CISM - Certified Information Security Manager Training Cursus

Domein 1—Information Security Governance (24%)

Een information security governance-framework en bijbehorende processen opzetten en onderhouden om ervoor te zorgen dat de information security-strategie afgestemd is op de doelen en objectieven van de organisatie, dat information security-risico's adequaat worden beheerd en dat programmahulpbronnen verantwoord worden beheerd.

• 1.1 Een information security-strategie opzetten en onderhouden die afgestemd is op de doelen en objectieven van de organisatie, ter ondersteuning van de opzet en voortdurende beheer van het information security-programma.
• 1.2 Een information security governance-framework opzetten en onderhouden om activiteiten te sturen die de information security-strategie ondersteunen.
• 1.3 Information security governance integreren in het corporate governance om ervoor te zorgen dat de doelen en objectieven van de organisatie worden ondersteund door het information security-programma.
• 1.4 Information security-beleidslijnen opzetten en onderhouden om de richtlijnen van het management te communiceren en de ontwikkeling van standaarden, procedures en richtlijnen te sturen.
• 1.5 Business cases ontwikkelen ter ondersteuning van investeringen in information security.
• 1.6 Interne en externe invloeden op de organisatie identificeren (bijvoorbeeld technologie, bedrijfsomgeving, risicotolernatie, geografische locatie, wettelijke en regelgevende eisen) om ervoor te zorgen dat deze factoren worden aangepakt door de information security-strategie.
• 1.7 Commitment van het topmanagement en ondersteuning van andere belanghebbenden verkrijgen om de kans op succesvolle implementatie van de information security-strategie te maximaliseren.
• 1.8 De rollen en verantwoordelijkheden van information security over de hele organisatie definiëren en communiceren om duidelijke verantwoordelijkheden en leidinglijnen te vestigen.
• 1.9 Metrieken (bijvoorbeeld key goal indicators [KGIs], key performance indicators [KPIs], key risk indicators [KRIs]) opzetten, monitoren, evalueren en rapporteren om het management nauwkeurige informatie te bieden over de effectiviteit van de information security-strategie.

Domein 2—Information Risk Management en Compliance (33%)

Information security-risico's beheren op een aanvaardbaar niveau om aan de zakelijke en compliance-eisen van de organisatie te voldoen.

• 2.1 Een proces voor de identificatie en classificatie van informatie-activa opzetten en onderhouden om ervoor te zorgen dat de maatregelen ter bescherming van activa evenredig zijn met hun zakelijke waarde.
• 2.2 Wettelijke, regelgevende, organisatie- en andere toepasselijke eisen identificeren om het risico op non-compliance op een aanvaardbaar niveau te beheren.
• 2.3 Zorg ervoor dat risicobeoordelingen, kwetsbaarheidsbeoordelingen en bedreigingsanalyses periodiek en consistent worden uitgevoerd om risico's voor de informatie van de organisatie te identificeren.
• 2.4 Geschikte risicobehandelingsopties bepalen en implementeren om risico's op een aanvaardbaar niveau te beheren.
• 2.5 Information security-controles evalueren om te bepalen of deze geschikt zijn en effectief risico's mitigeren tot een aanvaardbaar niveau.
• 2.6 Information risk management integreren in zakelijke en IT-processen (bijvoorbeeld ontwikkeling, inkoop, projectmanagement, overnames en fusies) om een consistente en omvangrijke information risk management-proces over de hele organisatie te bevorderen.
• 2.7 Bestaande risico's monitoren om ervoor te zorgen dat veranderingen worden geïdentificeerd en adequaat worden beheerd.
• 2.8 Non-compliance en andere veranderingen in information security-risico's rapporteren aan het juiste management om het risicobeslissingsproces te ondersteunen.

Domein 3—Information Security Programma Ontwikkeling en Beheer (25%)

Het information security-programma opzetten en beheren in lijn met de information security-strategie.

• 3.1 Het information security-programma opzetten en onderhouden in lijn met de information security-strategie.
• 3.2 Zorg voor afstemming tussen het information security-programma en andere bedrijfsfuncties (bijvoorbeeld human resources [HR], accounting, inkoop en IT) ter ondersteuning van integratie met bedrijfsprocessen.
• 3.3 Interne en externe hulpbronnen identificeren, verwerven, beheren en eisen definiëren om het information security-programma uit te voeren.
• 3.4 Information security-architecturen (mensen, processen, technologie) opzetten en onderhouden om het information security-programma uit te voeren.
• 3.5 Organisatiebrede information security-standaarden, procedures, richtlijnen en andere documentatie opzetten, communiceren en onderhouden ter ondersteuning en sturing van compliance met information security-beleidslijnen.
• 3.6 Een programma voor information security-awareness en training opzetten en onderhouden om een veilige omgeving en een effectieve security-cultuur te bevorderen.
• 3.7 Information security-eisen integreren in organisatorische processen (bijvoorbeeld change control, fusies en overnames, ontwikkeling, business continuity, disaster recovery) om de security-baseline van de organisatie te handhaven.
• 3.8 Information security-eisen integreren in contracten en activiteiten van derden (bijvoorbeeld joint ventures, uitbesteedde providers, business partners, klanten) om de security-baseline van de organisatie te handhaven.
• 3.9 Programmabeheer- en operationele metrieken opzetten, monitoren en periodiek rapporteren om de effectiviteit en efficiëntie van het information security-programma te evalueren.

Domein 4—Information Security Incident Management (18%)

Het vermogen plannen, opzetten en beheren om information security-incidenten te detecteren, te onderzoeken, eraan te reageren en ervan te herstellen, om de zakelijke impact te minimaliseren.

• 4.1 Een proces voor de classificatie en categorisering van information security-incidenten opzetten en onderhouden om accurate identificatie van en reactie op incidenten mogelijk te maken.
• 4.2 Het incident response-plan opzetten, onderhouden en afstemmen op het business continuity-plan en het disaster recovery-plan om een effectieve en tijdige reactie op information security-incidenten te waarborgen.
• 4.3 Processen ontwikkelen en implementeren om de tijdige identificatie van information security-incidenten te waarborgen.
• 4.4 Processen opzetten en onderhouden om information security-incidenten te onderzoeken en te documenteren om adequaat te kunnen reageren en de oorzaak te bepalen, waarbij wordt voldaan aan wettelijke, regelgevende en organisatie-eisen.
• 4.5 Incidentbeheersprocessen opzetten en onderhouden om ervoor te zorgen dat de juiste belanghebbenden betrokken worden bij incident response-beheer.
• 4.6 Teams organiseren, trainen en uitrusten om tijdig effectief te reageren op information security-incidenten.
• 4.7 Incident management-plannen periodiek testen en reviewen om een effectieve reactie op information security-incidenten te waarborgen en reactiemogelijkheden te verbeteren.
• 4.8 Communicatieplannen en -processen opzetten en onderhouden om communicatie met interne en externe entiteiten te beheren.
• 4.9 Post-incident reviews uitvoeren om de oorspronkelijke oorzaak van information security-incidenten te bepalen, corrigerende maatregelen te ontwikkelen, risico's opnieuw te beoordelen, de effectiviteit van de reactie te evalueren en geschikte correctieve maatregelen te nemen.
• 4.10 Integratie tussen het incident response-plan, het disaster recovery-plan en het business continuity-plan opzetten en onderhouden.