CISM – Certified Information Security Manager Schulung

Domäne 1 – Information Security Governance (24%)

Errichten und pflegen Sie einen Governance-Rahmen für Informationssicherheit und unterstützende Prozesse, um sicherzustellen, dass die Strategie für Informationssicherheit mit den organisatorischen Zielen und Objectives übereinstimmt, das Informationsrisiko angemessen verwaltet und die Ressourcen des Programms verantwortungsvoll verwaltet werden.

• 1.1 Errichten und pflegen Sie eine Strategie für Informationssicherheit, die mit den organisatorischen Zielen und Objectives übereinstimmt, um die Etablierung und das fortlaufende Management des Programms für Informationssicherheit zu leiten.
• 1.2 Errichten und pflegen Sie einen Governance-Rahmen für Informationssicherheit, um Aktivitäten zu leiten, die die Strategie für Informationssicherheit unterstützen.
• 1.3 Integrieren Sie die Governance für Informationssicherheit in die Unternehmensführung, um sicherzustellen, dass die organisatorischen Ziele und Objectives durch das Programm für Informationssicherheit unterstützt werden.
• 1.4 Errichten und pflegen Sie Richtlinien für Informationssicherheit, um die Weisungen der Führungsebene zu kommunizieren und die Entwicklung von Standards, Verfahren und Leitlinien zu leiten.
• 1.5 Erstellen Sie Geschäftsfälle zur Unterstützung von Investitionen in Informationssicherheit.
• 1.6 Identifizieren Sie interne und externe Einflüsse auf die Organisation (z. B. Technologie, Geschäftsumgebung, Risikotoleranz, geografische Lage, gesetzliche und regulatorische Anforderungen), um sicherzustellen, dass diese Faktoren durch die Strategie für Informationssicherheit berücksichtigt werden.
• 1.7 Holen Sie sich das Engagement der Senior Management und die Unterstützung anderer Stakeholder, um die Wahrscheinlichkeit einer erfolgreichen Implementierung der Strategie für Informationssicherheit zu maximieren.
• 1.8 Definieren und kommunizieren Sie die Rollen und Verantwortlichkeiten für Informationssicherheit in der gesamten Organisation, um klare Verantwortlichkeiten und Befugnisse zu etablieren.
• 1.9 Errichten, überwachen, bewerten und berichten Sie Metriken (z. B. key goal indicators [KGIs], key performance indicators [KPIs], key risk indicators [KRIs]), um der Führungsebene genaue Informationen über die Wirksamkeit der Strategie für Informationssicherheit zu geben.

Domäne 2 – Informationsrisikomanagement und Compliance (33%)

Verwalten Sie das Informationsrisiko auf einem akzeptablen Niveau, um die geschäftlichen und compliance-bezogenen Anforderungen der Organisation zu erfüllen.

• 2.1 Errichten und pflegen Sie einen Prozess für die Identifizierung und Klassifizierung von Informationsvermögen, um sicherzustellen, dass die zum Schutz des Vermögens getroffenen Maßnahmen proportional zu ihrem geschäftlichen Wert sind.
• 2.2 Identifizieren Sie gesetzliche, regulatorische, organisatorische und andere einschlägige Anforderungen, um das Risiko der Nichteinhaltung auf akzeptable Niveaus zu verwalten.
• 2.3 Stellen Sie sicher, dass Risiko-Bewertungen, Schwachstellen-Analysen und Bedrohungsanalysen regelmäßig und konsistent durchgeführt werden, um Risiken für die Informationen der Organisation zu identifizieren.
• 2.4 Bestimmen und implementieren Sie geeignete Optionen zur Risikobehandlung, um das Risiko auf akzeptable Niveaus zu verwalten.
• 2.5 Bewerten Sie die Kontrollen der Informationssicherheit, um zu bestimmen, ob sie geeignet sind und das Risiko effektiv auf ein akzeptables Niveau abmildern.
• 2.6 Integrieren Sie das Informationsrisikomanagement in Geschäfts- und IT-Prozesse (z. B. Entwicklung, Beschaffung, Projektmanagement, Fusionen und Übernahmen), um einen konsistenten und umfassenden Prozess des Informationsrisikomanagements in der gesamten Organisation zu fördern.
• 2.7 Überwachen Sie das bestehende Risiko, um sicherzustellen, dass Änderungen identifiziert und angemessen verwaltet werden.
• 2.8 Berichten Sie über Nichteinhaltungen und andere Änderungen im Informationsrisiko an die entsprechende Führungsebene, um den Entscheidungsprozess im Risikomanagement zu unterstützen.

Domäne 3 – Entwicklung und Verwaltung des Programms für Informationssicherheit (25%)

Errichten und verwalten Sie das Programm für Informationssicherheit im Einklang mit der Strategie für Informationssicherheit.

