CISM - Certified Information Security Manager Training Cursus

Domein 1—Informatiebeveiligingsbestuur (24%)

Vaststellen en onderhouden van een informatiebeveiligingsbestuurskader en ondersteunende processen om ervoor te zorgen dat de strategie voor informatiebeveiliging is afgestemd op de doelen en doelstellingen van de organisatie, dat informatiebeveiligingsrisico's adequaat worden beheerd en dat programmamiddelen verantwoord worden beheerd.

• 1.1 Vaststellen en onderhouden van een strategie voor informatiebeveiliging die is afgestemd op de doelen en doelstellingen van de organisatie, ter ondersteuning van het vaststellen en het lopende beheer van het programma voor informatiebeveiliging.
• 1.2 Vaststellen en onderhouden van een informatiebeveiligingsbestuurskader ter ondersteuning van activiteiten die de strategie voor informatiebeveiliging ondersteunen.
• 1.3 Integreren van informatiebeveiligingsbestuur in het corporate bestuur om ervoor te zorgen dat de doelen en doelstellingen van de organisatie worden ondersteund door het programma voor informatiebeveiliging.
• 1.4 Vaststellen en onderhouden van informatiebeveiligingsbeleidsregels om de richtlijnen van het management te communiceren en de ontwikkeling van normen, procedures en richtlijnen te sturen.
• 1.5 Opstellen van business cases ter ondersteuning van investeringen in informatiebeveiliging.
• 1.6 Identifieren van interne en externe invloeden op de organisatie (bijvoorbeeld technologie, zakenomgeving, risicotolerantie, geografische locatie, juridische en regelgevende eisen) om ervoor te zorgen dat deze factoren worden aangepakt door de strategie voor informatiebeveiliging.
• 1.7 Verwerving van toewijding van het topmanagement en steun van andere belanghebbenden om de waarschijnlijkheid van een succesvolle implementatie van de strategie voor informatiebeveiliging te maximaliseren.
• 1.8 Definiëren en communiceren van de rollen en verantwoordelijkheden van informatiebeveiliging binnen de hele organisatie om duidelijke verantwoordelijkheden en lijnen van bevoegdheid vast te stellen.
• 1.9 Vaststellen, monitoren, evalueren en rapporteren van metingen (bijvoorbeeld key goal indicators [KGIs], key performance indicators [KPIs], key risk indicators [KRIs]) om het management准确的e informatie te verschaffen over de effectiviteit van de strategie voor informatiebeveiliging.

Domein 2—Beheer van informatiebeveiligingsrisico's en conformiteit (33%)

Beheer van informatiebeveiligingsrisico's tot een aanvaardbaar niveau om aan de zakelijke en compliance-eisen van de organisatie te voldoen.

• 2.1 Vaststellen en onderhouden van een proces voor de identificatie en classificatie van informatieassets om ervoor te zorgen dat de maatregelen die worden genomen om assets te beschermen evenredig zijn met hun zakelijke waarde.
• 2.2 Identifieren van juridische, regelgevende, organisatorische en andere toepasselijke eisen om het risico op non-conformiteit te een aanvaardbaar niveau te beheersen.
• 2.3 Zorg ervoor dat risicobeoordelingen, kwetsbaarheidsanalyses en dreigingsanalyses regelmatig en consistent worden uitgevoerd om risico's voor de informatie van de organisatie te identifieren.
• 2.4 Bepalen en implementeren van passende opties voor risicobehandeling om risico's tot een aanvaardbaar niveau te beheersen.
• 2.5 Evalueren van informatiebeveiligingscontroles om te bepalen of ze passend zijn en het risico effectief mitigeren tot een aanvaardbaar niveau.
• 2.6 Integreren van risicobeheer voor informatie in zakelijke en IT-processen (bijvoorbeeld ontwikkeling, inkoop, projectmanagement, fusies en overnames) om een consequent en comprehensief proces voor risicobeheer voor informatie te bevorderen binnen de organisatie.
• 2.7 Monitoren van bestaande risico's om ervoor te zorgen dat wijzigingen worden geïdentificeerd en adequaat worden beheerd.
• 2.8 Rapporteren van non-conformiteit en andere wijzigingen in informatiebeveiligingsrisico's aan het betreffende management om het besluitvormingsproces voor risicobeheer te ondersteunen.

