CISM - Certified Information Security Manager Képzés

Domain 1 – Informatikai Biztonsági Governance (24%)

Informatikai biztonsági governance-keretrendszer és támogató folyamatok létrehozása és fenntartása annak biztosítása érdekében, hogy az informatikai biztonsági stratégia összhangban legyen a szervezeti célokkal és célkitűzésekkel, az informatikai kockázatot megfelelően kezeljék, és a program erőforrásait felelősségtudatosan menedzeljék.

• 1.1 Informatikai biztonsági stratégia kidolgozása és fenntartása összhangban a szervezeti célokkal és célkitűzésekkel, az informatikai biztonsági program létrehozásának és folyamatos menedzsmentének irányítására.
• 1.2 Informatikai biztonsági governance-keretrendszer létrehozása és fenntartása azokat a tevékenységeket támogatóan, amelyek az informatikai biztonsági stratégiát szolgálják.
• 1.3 Az informatikai biztonsági governance integrálása a vállalati governance-ba annak biztosítása érdekében, hogy az informatikai biztonsági program támogassa a szervezeti célokat és célkitűzéseket.
• 1.4 Informatikai biztonsági szabályzatok kidolgozása és fenntartása a vezetőség irányelveinek közvetítésére és a szabványok, eljárások és útmutatók fejlesztésének irányítására.
• 1.5 Üzleti esetek kidolgozása az informatikai biztonsági befektetések támogatására.
• 1.6 Belső és külső tényezők azonosítása a szervezetre (például technológia, üzleti környezet, kockázattűrés, földrajzi elhelyezkedés, jogi és szabályozási követelmények), hogy ezek a szempontok az informatikai biztonsági stratégia által kezeltek legyenek.
• 1.7 Vezetői elköteleződés és más érdekelt felek támogatása megszerzése az informatikai biztonsági stratégia sikeres megvalósításának valószínűségének maximalizálására.
• 1.8 Az informatikai biztonság szerepeinek és felelősségeinek megfogalmazása és közlési a szervezet egészében, egyértelmű felelősségi kötelezettségek és hatáskörök kialakítása érdekében.
• 1.9 Mutatók (például Kulcs-Célmutatók [KGI], Kulcs-Értékmutatók [KPI], Kulcs-Kockázati Mutatók [KRI]) bevezetése, monitoringja, értékelése és jelentése a vezetőség számára, az informatikai biztonsági stratégia hatékonyságának pontos információjának biztosítása érdekében.

Domain 2 – Informatikai Kockázatkezelés és Compliance (33%)

Informatikai kockázatok kezelhetőségre csökkentése a szervezet üzleti és compliance követelményeinek teljesítése érdekében.

• 2.1 Informatikai erőforrás azonosítására és besorolására szolgáló folyamat létrehozása és fenntartása annak biztosítása érdekében, hogy az erőforrások védelmére tett intézkedések arányosak legyenek az üzleti értékükkel.
• 2.2 Jogszabályi, szabályozási, szervezeti és más alkalmazandó követelmények azonosítása a nemteljesítés kockázatának elfogadható szintre csökkentéséhez.
• 2.3 Biztosítani kell, hogy a kockázati elemzéseket, sebezhetőségi elemzéseket és fenyegetés-elemzéseket rendszeresen és következetesen végezzék el, hogy azonosítani lehessen a szervezet informatikai adataira irányuló kockázatokat.
• 2.4 Megfelelő kockázatkezelési opciók meghatározása és implementálása a kockázat elfogadható szintre csökkentéséhez.
• 2.5 Informatikai biztonsági kontrollmechanizmusok értékelése annak meghatározására, hogy megfelelőek-e, és hatékonyan csökkentik-e a kockázatot elfogadható szintre.
• 2.6 Az informatikai kockázatkezelés integrálása az üzleti és IT folyamatokba (például fejlesztés, beszerzés, projektmenedzsment, fúziók és felvásárlások), hogy elősegítse a konzisztens és átfogó informatikai kockázatkezelési folyamatot a szervezet egészében.
• 2.7 Meglévő kockázatok monitoringja annak biztosítása érdekében, hogy a változások azonosíthatók és megfelelően kezelhetők legyenek.
• 2.8 Nemteljesítési és más informatikai kockázati változások jelentése a megfelelő vezetőségnek a kockázatkezelési döntéshozatali folyamat támogatása érdekében.

