CISM - Certified Information Security Manager Schulung

Domäne 1 – Information Security Governance (24 %)

Aufbau und Aufrechterhaltung eines Frameworks für Information Security Governance und unterstützender Prozesse, um sicherzustellen, dass die Information Security-Strategie mit den organisatorischen Zielen und objekten abgestimmt ist, das Informationsrisiko angemessen verwaltet wird und die Programmressourcen verantwortungsvoll verwaltet werden.

• 1.1 Aufbau und Aufrechterhaltung einer Information Security-Strategie im Einklang mit den organisatorischen Zielen und objekten, um den Aufbau und die fortlaufende Verwaltung des Information Security-Programms zu leiten.
• 1.2 Aufbau und Aufrechterhaltung eines Frameworks für Information Security Governance, um Aktivitäten zu leiten, die die Information Security-Strategie unterstützen.
• 1.3 Integration der Information Security Governance in die Unternehmensführung, um sicherzustellen, dass die organisatorischen Ziele und objekte vom Information Security-Programm unterstützt werden.
• 1.4 Aufbau und Aufrechterhaltung von Information Security-Richtlinien, um die Anweisungen des Managements zu kommunizieren und die Entwicklung von Standards, Verfahren und Leitfäden zu leiten.
• 1.5 Entwicklung von Geschäftsmodellen (Business Cases) zur Unterstützung von Investitionen in die Information Security.
• 1.6 Identifizierung interner und externer Einflussfaktoren auf die Organisation (z. B. Technologie, Geschäftsumfeld, Risikobereitschaft, geografischer Standort, gesetzliche und regulatorische Anforderungen), um sicherzustellen, dass diese Faktoren von der Information Security-Strategie adressiert werden.
• 1.7 Gewinnung der Zusagen der oberen Führungsebene und der Unterstützung durch andere Interessengruppen, um die Wahrscheinlichkeit einer erfolgreichen Implementierung der Information Security-Strategie zu maximieren.
• 1.8 Definition und Kommunikation der Rollen und Verantwortlichkeiten im Bereich Information Security in der gesamten Organisation, um klare Verantwortlichkeiten und Befugnislinien zu establishieren.
• 1.9 Etablierung, Überwachung, Bewertung und Berichterstattung von Kennzahlen (z. B. Key Goal Indicators [KGIs], Key Performance Indicators [KPIs], Key Risk Indicators [KRIs]), um dem Management genaue Informationen über die Wirksamkeit der Information Security-Strategie zu liefern.

Domäne 2 – Information Risikomanagement und Compliance (33 %)

Verwaltung des Informationsrisikos auf ein akzeptables Niveau, um die geschäftlichen und Compliance-Anforderungen der Organisation zu erfüllen.

• 2.1 Etablierung und Aufrechterhaltung eines Prozesses zur Identifizierung und Klassifizierung von Informationsvermögen, um sicherzustellen, dass die Maßnahmen zum Schutz der Vermögenswerte proportional zu ihrem geschäftlichen Wert sind.
• 2.2 Identifizierung gesetzlicher, regulatorischer, organisatorischer und anderer anwendbarer Anforderungen, um das Risiko der Nicht-Compliance auf akzeptable Niveaus zu verwalten.
• 2.3 Sicherstellung, dass Risikobewertungen, Schwachstellenanalysen und Bedrohungsanalysen regelmäßig und konsistent durchgeführt werden, um Risiken für das Information der Organisation zu identifizieren.
• 2.4 Bestimmung und Implementierung geeigneter Risikobehandlungsoptionen, um Risiken auf akzeptable Niveaus zu verwalten.
• 2.5 Bewertung von Information Security-Kontrollen, um festzustellen, ob sie geeignet sind und das Risiko wirksam auf ein akzeptables Niveau mindern.
• 2.6 Integration des Informationsrisikomanagements in Geschäfts- und IT-Prozesse (z. B. Entwicklung, Beschaffung, Projektmanagement, Fusionen und Übernahmen), um einen konsistenten und umfassenden Informationsrisikomanagementprozess über die gesamte Organisation zu fördern.
• 2.7 Überwachung bestehender Risiken, um sicherzustellen, dass Änderungen identifiziert und angemessen verwaltet werden.
• 2.8 Meldung von Compliance-Mängeln und anderen Änderungen im Informationsrisiko an das entsprechende Management, um den Entscheidungsprozess im Risikomanagement zu unterstützen.

Domäne 3 – Entwicklung und Verwaltung des Information Security-Programms (25 %)

Aufbau und Verwaltung des Information Security-Programms im Einklang mit der Information Security-Strategie.