Domein 3—Ontwikkeling en beheer van programma's voor informatiebeveiliging (25%)

Vaststellen en beheren van het programma voor informatiebeveiliging in lijn met de strategie voor informatiebeveiliging.

• 3.1 Vaststellen en onderhouden van het programma voor informatiebeveiliging in lijn met de strategie voor informatiebeveiliging.
• 3.2 Zorg voor afstemming tussen het programma voor informatiebeveiliging en andere zakelijke functies (bijvoorbeeld HR, accounting, inkoop en IT) om integratie met zakelijke processen te ondersteunen.
• 3.3 Identifieren, verwerven, beheren en specificeren van vereisten voor interne en externe middelen voor de uitvoering van het programma voor informatiebeveiliging.
• 3.4 Vaststellen en onderhouden van architectuurstelsels voor informatiebeveiliging (mensen, processen, technologie) voor de uitvoering van het programma voor informatiebeveiliging.
• 3.5 Vaststellen, communiceren en onderhouden van organisatorische normen, procedures, richtlijnen voor informatiebeveiliging en andere documentatie om conformiteit met informatiebeveiligingsbeleidsregels te ondersteunen en te sturen.
• 3.6 Vaststellen en onderhouden van een programma voor bewustwording en training op het gebied van informatiebeveiliging om een veilige omgeving en een effectieve cultuur van beveiliging te bevorderen.
• 3.7 Integreren van eisen voor informatiebeveiliging in organisatorische processen (bijvoorbeeld wijzigingsbeheer, fusies en overnames, ontwikkeling, business continuity, disaster recovery) om de beveiligingsbasis van de organisatie te handhaven.
• 3.8 Integreren van eisen voor informatiebeveiliging in contracten en activiteiten van derden (bijvoorbeeld joint ventures, uitbestede leveranciers, zakelijke partners, klanten) om de beveiligingsbasis van de organisatie te handhaven.
• 3.9 Vaststellen, monitoren en periodiek rapporteren van programma- en operationele metingen om de effectiviteit en efficiëntie van het programma voor informatiebeveiliging te evalueren.

Domein 4—Beheer van incidenten op het gebied van informatiebeveiliging (18%)

Plannen, vaststellen en beheren van het vermogen om incidenten op het gebied van informatiebeveiliging te detecteren, te onderzoeken, hierop te reageren en hieromtrent te herstellen, om de zakelijke impact te minimaliseren.

• 4.1 Vaststellen en onderhouden van een proces voor de classificatie en categorisering van incidenten op het gebied van informatiebeveiliging om nauwkeurige identificatie van en reactie op incidenten mogelijk te maken.
• 4.2 Vaststellen, onderhouden en afstemmen van het incidentreactieplan met het business continuity plan en het disaster recovery plan om een effectieve en tijdige reactie op incidenten op het gebied van informatiebeveiliging te garanderen.
• 4.3 Ontwerpen en implementeren van processen om ervoor te zorgen dat incidenten op het gebied van informatiebeveiliging tijdig worden geïdentificeerd.
• 4.4 Vaststellen en onderhouden van processen om incidenten op het gebied van informatiebeveiliging te onderzoeken en te documenteren, zodat er adequaat kan worden gereageerd en de oorzaken kunnen worden bepaald, waarbij voldaan wordt aan juridische, regelgevende en organisatorische eisen.
• 4.5 Vaststellen en onderhouden van processen voor de afhandeling van incidenten om ervoor te zorgen dat de juiste belanghebbenden betrokken zijn bij het beheer van de incidentreactie.
• 4.6 Organisatie, training en uitrusting van teams om effectief en tijdig te reageren op incidenten op het gebied van informatiebeveiliging.
• 4.7 Periodiek testen en reviewen van de plannen voor incidentbeheer om een effectieve reactie op incidenten op het gebied van informatiebeveiliging te garanderen en de reactiemogelijkheden te verbeteren.
• 4.8 Vaststellen en onderhouden van communicatieplannen en -processen om communicatie met interne en externe entiteiten te beheren.
• 4.9 Uitvoeren van nabesprekingen na incidenten om de oorzaak van incidenten op het gebied van informatiebeveiliging te bepalen, correctieve maatregelen te ontwikkelen, het risico opnieuw te beoordelen, de effectiviteit van de reactie te evalueren en passende herstelmaatregelen te nemen.
• 4.10 Vaststellen en onderhouden van integratie tussen het incidentreactieplan, het disaster recovery plan en het business continuity plan.