CISM – Certified Information Security Manager Schulung

Domäne 1 – Informationssecurity-Governance (24%)

Einen Rahmen für die Informationssecurity-Governance und unterstützende Prozesse aufbauen und pflegen, um sicherzustellen, dass die Informationssecurity-Strategie mit den organisatorischen Zielen und Objectives übereinstimmt, Informationsrisiken angemessen verwaltet werden und Programmmittel verantwortungsvoll verwaltet werden.

• 1.1 Eine Informationssecurity-Strategie aufbauen und pflegen, die mit den organisatorischen Zielen und Objectives übereinstimmt, um den Aufbau und die laufende Verwaltung des Informationssecurity-Programms zu leiten.
• 1.2 Einen Rahmen für die Informationssecurity-Governance aufbauen und pflegen, um Aktivitäten zu leiten, die die Informationssecurity-Strategie unterstützen.
• 1.3 Die Informationssecurity-Governance in die Unternehmensgovernance integrieren, um sicherzustellen, dass die organisatorischen Ziele und Objectives vom Informationssecurity-Programm unterstützt werden.
• 1.4 Informationssecurity-Richtlinien aufbauen und pflegen, um die Anweisungen der Leitung zu kommunizieren und die Entwicklung von Standards, Verfahren und Richtlinien zu leiten.
• 1.5 Geschäftsfälle entwickeln, um Investitionen in die Informationssecurity zu unterstützen.
• 1.6 Interne und externe Einflussfaktoren auf die Organisation identifizieren (z. B. Technologie, Geschäftsumfeld, Risikotoleranz, geografische Lage, rechtliche und regulatorische Anforderungen), um sicherzustellen, dass diese Faktoren von der Informationssecurity-Strategie berücksichtigt werden.
• 1.7 Das Engagement der Top-Führungsebene und die Unterstützung durch andere Interessengruppen sicherstellen, um die Wahrscheinlichkeit einer erfolgreichen Umsetzung der Informationssecurity-Strategie zu maximieren.
• 1.8 Die Rollen und Verantwortlichkeiten der Informationssecurity in der gesamten Organisation definieren und kommunizieren, um klare Verantwortlichkeiten und Befugnislinien zu etablieren.
• 1.9 Metriken (z. B. Key Goal Indicators [KGIs], Key Performance Indicators [KPIs], Key Risk Indicators [KRIs]) aufbauen, überwachen, bewerten und berichten, um der Leitung genaue Informationen über die Wirksamkeit der Informationssecurity-Strategie zu liefern.

Domäne 2 – Informationsrisikomanagement und Compliance (33%)

Informationsrisiken auf ein akzeptables Niveau verwalten, um die geschäftlichen und Compliance-Anforderungen der Organisation zu erfüllen.

• 2.1 Ein Prozess zur Identifizierung und Klassifizierung von Informationswerten aufbauen und pflegen, um sicherzustellen, dass die ergriffenen Schutzmaßnahmen proportional zu ihrem Geschäftswert sind.
• 2.2 Rechtliche, regulatorische, organisatorische und andere anwendbare Anforderungen identifizieren, um das Risiko der Nicht-Compliance auf ein akzeptables Niveau zu verwalten.
• 2.3 Sicherstellen, dass Risikobewertungen, Schwachstellenbewertungen und Bedrohungsanalysen regelmäßig und konsistent durchgeführt werden, um Risiken für die Informationen der Organisation zu identifizieren.
• 2.4 Angemessene Risikobehandlungsoptionen festlegen und umsetzen, um Risiken auf ein akzeptables Niveau zu verwalten.
• 2.5 Informationssecurity-Kontrollen bewerten, um festzustellen, ob sie angemessen sind und Risiken wirksam auf ein akzeptables Niveau mindern.
• 2.6 Das Informationsrisikomanagement in Geschäfts- und IT-Prozesse (z. B. Entwicklung, Beschaffung, Projektmanagement, Fusionen und Übernahmen) integrieren, um einen konsistenten und umfassenden Informationsrisikomanagementprozess in der gesamten Organisation zu fördern.
• 2.7 Bestehende Risiken überwachen, um sicherzustellen, dass Änderungen identifiziert und angemessen verwaltet werden.
• 2.8 Nicht-Compliance und andere Änderungen im Informationsrisiko der zuständigen Leitung berichten, um den Entscheidungsprozess im Risikomanagement zu unterstützen.

Domäne 3 – Entwicklung und Verwaltung des Informationssecurity-Programms (25%)

Das Informationssecurity-Programm im Einklang mit der Informationssecurity-Strategie aufbauen und verwalten.

