CISM - Certified Information Security Manager Schulung

Bereich 1 — Information Security Governance (24%)

Einen Rahmen für die Information Security Governance und unterstützende Prozesse aufbauen und pflegen, um sicherzustellen, dass die Information Security Strategie mit den organisatorischen Zielen und Zwecken übereinstimmt, das Informationsrisiko angemessen verwaltet wird und die Programmmittel verantwortungsvoll verwaltet werden.

• 1.1 Eine Information Security Strategie aufbauen und pflegen, die mit den organisatorischen Zielen und Zwecken übereinstimmt, um die Einrichtung und das laufende Management des Information Security Programms zu leiten.
• 1.2 Einen Rahmen für die Information Security Governance aufbauen und pflegen, um Aktivitäten zu leiten, die die Information Security Strategie unterstützen.
• 1.3 Die Information Security Governance in die Unternehmensführung integrieren, um sicherzustellen, dass die organisatorischen Ziele und Zwecke durch das Information Security Programm unterstützt werden.
• 1.4 Information Security Richtlinien aufbauen und pflegen, um die Weisungen des Managements zu kommunizieren und die Entwicklung von Standards, Verfahren und Leitlinien zu leiten.
• 1.5 Geschäftsfälle erstellen, um Investitionen in Information Security zu unterstützen.
• 1.6 Interne und externe Einflüsse auf die Organisation (zum Beispiel Technologie, Geschäftsumfeld, Risikotoleranz, geografische Lage, gesetzliche und regulatorische Anforderungen) identifizieren, um sicherzustellen, dass diese Faktoren durch die Information Security Strategie adressiert werden.
• 1.7 Das Engagement der Unternehmensleitung und die Unterstützung durch andere Stakeholder gewinnen, um die Wahrscheinlichkeit einer erfolgreichen Implementierung der Information Security Strategie zu maximieren.
• 1.8 Die Rollen und Verantwortlichkeiten für Information Security in der gesamten Organisation definieren und kommunizieren, um klare Verantwortlichkeiten und Befugnislinien zu etablieren.
• 1.9 Metriken (zum Beispiel Key Goal Indicators [KGIs], Key Performance Indicators [KPIs], Key Risk Indicators [KRIs]) aufbauen, überwachen, auswerten und berichten, um dem Management genaue Informationen über die Wirksamkeit der Information Security Strategie zu liefern.

Bereich 2 — Information Risk Management and Compliance (33%)

Informationsrisiken auf ein akzeptables Niveau verwalten, um den geschäftlichen und Compliance-Anforderungen der Organisation gerecht zu werden.

• 2.1 Einen Prozess für die Identifizierung und Klassifizierung von Informationsvermögen aufbauen und pflegen, um sicherzustellen, dass die zum Schutz des Vermögens getroffenen Massnahmen zu dessen geschäftlichem Wert angemessen sind.
• 2.2 Gesetzliche, regulatorische, organisatorische und andere anwendbare Anforderungen identifizieren, um das Risiko der Nicht-Compliance auf akzeptable Niveaus zu verwalten.
• 2.3 Sicherstellen, dass Risikobewertungen, Schwachstellenanalysen und Bedrohungsanalysen regelmässig und konsistent durchgeführt werden, um Risiken für die Informationen der Organisation zu identifizieren.
• 2.4 Angemessene Optionen zur Risikobewältigung bestimmen und umsetzen, um Risiken auf akzeptable Niveaus zu verwalten.
• 2.5 Information Security Kontrollen auswerten, um festzustellen, ob sie angemessen sind und das Risiko wirksam auf ein akzeptables Niveau mindern.
• 2.6 Das Information Risk Management in Geschäfts- und IT-Prozesse (zum Beispiel Entwicklung, Beschaffung, Projektmanagement, Fusionen und Übernahmen) integrieren, um einen konsistenten und umfassenden Information Risk Management Prozess in der gesamten Organisation zu fördern.
• 2.7 Bestehende Risiken überwachen, um sicherzustellen, dass Änderungen identifiziert und angemessen verwaltet werden.
• 2.8 Nicht-Compliance und andere Änderungen im Informationsrisiko dem zuständigen Management melden, um den Entscheidungsprozess im Risikomanagement zu unterstützen.

Bereich 3 — Information Security Program Development and Management (25%)

Das Information Security Programm in Übereinstimmung mit der Information Security Strategie aufbauen und verwalten.