• 3.1 Errichten und pflegen Sie das Programm für Informationssicherheit im Einklang mit der Strategie für Informationssicherheit.
• 3.2 Stellen Sie die Abgrenzung zwischen dem Programm für Informationssicherheit und anderen Geschäftsbereichen (z. B. Human Resources [HR], Buchhaltung, Beschaffung und IT) sicher, um die Integration in Geschäftsprozesse zu unterstützen.
• 3.3 Identifizieren, beschaffen, verwalten und definieren Sie die Anforderungen an interne und externe Ressourcen zur Ausführung des Programms für Informationssicherheit.
• 3.4 Errichten und pflegen Sie Architekturen für Informationssicherheit (Personen, Prozesse, Technologie), um das Programm für Informationssicherheit auszuführen.
• 3.5 Errichten, kommunizieren und pflegen Sie organisationale Standards, Verfahren, Leitlinien und andere Dokumentation für Informationssicherheit, um die Einhaltung der Richtlinien für Informationssicherheit zu unterstützen und zu leiten.
• 3.6 Errichten und pflegen Sie ein Programm für Awareness- und Schulungsmaßnahmen im Bereich Informationssicherheit, um eine sichere Umgebung und eine wirksame Sicherheitskultur zu fördern.
• 3.7 Integrieren Sie die Anforderungen an die Informationssicherheit in organisationale Prozesse (z. B. Änderungssteuerung, Fusionen und Übernahmen, Entwicklung, Business Continuity, Disaster Recovery), um die Sicherheitsbasis der Organisation aufrechtzuerhalten.
• 3.8 Integrieren Sie die Anforderungen an die Informationssicherheit in Verträge und Aktivitäten von Drittparteien (z. B. Joint Ventures, Outsourcing-Anbieter, Geschäftspartner, Kunden), um die Sicherheitsbasis der Organisation aufrechtzuerhalten.
• 3.9 Errichten, überwachen und berichten Sie regelmäßig über Metriken der Programmverwaltung und -operation, um die Wirksamkeit und Effizienz des Programms für Informationssicherheit zu bewerten.

Domäne 4 – Incident Management für Informationssicherheit (18%)

Planen, errichten und verwalten Sie die Fähigkeit, Informationssicherheitsvorfälle zu erkennen, zu untersuchen, darauf zu reagieren und sich davon zu erholen, um den geschäftlichen Einfluss zu minimieren.

• 4.1 Errichten und pflegen Sie einen Prozess zur Klassifizierung und Kategorisierung von Informationssicherheitsvorfällen, um eine genaue Identifizierung und Reaktion auf Vorfälle zu ermöglichen.
• 4.2 Errichten, pflegen und grenzen Sie den Incident Response Plan ab und stellen Sie ihn mit dem Business Continuity Plan und dem Disaster Recovery Plan ab, um eine wirksame und zeitnahe Reaktion auf Informationssicherheitsvorfälle sicherzustellen.
• 4.3 Entwickeln und implementieren Sie Prozesse, um sicherzustellen, dass Informationssicherheitsvorfälle rechtzeitig identifiziert werden.
• 4.4 Errichten und pflegen Sie Prozesse zur Untersuchung und Dokumentation von Informationssicherheitsvorfällen, um angemessen reagieren und deren Ursachen zu bestimmen, während Sie sich an gesetzliche, regulatorische und organisationale Anforderungen halten.
• 4.5 Errichten und pflegen Sie Incident-Verarbeitungsprozesse, um sicherzustellen, dass die entsprechenden Stakeholder in das Incident-Response-Management einbezogen werden.
• 4.6 Organisieren, schulen und rüsten Sie Teams aus, um zeitnah und effektiv auf Informationssicherheitsvorfälle zu reagieren.
• 4.7 Testen und überprüfen Sie die Incident-Management-Pläne regelmäßig, um eine wirksame Reaktion auf Informationssicherheitsvorfälle sicherzustellen und die Reaktionsfähigkeiten zu verbessern.
• 4.8 Errichten und pflegen Sie Kommunikationspläne und -prozesse, um die Kommunikation mit internen und externen Entitäten zu verwalten.
• 4.9 Führen Sie Post-Incident-Reviews durch, um die Ursache von Informationssicherheitsvorfällen zu ermitteln, Korrekturmaßnahmen zu entwickeln, Risiken neu zu bewerten, die Wirksamkeit der Reaktion zu bewerten und geeignete Abhilfemaßnahmen zu ergreifen.
• 4.10 Errichten und pflegen Sie die Integration zwischen dem Incident Response Plan, dem Disaster Recovery Plan und dem Business Continuity Plan.