Certificato
Struttura del corso
Dominio 1 – Governance della Sicurezza Informatica (24%)
Creare e mantenere un quadro di governance per la sicurezza informatica unitamente ai processi correlati, affinché la strategia adottata sia in linea con gli obiettivi aziendali; i rischi vengano gestiti correttamente e le risorse allocate responsabilmente.
- 1.1 Definire e mantenere una strategia di sicurezza informatica coerente con gli scopi organizzativi, in modo da guidare l’avvio e la gestione continuativa del programma dedicato.
- 1.2 Costruire e custodire un quadro di governance che orienti tutte le azioni atte a supportare tale strategia.
- 1.3 Integrare tali principi nella governance d’impresa, affinché i traguardi aziendali siano raggiunti anche grazie alle iniziative di sicurezza.
- 1.4 Stabilire e mantenere politiche informatiche in modo da diffondere le indicazioni della direzione generale ed orientare la definizione di standard, procedure e linee guida.
- 1.5 Elaborare studi di fattibilità che giustifichino gli investimenti in sicurezza informatica.
- 1.6 Individuare tutte le variabili esterne ed interne influenti (ad esempio tecnologia, contesto economico, tolleranza al rischio, localizzazione geografica, normative vigenti) affinché siano opportunamente considerate nella strategia.
- 1.7 Ottenere l’impegno da parte dei dirigenti superiori e il supporto degli altri stakeholder per garantire il successo della strategia formulata.
- 1.8 Definire in modo chiaro i ruoli e le responsabilità di tutti coloro che si occupano di sicurezza, definendo così gerarchie ed aree di competenza.
- 1.9 Stabilire, monitorare ed analizzare metriche (ad esempio indicatori chiave di obiettivo [KGI], indicatori di performance [KPI] e di rischio [KRI]) in modo da fornire alla direzione informazioni accurate sull’efficacia della strategia stessa.
Dominio 2 – Gestione dei Rischi Informatici e Compliance (33%)
Gestire i rischi a livelli accettabili per soddisfare esigenze operative ed obblighi normativi.
- 2.1 Implementare una procedura di identificazione e classificazione dei beni informatici affinché le misure protettive siano commisurate al loro valore aziendale.
- 2.2 Individuare tutti i requisiti normativi, legali ed organizzativi utili per contenere eventuali non conformità entro limiti tollerabili.
- 2.3 Svolgere regolarmente valutazioni di vulnerabilità, analisi delle minacce e analisi del rischio al fine di individuare potenziali fattori critici per i dati aziendali.
- 2.4 Individuare ed attuare strategie idonee per ridurre i rischi entro parametri accettabili.
- 2.5 Verificare l’adeguatezza e la funzionalità dei controlli esistenti nel mitigare correttamente i rischi rilevati.
- 2.6 Integrare la gestione del rischio informatico nei processi d’impresa e ICT (ad esempio sviluppo software, acquisti, gestione progetti, fusioni e acquisizioni) affinché il tutto sia coerente e completo.
- 2.7 Monitorare continuamente i rischi in modo da rilevarne rapidamente eventuali variazioni.
- 2.8 Segnalare a chi di dovere eventuali mancanze o variazioni del profilo di rischio per agevolare decisioni strategiche.
Dominio 3 – Sviluppo e Gestione del Programma di Sicurezza (25%)
Creare e gestire un programma strutturato in linea con la strategia stabilita.
- 3.1 Pianificare ed attivare il programma informatico secondo le indicazioni della strategia globale.
- 3.2 Garantire l’armonia tra i percorsi di sicurezza e quelli delle altre funzioni (ad esempio Risorse Umane, contabilità, approvvigionamenti e informatica) così da agevolare la loro integrazione operativa.
- 3.3 Riconoscere, acquisire, gestire e definire necessità inerenti alle risorse interne ed esterne per realizzare il programma stabilito.
- 3.4 Progettare e mantenere le architetture della sicurezza (aspetti umani, procedurali e tecnologici) affinché si ottengano i risultati prefissati.
- 3.5 Definire, comunicare ed aggiornare norme, procedure, linee guida e ogni altro documento utile a far rispettare le politiche informatiche.
- 3.6 Avviare attività di sensibilizzazione e formazione costante sulla sicurezza per generare un clima lavorativo più consapevole ed affidabile.
- 3.7 Integrare i requisiti specifici nei processi interni (ad esempio gestione dei cambiamenti, fusioni, progettazione di nuovi sistemi, continuità operativa o recupero da disastri) al fine di mantenere elevati standard di protezione.