• 3.1 Aufbau und Aufrechterhaltung des Information Security-Programms im Einklang mit der Information Security-Strategie.
• 3.2 Sicherstellung der Abstimmung zwischen dem Information Security-Programm und anderen Geschäftsfunktionen (z. B. Human Resources [HR], Buchhaltung, Beschaffung und IT), um die Integration in Geschäftsprozesse zu unterstützen.
• 3.3 Identifizierung, Erwerb, Verwaltung und Definition der Anforderungen an interne und externe Ressourcen zur Ausführung des Information Security-Programms.
• 3.4 Aufbau und Aufrechterhaltung von Information Security-Architekturen (Menschen, Prozesse, Technologie) zur Ausführung des Information Security-Programms.
• 3.5 Etablierung, Kommunikation und Aufrechterhaltung organisatorischer Information Security-Standards, Verfahren, Leitfäden und anderer Dokumentation, um die Einhaltung der Information Security-Richtlinien zu unterstützen und zu leiten.
• 3.6 Aufbau und Aufrechterhaltung eines Programms für Information Security-Awareness und Schulungen, um eine sichere Umgebung und eine effektive Security-Kultur zu fördern.
• 3.7 Integration von Information Security-Anforderungen in organisatorische Prozesse (z. B. Änderungskontrolle, Fusionen und Übernahmen, Entwicklung, Business Continuity, Disaster Recovery), um die Security-Basislinie der Organisation aufrechtzuerhalten.
• 3.8 Integration von Information Security-Anforderungen in Verträge und Aktivitäten von Dritten (z. B. Joint Ventures, Outsourcing-Anbieter, Geschäftspartner, Kunden), um die Security-Basislinie der Organisation aufrechtzuerhalten.
• 3.9 Etablierung, Überwachung und regelmäßige Berichterstattung von Programmverwaltungs- und Operative Kennzahlen, um die Wirksamkeit und Effizienz des Information Security-Programms zu bewerten.

Domäne 4 – Information Security Incident Management (18 %)

Planung, Aufbau und Verwaltung der Fähigkeiten zur Erkennung, Untersuchung, Reaktion und Wiederherstellung von Information Security-Vorfällen, um geschäftliche Auswirkungen zu minimieren.

• 4.1 Etablierung und Aufrechterhaltung eines Prozesses zur Klassifizierung und Kategorisierung von Information Security-Vorfällen, um eine genaue Identifizierung und Reaktion auf Vorfälle zu ermöglichen.
• 4.2 Etablierung, Aufrechterhaltung und Abstimmung des Incident Response Plans mit dem Business Continuity Plan und dem Disaster Recovery Plan, um eine wirksame und zeitnahe Reaktion auf Information Security-Vorfälle zu gewährleisten.
• 4.3 Entwicklung und Implementierung von Prozessen, um die zeitnahe Identifizierung von Information Security-Vorfällen sicherzustellen.
• 4.4 Etablierung und Aufrechterhaltung von Prozessen zur Untersuchung und Dokumentation von Information Security-Vorfällen, um angemessen reagieren und deren Ursachen festzustellen, wobei gesetzliche, regulatorische und organisatorische Anforderungen eingehalten werden.
• 4.5 Etablierung und Aufrechterhaltung von Incident-Handling-Prozessen, um sicherzustellen, dass die angemessenen Interessengruppen im Incident-Response-Management eingebunden sind.
• 4.6 Organisation, Schulung und Ausrüstung von Teams, um zeitnah und effektiv auf Information Security-Vorfälle zu reagieren.
• 4.7 Regelmäßige Überprüfung und Prüfung der Incident Management-Pläne, um eine wirksame Reaktion auf Information Security-Vorfälle sicherzustellen und die Reaktionsfähigkeiten zu verbessern.
• 4.8 Etablierung und Aufrechterhaltung von Kommunikationsplänen und -prozessen, um die Kommunikation mit internen und externen Stellen zu verwalten.
• 4.9 Durchführung von Post-Incident-Reviews, um die Ursache von Information Security-Vorfällen zu ermitteln, Korrekturmaßnahmen zu entwickeln, Risiken neu zu bewerten, die Wirksamkeit der Reaktion zu bewerten und angemessene Sanierungsmaßnahmen einzuleiten.
• 4.10 Etablierung und Aufrechterhaltung der Integration zwischen dem Incident Response Plan, dem Disaster Recovery Plan und dem Business Continuity Plan.