Formation CISM - Certified Information Security Manager

Domaine 1 — Gouvernance de la sécurité de l'information (24 %)

Établir et maintenir un cadre de gouvernance de la sécurité de l'information et les processus de soutien afin de garantir que la stratégie de sécurité de l'information est alignée sur les objectifs de l'organisation, que les risques de l'information sont gérés de manière appropriée et que les ressources du programme sont gérées de manière responsable.

• 1.1 Établir et maintenir une stratégie de sécurité de l'information alignée sur les objectifs de l'organisation pour guider l'établissement et la gestion continue du programme de sécurité de l'information.
• 1.2 Établir et maintenir un cadre de gouvernance de la sécurité de l'information pour guider les activités qui soutiennent la stratégie de sécurité de l'information.
• 1.3 Intégrer la gouvernance de la sécurité de l'information dans la gouvernance d'entreprise afin de s'assurer que les objectifs de l'organisation sont soutenus par le programme de sécurité de l'information.
• 1.4 Établir et maintenir des politiques de sécurité de l'information pour communiquer les directives de la direction et guider l'élaboration de normes, de procédures et de lignes directrices.
• 1.5 Élaborer des affaires d'affaires (business cases) pour soutenir les investissements dans la sécurité de l'information.
• 1.6 Identifier les influences internes et externes sur l'organisation (par exemple, technologie, environnement commercial, tolérance au risque, localisation géographique, exigences légales et réglementaires) pour s'assurer que ces facteurs sont abordés par la stratégie de sécurité de l'information.
• 1.7 Obtenir l'engagement de la haute direction et le soutien des autres parties prenantes pour maximiser les probabilités de mise en œuvre réussie de la stratégie de sécurité de l'information.
• 1.8 Définir et communiquer les rôles et les responsabilités en matière de sécurité de l'information au sein de l'organisation pour établir des responsabilités claires et des lignes de autorité.
• 1.9 Établir, surveiller, évaluer et rendre compte des indicateurs (par exemple, indicateurs de objectifs clés [KGIs], indicateurs de performance clés [KPIs], indicateurs de risque clés [KRIs]) pour fournir à la direction des informations précises sur l'efficacité de la stratégie de sécurité de l'information.

Domaine 2 — Gestion des risques et conformité en matière de sécurité de l'information (33 %)

Gérer les risques de l'information à un niveau acceptable pour satisfaire aux exigences commerciales et réglementaires de l'organisation.

• 2.1 Établir et maintenir un processus d'identification et de classification des actifs informationnels pour s'assurer que les mesures prises pour protéger les actifs sont proportionnelles à leur valeur commerciale.
• 2.2 Identifier les exigences légales, réglementaires, organisationnelles et autres applicables afin de gérer le risque de non-conformité à des niveaux acceptables.
• 2.3 S'assurer que les évaluations des risques, les évaluations de la vulnérabilité et les analyses de menaces sont réalisées périodiquement et de manière cohérente pour identifier les risques pour l'information de l'organisation.
• 2.4 Déterminer et mettre en œuvre des options de traitement des risques appropriées pour gérer le risque à des niveaux acceptables.
• 2.5 Évaluer les contrôles de sécurité de l'information pour déterminer s'ils sont appropriés et atténuent efficacement le risque à un niveau acceptable.
• 2.6 Intégrer la gestion des risques informationnels aux processus commerciaux et TI (par exemple, développement, approvisionnement, gestion de projet, fusions et acquisitions) pour promouvoir un processus de gestion des risques informationnels cohérent et exhaustif dans toute l'organisation.
• 2.7 Surveiller les risques existants pour s'assurer que les changements sont identifiés et gérés de manière appropriée.
• 2.8 Signaler les non-conformités et les autres changements des risques informationnels à la direction appropriée pour aider au processus de prise de décision en matière de gestion des risques.

Domaine 3 — Développement et gestion du programme de sécurité de l'information (25 %)

Établir et gérer le programme de sécurité de l'information en alignement avec la stratégie de sécurité de l'information.

• 3.1 Établir et maintenir le programme de sécurité de l'information en alignement avec la stratégie de sécurité de l'information.
• 3.2 Assurer l'alignement entre le programme de sécurité de l'information et les autres fonctions commerciales (par exemple, ressources humaines [RH], comptabilité, approvisionnement et TI) pour soutenir l'intégration avec les processus commerciaux.
• 3.3 Identifier, acquérir, gérer et définir les exigences pour les ressources internes et externes nécessaires à l'exécution du programme de sécurité de l'information.
• 3.4 Établir et maintenir des architectures de sécurité de l'information (personnel, processus, technologie) pour exécuter le programme de sécurité de l'information.
• 3.5 Établir, communiquer et maintenir les normes, procédures, lignes directrices et autres documents organisationnels de sécurité de l'information pour soutenir et guider la conformité aux politiques de sécurité de l'information.
• 3.6 Établir et maintenir un programme de sensibilisation et de formation à la sécurité de l'information pour promouvoir un environnement sûr et une culture de la sécurité efficace.
• 3.7 Intégrer les exigences de sécurité de l'information dans les processus organisationnels (par exemple, contrôle des changements, fusions et acquisitions, développement, continuité des activités, reprise après sinistre) pour maintenir la base de sécurité de l'organisation.
• 3.8 Intégrer les exigences de sécurité de l'information dans les contrats et les activités des tiers (par exemple, co-entreprises, prestataires externalisés, partenaires commerciaux, clients) pour maintenir la base de sécurité de l'organisation.
• 3.9 Établir, surveiller et rendre périodiquement compte des indicateurs de gestion de programme et opérationnels pour évaluer l'efficacité et l'efficience du programme de sécurité de l'information.

Domaine 4 — Gestion des incidents de sécurité de l'information (18 %)

Planifier, établir et gérer la capacité à détecter, enquêter, répondre à et récupérer des incidents de sécurité de l'information afin de minimiser l'impact commercial.

• 4.1 Établir et maintenir un processus de classification et de catégorisation des incidents de sécurité de l'information pour permettre une identification précise des incidents et une réponse appropriée.
• 4.2 Établir, maintenir et aligner le plan de réponse aux incidents avec le plan de continuité des activités et le plan de reprise après sinistre pour assurer une réponse efficace et rapide aux incidents de sécurité de l'information.
• 4.3 Développer et mettre en œuvre des processus pour assurer l'identification rapide des incidents de sécurité de l'information.
• 4.4 Établir et maintenir des processus pour enquêter et documenter les incidents de sécurité de l'information afin de pouvoir y répondre de manière appropriée et d'en déterminer les causes, tout en respectant les exigences légales, réglementaires et organisationnelles.
• 4.5 Établir et maintenir des processus de traitement des incidents pour s'assurer que les parties prenantes appropriées sont impliquées dans la gestion de la réponse aux incidents.
• 4.6 Organiser, former et équiper les équipes pour répondre efficacement aux incidents de sécurité de l'information dans les délais.
• 4.7 Tester et réviser périodiquement les plans de gestion des incidents pour assurer une réponse efficace aux incidents de sécurité de l'information et améliorer les capacités de réponse.
• 4.8 Établir et maintenir des plans et processus de communication pour gérer les communications avec les entités internes et externes.
• 4.9 Réaliser des revues post-incident pour déterminer la cause racine des incidents de sécurité de l'information, élaborer des actions correctives, réévaluer les risques, évaluer l'efficacité de la réponse et prendre les mesures correctives appropriées.
• 4.10 Établir et maintenir l'intégration entre le plan de réponse aux incidents, le plan de reprise après sinistre et le plan de continuité des activités.