CISM - Certified Information Security Manager Träningskurs

Område 1—Informationssäkerhetsstyrning (24 %)

Upprätta och underhålla ett informationssäkerhetsstyrningssystem och tillhörande processer för att säkerställa att informationssäkerhetsstrategin är i linje med organisationens mål och syften, att informationsrisker hanteras på lämpligt sätt och att programresurser hanteras ansvarsfullt.

• 1.1 Upprätta och underhålla en informationssäkerhetsstrategi i linje med organisationens mål och syften för att leda upprättandet och den löpande hanteringen av informationssäkerhetsprogrammet.
• 1.2 Upprätta och underhålla ett informationssäkerhetsstyrningssystem för att leda aktiviteter som stöder informationssäkerhetsstrategin.
• 1.3 Integrera informationssäkerhetsstyrning i den övergripande företagsstyrningen för att säkerställa att organisationens mål och syften stöds av informationssäkerhetsprogrammet.
• 1.4 Upprätta och underhålla informationssäkerhetspolicyer för att kommunicera ledningens direktiv och leda utvecklingen av standarder, förfaranden och riktlinjer.
• 1.5 Utwärta affärsfall för att stödja investeringar i informationssäkerhet.
• 1.6 Identifiera interna och externa påverkningsfaktorer på organisationen (t.ex. teknik, affärs klimat, risktolerans, geografisk placering, lagliga och regelbaserade krav) för att säkerställa att dessa faktorer hanteras i informationssäkerhetsstrategin.
• 1.7 Få åtagande från den seniora ledningen och stöd från andra intressenter för att maximera sannolikheten för en lyckad implementering av informationssäkerhetsstrategin.
• 1.8 Definiera och kommunicera roller och ansvar för informationssäkerhet i hela organisationen för att upprätta tydliga ansvarsmomment och myndighetslinjer.
• 1.9 Upprätta, övervaka, utvärdera och rapportera mått (t.ex. key goal indicators [KGIs], key performance indicators [KPIs], key risk indicators [KRIs]) för att ge ledningen tillförlitlig information om effektiviteten i informationssäkerhetsstrategin.

Område 2—Informationsriskhantering och efterlevnad (33 %)

Hantera informationsrisker på en acceptabel nivå för att uppfylla organisationens affärs- och efterlevnadskrav.

• 2.1 Upprätta och underhålla en process för identifiering och klassificering av informationsresurser för att säkerställa att de åtgärder som vidtas för att skydda resurserna är proportionerliga mot deras affärsvärde.
• 2.2 Identifiera lagliga, regelbaserade, organisationsspecifika och andra tillämpliga krav för att hantera risken för bristande efterlevnad på acceptabla nivåer.
• 2.3 Säkerställa att riskbedömningar, sårbarhetsbedömningar och hotanalys genomförs regelbundet och konsekvent för att identifiera risker för organisationens information.
• 2.4 Fastställa och implementera lämpliga riskhanteringsalternativ för att hantera risker på acceptabla nivåer.
• 2.5 Utvärdera informationssäkerhetskontroller för att avgöra om de är lämpliga och effektivt dämpar risken till en acceptabel nivå.
• 2.6 Integrera informationsriskhantering i affärs- och IT-processer (t.ex. utveckling, inköp, projektledning, fusioner och övertaganden) för att främja en konsekvent och omfattande process för informationsriskhantering i organisationen.
• 2.7 Övervaka befintliga risker för att säkerställa att förändringar identifieras och hanteras på lämpligt sätt.
• 2.8 Rapportera bristande efterlevnad och andra förändringar i informationsrisk till lämplig ledning för att främja beslutsfattande i riskhanteringen.

Område 3—Utveckling och hantering av informationssäkerhetsprogram (25 %)

Upprätta och hantera informationssäkerhetsprogrammet i linje med informationssäkerhetsstrategin.

• 3.1 Upprätta och underhålla informationssäkerhetsprogrammet i linje med informationssäkerhetsstrategin.
• 3.2 Säkerställa samstämmighet mellan informationssäkerhetsprogrammet och andra affärsfunktioner (t.ex. personalavdelning [HR], bokföring, inköp och IT) för att stödja integration med affärsprocesser.
• 3.3 Identifiera, skaffa, hantera och definiera krav på interna och externa resurser för att genomföra informationssäkerhetsprogrammet.
• 3.4 Upprätta och underhålla informationssäkerhetsarkitekturer (människa, process, teknik) för att genomföra informationssäkerhetsprogrammet.
• 3.5 Upprätta, kommunicera och underhålla organisationens informationssäkerhetsstandarder, förfaranden, riktlinjer och annan dokumentation för att stödja och leda efterlevnad av informationssäkerhetspolicyer.
• 3.6 Upprätta och underhålla ett program för medvetenhet och utbildning inom informationssäkerhet för att främja en säker miljö och en effektiv säkerhetskultur.
• 3.7 Integrera informationssäkerhetskrav i organisationens processer (t.ex. ändringskontroll, fusioner och övertaganden, utveckling, affärskontinuitet, katastrofåterhämtning) för att upprätta organisationens säkerhetsbasnivå.
• 3.8 Integrera informationssäkerhetskrav i avtal och aktiviteter hos tredjeparter (t.ex. joint ventures, utkontrakterade leverantörer, affärspartners, kunder) för att upprätta organisationens säkerhetsbasnivå.
• 3.9 Upprätta, övervaka och regelbundet rapportera mått för programhantering och drift för att utvärdera effektivitet och kostnadseffektivitet i informationssäkerhetsprogrammet.

Område 4—Incidenthantering av informationssäkerhet (18 %)

Planera, upprätta och hantera förmågan att upptäcka, utreda, agera mot och återhämta sig från informationssäkerhetsincidenter för att minimera affärspåverkan.

• 4.1 Upprätta och underhålla en process för klassificering och kategorisering av informationssäkerhetsincidenter för att möjliggöra korrekt identifiering av och åtgärd vid incidenter.
• 4.2 Upprätta, underhålla och anpassa incidenthanteringsplanen till affärskontinuitetsplanen och katastrofåterhämtningsplanen för att säkerställa en effektiv och snabb respons vid informationssäkerhetsincidenter.
• 4.3 Utveckla och implementera processer för att säkerställa snabb identifiering av informationssäkerhetsincidenter.
• 4.4 Upprätta och underhålla processer för att utreda och dokumentera informationssäkerhetsincidenter för att kunna agera lämpligt och avgöra deras orsaker, samtidigt som man efterlever lagliga, regelbaserade och organisationsspecifika krav.
• 4.5 Upprätta och underhålla processer för incidentbehandling för att säkerställa att relevanta intressenter är involverade i hanteringen av incidentrespons.
• 4.6 Organisera, utbilda och utrusta team för att effektivt agera vid informationssäkerhetsincidenter på ett snabbt sätt.
• 4.7 Testa och granska incidenthanteringsplaner regelbundet för att säkerställa en effektiv respons vid informationssäkerhetsincidenter och för att förbättra responsförmågan.
• 4.8 Upprätta och underhålla kommunikationsplaner och processer för att hantera kommunikation med interna och externa parter.
• 4.9 Genomföra efteranalys av incidenter för att fastställa orsaken till informationssäkerhetsincidenter, utveckla korrigerande åtgärder, bedöma risken på nytt, utvärdera responsens effektivitet och vidta lämpliga åtgärder.
• 4.10 Upprätta och underhålla integration mellan incidenthanteringsplanen, katastrofåterhämtningsplanen och affärskontinuitetsplanen.