Corso di formazione CISM - Certified Information Security Manager

Domain 1—Information Security Governance (24%)

Stabilire e mantenere un framework di governance della sicurezza informatica e processi di supporto per garantire che la strategia di sicurezza informatica sia allineata con gli obiettivi e le finalità organizzative, che il rischio informativo sia gestito in modo appropriato e che le risorse del programma siano gestite in modo responsabile.

• 1.1 Stabilire e mantenere una strategia di sicurezza informatica allineata con gli obiettivi e le finalità organizzative per guidare la creazione e la gestione continua del programma di sicurezza informatica.
• 1.2 Stabilire e mantenere un framework di governance della sicurezza informatica per guidare le attività che supportano la strategia di sicurezza informatica.
• 1.3 Integrare la governance della sicurezza informatica nella corporate governance per garantire che gli obiettivi e le finalità organizzative siano supportati dal programma di sicurezza informatica.
• 1.4 Stabilire e mantenere politiche di sicurezza informatica per comunicare le direttive della direzione e guidare lo sviluppo di standard, procedure e linee guida.
• 1.5 Sviluppare casi d'uso aziendali per supportare gli investimenti nella sicurezza informatica.
• 1.6 Identificare influenze interne ed esterne sull'organizzazione (ad esempio, tecnologia, ambiente aziendale, tolleranza al rischio, posizione geografica, requisiti legali e normativi) per garantire che questi fattori siano affrontati dalla strategia di sicurezza informatica.
• 1.7 Ottenere l'impegno dalla direzione senior e il supporto da altri stakeholder per massimizzare la probabilità di un'implementazione riuscita della strategia di sicurezza informatica.
• 1.8 Definire e comunicare i ruoli e le responsabilità della sicurezza informatica in tutta l'organizzazione per stabilire chiari livelli di responsabilità e linee di autorità.
• 1.9 Stabilire, monitorare, valutare e segnalare metriche (ad esempio, indicatori chiave degli obiettivi [KGI], indicatori chiave delle prestazioni [KPI], indicatori chiave del rischio [KRI]) per fornire alla direzione informazioni accurate sull'efficacia della strategia di sicurezza informatica.

Domain 2—Information Risk Management and Compliance (33%)

Gestire il rischio informativo a un livello accettabile per soddisfare i requisiti aziendali e di conformità dell'organizzazione.

• 2.1 Stabilire e mantenere un processo per l'identificazione e la classificazione delle risorse informative per garantire che le misure adottate per proteggere le risorse siano proporzionali al loro valore aziendale.
• 2.2 Identificare requisiti legali, normativi, organizzativi e altri applicabili per gestire il rischio di non conformità a livelli accettabili.
• 2.3 Garantire che le valutazioni del rischio, le valutazioni delle vulnerabilità e le analisi delle minacce siano condotte periodicamente e in modo coerente per identificare i rischi per le informazioni dell'organizzazione.
• 2.4 Determinare e implementare opzioni adeguate di trattamento del rischio per gestire il rischio a livelli accettabili.
• 2.5 Valutare i controlli di sicurezza informatica per determinare se siano appropriati ed efficaci nel mitigare il rischio a un livello accettabile.
• 2.6 Integrare la gestione del rischio informativo nei processi aziendali e IT (ad esempio, sviluppo, approvvigionamento, gestione progetti, fusioni e acquisizioni) per promuovere un processo di gestione del rischio informativo coerente e completo in tutta l'organizzazione.
• 2.7 Monitorare i rischi esistenti per garantire che le modifiche siano identificate e gestite in modo appropriato.
• 2.8 Segnalare la non conformità e altre modifiche al rischio informativo alla direzione appropriata per assistere nel processo decisionale sulla gestione del rischio.

Domain 3—Information Security Program Development and Management (25%)

Stabilire e gestire il programma di sicurezza informatica in allineamento con la strategia di sicurezza informatica.

• 3.1 Stabilire e mantenere il programma di sicurezza informatica in allineamento con la strategia di sicurezza informatica.
• 3.2 Garantire l'allineamento tra il programma di sicurezza informatica e altre funzioni aziendali (ad esempio, risorse umane [HR], contabilità, approvvigionamento e IT) per supportare l'integrazione con i processi aziendali.
• 3.3 Identificare, acquisire, gestire e definire i requisiti per le risorse interne ed esterne per eseguire il programma di sicurezza informatica.
• 3.4 Stabilire e mantenere architetture di sicurezza informatica (persone, processi, tecnologia) per eseguire il programma di sicurezza informatica.
• 3.5 Stabilire, comunicare e mantenere standard, procedure, linee guida e altra documentazione organizzativa sulla sicurezza informatica per supportare e guidare la conformità alle politiche di sicurezza informatica.
• 3.6 Stabilire e mantenere un programma di consapevolezza e formazione sulla sicurezza informatica per promuovere un ambiente sicuro e una cultura della sicurezza efficace.
• 3.7 Integrare i requisiti di sicurezza informatica nei processi organizzativi (ad esempio, controllo dei cambiamenti, fusioni e acquisizioni, sviluppo, continuità aziendale, disaster recovery) per mantenere la baseline di sicurezza dell'organizzazione.
• 3.8 Integrare i requisiti di sicurezza informatica nei contratti e nelle attività di terze parti (ad esempio, joint venture, fornitori esternalizzati, partner commerciali, clienti) per mantenere la baseline di sicurezza dell'organizzazione.
• 3.9 Stabilire, monitorare e segnalare periodicamente metriche di gestione del programma e operative per valutare l'efficacia e l'efficienza del programma di sicurezza informatica.

Domain 4—Information Security Incident Management (18%)

Pianificare, stabilire e gestire la capacità di rilevare, indagare, rispondere a e recuperare da incidenti di sicurezza informatica per minimizzare l'impatto aziendale.

• 4.1 Stabilire e mantenere un processo di classificazione e categorizzazione degli incidenti di sicurezza informatica per consentire l'identificazione accurata e la risposta agli incidenti.
• 4.2 Stabilire, mantenere e allineare il piano di risposta agli incidenti con il piano di continuità aziendale e il piano di disaster recovery per garantire una risposta efficace e tempestiva agli incidenti di sicurezza informatica.
• 4.3 Sviluppare e implementare processi per garantire l'identificazione tempestiva degli incidenti di sicurezza informatica.
• 4.4 Stabilire e mantenere processi per indagare e documentare gli incidenti di sicurezza informatica per poter rispondere adeguatamente e determinarne le cause, rispettando i requisiti legali, normativi e organizzativi.
• 4.5 Stabilire e mantenere processi di gestione degli incidenti per garantire che gli stakeholder appropriati siano coinvolti nella gestione della risposta agli incidenti.
• 4.6 Organizzare, addestrare e attrezzare i team per rispondere in modo efficace e tempestivo agli incidenti di sicurezza informatica.
• 4.7 Testare e revisionare periodicamente i piani di gestione degli incidenti per garantire una risposta efficace agli incidenti di sicurezza informatica e migliorare le capacità di risposta.
• 4.8 Stabilire e mantenere piani e processi di comunicazione per gestire la comunicazione con entità interne ed esterne.
• 4.9 Condurre revisioni post-incidente per determinare la causa radice degli incidenti di sicurezza informatica, sviluppare azioni correttive, rivalutare il rischio, valutare l'efficacia della risposta e adottare azioni correttive appropriate.
• 4.10 Stabilire e mantenere l'integrazione tra il piano di risposta agli incidenti, il piano di disaster recovery e il piano di continuità aziendale.