• 3.1 Das Information Security Programm in Übereinstimmung mit der Information Security Strategie aufbauen und pflegen.
• 3.2 Die Übereinstimmung zwischen dem Information Security Programm und anderen Geschäftsfunktionen (zum Beispiel Personalwesen [HR], Buchhaltung, Beschaffung und IT) sicherstellen, um die Integration in Geschäftsprozesse zu unterstützen.
• 3.3 Interne und externe Ressourcen identifizieren, beschaffen, verwalten und Anforderungen für die Ausführung des Information Security Programms definieren.
• 3.4 Information Security Architekturen (Menschen, Prozesse, Technologie) aufbauen und pflegen, um das Information Security Programm auszuführen.
• 3.5 Organisatorische Information Security Standards, Verfahren, Leitlinien und andere Dokumentation aufbauen, kommunizieren und pflegen, um die Einhaltung der Information Security Richtlinien zu unterstützen und zu leiten.
• 3.6 Ein Programm für Information Security Awareness und Schulungen aufbauen und pflegen, um eine sichere Umgebung und eine wirksame Sicherheitskultur zu fördern.
• 3.7 Information Security Anforderungen in organisatorische Prozesse (zum Beispiel Change Management, Fusionen und Übernahmen, Entwicklung, Business Continuity, Disaster Recovery) integrieren, um die Sicherheitsbasis der Organisation aufrechtzuerhalten.
• 3.8 Information Security Anforderungen in Verträge und Aktivitäten von Drittparteien (zum Beispiel Joint Ventures, ausgelagerte Dienstleister, Geschäftspartner, Kunden) integrieren, um die Sicherheitsbasis der Organisation aufrechtzuerhalten.
• 3.9 Programmmanagement- und operative Metriken aufbauen, überwachen und regelmässig berichten, um die Wirksamkeit und Effizienz des Information Security Programms zu bewerten.

Bereich 4 — Information Security Incident Management (18%)

Die Fähigkeit planen, aufbauen und verwalten, um Information Security-Vorfälle zu erkennen, zu untersuchen, darauf zu reagieren und die Wiederherstellung durchzuführen, um die geschäftliche Auswirkung zu minimieren.

• 4.1 Einen Prozess für die Klassifizierung und Kategorisierung von Information Security Vorfällen aufbauen und pflegen, um eine genaue Identifizierung und Reaktion auf Vorfälle zu ermöglichen.
• 4.2 Den Incident Response Plan aufbauen, pflegen und mit dem Business Continuity Plan und dem Disaster Recovery Plan abstimmen, um eine wirksame und rechtzeitige Reaktion auf Information Security Vorfälle sicherzustellen.
• 4.3 Prozesse entwickeln und umsetzen, um die rechtzeitige Identifizierung von Information Security Vorfällen sicherzustellen.
• 4.4 Prozesse aufbauen und pflegen, um Information Security Vorfälle zu untersuchen und zu dokumentieren, um angemessen reagieren und deren Ursachen zu bestimmen, während die gesetzlichen, regulatorischen und organisatorischen Anforderungen eingehalten werden.
• 4.5 Incident-Bewältigungsprozesse aufbauen und pflegen, um sicherzustellen, dass die geeigneten Stakeholder in das Incident Response Management eingebunden werden.
• 4.6 Teams organisieren, schulen und ausstatten, um in einem zeitnahen Rahmen wirksam auf Information Security Vorfälle reagieren zu können.
• 4.7 Die Incident Management Pläne regelmässig testen und überprüfen, um eine wirksame Reaktion auf Information Security Vorfälle sicherzustellen und die Reaktionsfähigkeiten zu verbessern.
• 4.8 Kommunikationspläne und -prozesse aufbauen und pflegen, um die Kommunikation mit internen und externen Stellen zu verwalten.
• 4.9 Post-Incident Reviews durchführen, um die Ursache von Information Security Vorfällen zu bestimmen, Korrekturmassnahmen zu entwickeln, Risiken neu zu bewerten, die Wirksamkeit der Reaktion zu bewerten und angemessene Sanierungsmassnahmen zu treffen.
• 4.10 Die Integration zwischen dem Incident Response Plan, dem Disaster Recovery Plan und dem Business Continuity Plan aufbauen und pflegen.