• 3.1 Das Informationssecurity-Programm im Einklang mit der Informationssecurity-Strategie aufbauen und pflegen.
• 3.2 Die Übereinstimmung zwischen dem Informationssecurity-Programm und anderen Geschäftsfunktionen (z. B. Personalwesen [HR], Buchhaltung, Beschaffung und IT) sicherstellen, um die Integration in Geschäftsprozesse zu unterstützen.
• 3.3 Interne und externe Ressourcen identifizieren, beschaffen, verwalten und Anforderungen definieren, um das Informationssecurity-Programm umzusetzen.
• 3.4 Informationssecurity-Architekturen (Personen, Prozesse, Technologie) aufbauen und pflegen, um das Informationssecurity-Programm umzusetzen.
• 3.5 Organisatorische Informationssecurity-Standards, Verfahren, Richtlinien und andere Dokumentation aufbauen, kommunizieren und pflegen, um die Einhaltung der Informationssecurity-Richtlinien zu unterstützen und zu leiten.
• 3.6 Ein Programm für Informationssecurity-Sensibilisierung und Schulungen aufbauen und pflegen, um ein sicheres Umfeld und eine effektive Security-Kultur zu fördern.
• 3.7 Anforderungen an die Informationssecurity in organisatorische Prozesse (z. B. Änderungskontrolle, Fusionen und Übernahmen, Entwicklung, Business Continuity, Disaster Recovery) integrieren, um die Security-Grundlage der Organisation aufrechtzuerhalten.
• 3.8 Anforderungen an die Informationssecurity in Verträge und Aktivitäten von Drittanbietern (z. B. Joint Ventures, Outsourcing-Anbieter, Geschäftspartner, Kunden) integrieren, um die Security-Grundlage der Organisation aufrechtzuerhalten.
• 3.9 Programmmanagement- und operative Metriken aufbauen, überwachen und regelmäßig berichten, um die Wirksamkeit und Effizienz des Informationssecurity-Programms zu bewerten.

Domäne 4 – Informationssecurity-Vorfallmanagement (18%)

Die Fähigkeit planen, aufbauen und verwalten, um Informationssecurity-Vorfälle zu erkennen, zu untersuchen, darauf zu reagieren und sich davon zu erholen, um die geschäftliche Auswirkung zu minimieren.

• 4.1 Ein Prozess zur Klassifizierung und Kategorisierung von Informationssecurity-Vorfällen aufbauen und pflegen, um die genaue Identifizierung und Reaktion auf Vorfälle zu ermöglichen.
• 4.2 Den Vorfallbehandlungsplan aufbauen, pflegen und mit dem Business-Continuity-Plan und dem Disaster-Recovery-Plan abgleichen, um eine wirksame und zeitnahe Reaktion auf Informationssecurity-Vorfälle sicherzustellen.
• 4.3 Prozesse entwickeln und umsetzen, um die zeitnahe Identifizierung von Informationssecurity-Vorfällen sicherzustellen.
• 4.4 Prozesse zur Untersuchung und Dokumentation von Informationssecurity-Vorfällen aufbauen und pflegen, um angemessen reagieren und deren Ursachen feststellen zu können, während rechtliche, regulatorische und organisatorische Anforderungen eingehalten werden.
• 4.5 Vorfallbearbeitungsprozesse aufbauen und pflegen, um sicherzustellen, dass die appropriate Interessengruppen in das Vorfallreaktionsmanagement einbezogen werden.
• 4.6 Teams organisieren, schulen und ausstatten, um rechtzeitig und wirksam auf Informationssecurity-Vorfälle zu reagieren.
• 4.7 Die Vorfallmanagementpläne regelmäßig testen und überprüfen, um eine wirksame Reaktion auf Informationssecurity-Vorfälle sicherzustellen und die Reaktionsfähigkeiten zu verbessern.
• 4.8 Kommunikationspläne und -prozesse aufbauen und pflegen, um die Kommunikation mit internen und externen Stellen zu verwalten.
• 4.9 Nachbearbeitungsreviews durchführen, um die Ursache von Informationssecurity-Vorfällen zu ermitteln, Korrekturmaßnahmen zu entwickeln, Risiken neu zu bewerten, die Wirksamkeit der Reaktion zu bewerten und angemessene Abhilfemaßnahmen zu ergreifen.
• 4.10 Die Integration zwischen dem Vorfallbehandlungsplan, dem Disaster-Recovery-Plan und dem Business-Continuity-Plan aufbauen und pflegen.