Domain 3 – Informatikai Biztonsági Programfejlesztés és Menedzsment (25%)

Informatikai biztonsági program létrehozása és menedzsmentje összhangban az informatikai biztonsági stratégiával.

• 3.1 Informatikai biztonsági program létrehozása és fenntartása összhangban az informatikai biztonsági stratégiával.
• 3.2 Konzisztencia biztosítása az informatikai biztonsági program és más üzleti funkciók (például Emberi Erőforrások [HR], könyvelés, beszerzés és IT) között az üzleti folyamatokba való integráció támogatása érdekében.
• 3.3 Belső és külső erőforrások azonosítása, beszerzése, kezelése, valamint az informatikai biztonsági program lebonyolításához szükséges követelmények meghatározása.
• 3.4 Informatikai biztonsági architektúrák (emberek, folyamatok, technológia) létrehozása és fenntartása az informatikai biztonsági program lebonyolításához.
• 3.5 Szervezeti informatikai biztonsági szabványok, eljárások, útmutatók és más dokumentációk kidolgozása, közlése és fenntartása az informatikai biztonsági szabályzatok betartását támogató és irányító jelleggel.
• 3.6 Informatikai biztonsági tudatosítási és képzési program létrehozása és fenntartása egy biztonságos környezet és hatékony biztonsági kultúra elősegítésére.
• 3.7 Informatikai biztonsági követelmények integrálása a szervezeti folyamatokba (például változáskezelés, fúziók és felvásárlások, fejlesztés, üzletfolytonosság, katasztrófaellátás) a szervezet biztonsági alapvonalának fenntartása érdekében.
• 3.8 Informatikai biztonsági követelmények integrálása a harmadik felek (például közös vállalkozások, kiszervezett szolgáltatók, üzleti partnerek, ügyfelek) szerződéseibe és tevékenységeibe a szervezet biztonsági alapvonalának fenntartása érdekében.
• 3.9 Programmenedzsmenti és operatív mutatók bevezetése, monitoringja és rendszeres jelentése az informatikai biztonsági program hatékonyságának és költséghatékonyságának értékelése érdekében.

Domain 4 – Informatikai Biztonsági Incidenskezelés (18%)

Az informatikai biztonsági incidensek észlelésére, kivizsgálására, kezelésére és a helyreállításhoz szükséges képességteremtés tervezése, létrehozása és menedzsmentje az üzleti hatások minimalizálása érdekében.

• 4.1 Informatikai biztonsági incidensek osztályozására és kategóriázására szolgáló folyamat létrehozása és fenntartása az incidensek pontos azonosításának és kezelésének biztosítása érdekében.
• 4.2 Incidenskezelési terv kidolgozása, fenntartása és összhangba hozása az üzletfolytonossági tervvel és a katasztrófaellátási tervvel, hogy hatékony és időben történő választ adjanak az informatikai biztonsági incidensekre.
• 4.3 Folyamatok kidolgozása és implementálása az informatikai biztonsági incidensek időben történő azonosításának biztosítása érdekében.
• 4.4 Folyamatok létrehozása és fenntartása az informatikai biztonsági incidensek kivizsgálására és dokumentálására, hogy megfelelően válaszolhassanak és meghatározhatóak legyenek az okok, miközben tiszteletben tartják a jogi, szabályozási és szervezeti követelményeket.
• 4.5 Incidenskezelési folyamatok létrehozása és fenntartása annak biztosítása érdekében, hogy a megfelelő érdekelt felek részt vegyenek az incidenskezelési menedzsmentben.
• 4.6 Csapatok szervezése, képzése és felszerelése, hogy hatékonyan és időben reagáljanak az informatikai biztonsági incidensekre.
• 4.7 Incidenskezelési tervek rendszeres tesztelése és átvizsgálása az informatikai biztonsági incidensekre adott hatékony válasz biztosítása érdekében, valamint a válaszadási képességek javítása érdekében.
• 4.8 Kommunikációs tervek és folyamatok létrehozása és fenntartása a belső és külső entitásokkal folytatott kommunikáció kezelésére.
• 4.9 Utólagos incidens-vizsgálatok elvégzése az informatikai biztonsági incidensek gyökéroidentifikációjának meghatározásához, korrekciós intézkedések kidolgozásához, kockázat újraelértékeléséhez, a válaszadás hatékonyságának értékeléséhez és a megfelelő javító intézkedések meghozatalához.
• 4.10 Integráció biztosítása az incidenskezelési terv, a katasztrófaellátási terv és az üzletfolytonossági terv között.