- 3.8 Assicurare che i requisiti informatici siano inclusi nei contratti e nelle attività dei partner esterni (joint venture, fornitori terzi, clienti, ecc.) per preservare il livello generale di sicurezza.
- 3.9 Monitorare costantemente indicatori gestionali ed operativi al fine di valutarne efficacia e produttività.
Dominio 4 – Gestione degli Incidenti Informatici (18%)
Pianificare, organizzare e mantenere meccanismi utili a individuare, indagare, rispondere e ripristinare le condizioni normali dopo la verifica di incidenti informatici.
- 4.1 Strutturare un metodo per classificare i vari tipi di incidente al fine di reagire tempestivamente in modo corretto.
- 4.2 Armonizzare pienamente il piano d’intervento con le norme di continuità operativa e recupero da disastri, affinché l’azione di risposta sia rapida ed efficace.
- 4.3 Attivare processi in grado di identificare i problemi non appena si manifestano.
- 4.4 Definire procedure rigorose per analizzare e documentare tali eventi; queste devono rispettare tutti gli obblighi legali, normativi ed organizzativi garantendo una reazione adeguata.
- 4.5 Instaurare meccanismi di gestione che prevedano il coinvolgimento diretto dei responsabili pertinenti nella fase di risposta.
- 4.6 Addestrare ed equipaggiare i team operativi per affrontare tempestivamente ogni evento critico informatico.
- 4.7 Sottoporre periodicamente i piani d’emergenza a test e revisione al fine di migliorarne sempre più le potenzialità operative.
- 4.8 Formulare piani comunicativi precisi per gestire ogni tipo di interscambio con soggetti interni ed esterni.
- 4.9 Organizzare valutazioni post-incidente per identificare cause profonde, stabilire azioni correttive, rivalutare il rischio e infine attivare adeguati provvedimenti rimediativi.
- 4.10 Creare stretta interdipendenza tra piano d’intervento, progetti di recupero da disastri ed iniziative di continuità operativa.
Requisiti
Non esistono requisiti prefissati per partecipare a questo corso. Tuttavia, ISACA richiede un minimo di cinque anni di esperienza professionale nel settore della sicurezza informatica per poter ottenere la certificazione definitiva. È possibile sostenere l’esame CISM anche senza aver ancora raggiunto tale esperienza, ma il conseguimento effettivo della qualifica avverrà soltanto dopo aver soddisfatto i criteri richiesti.
Nondimeno, non vi sono vincoli per chi desidera certificarsi sin dalle fasi iniziali della propria carriera e iniziare subito a applicare pratiche di gestione della sicurezza informatica universalmente riconosciute.
Recensioni (7)
Il modo per ricevere le informazioni dal formatore
Mohamed Romdhani - Shams Power
Corso - CISM - Certified Information Security Manager
Traduzione automatica
Mi è piaciuto il ritmo e il modo di presentare le informazioni. Anche la struttura e le pause erano molto chiare. Per me era perfetto!
Martin - EY GLOBAL SERVICES (POLAND) SP Z O O
Corso - CISM - Certified Information Security Manager
Traduzione automatica
Come interagiva con noi partecipanti al corso di formazione CISM
Aleksandra - EY GLOBAL SERVICES (POLAND) SP Z O O
Corso - CISM - Certified Information Security Manager
Traduzione automatica
Esempi reali e video che supportano la formazione.
Lukasz Matusz - EY GLOBAL SERVICES (POLAND) SP Z O O
Corso - CISM - Certified Information Security Manager
Traduzione automatica
Esaminare le domande e la spiegazione della logica ISACA
Joanna - EY GLOBAL SERVICES (POLAND) SP Z O O
Corso - CISM - Certified Information Security Manager
Traduzione automatica
Il formatore ha una conoscenza davvero eccellente, parla inglese chiaro e spiega tutto nei dettagli, disegna schemi e fornisce documentazione.
Rafal Kawalek - EY GLOBAL SERVICES (POLAND) SP Z O O
Corso - CISM - Certified Information Security Manager
Traduzione automatica
Conoscenza del formatore e del modo in cui ha tenuto il corso. Era molto interattivo e ha mantenuto l'audience coinvolta.
Susmit Nath - EY GLOBAL SERVICES (POLAND) SP Z O O
Corso - CISM - Certified Information Security Manager
Traduzione automatica
