να αναπτύξει διόρθωτικές ενέργειες, να επανεξετάσει τον κίνδυνο, να αξιολογήσει την αποτελεσματικότητα της ανταπόκρισης και να λάβει κατάλληλες διόρθωτικές ενέργειες.
• 4.10 Σύσταση και διατήρηση ενσωμάτωσης μεταξύ του σχεδίου ανταπόκρισης σε περιστατικά, του σχεδίου αποκατάστασης καταστροφών και του σχεδίου επιχειρηματικής συνέχισης.