CISM - Người quản lý bảo mật thông tin được chứng nhận Khóa Học Đào Tạo

Lĩnh vực 1 — Quản trị Bảo mật Thông tin (24%)

Xây dựng và duy trì khung quản trị bảo mật thông tin và các quy trình hỗ trợ để đảm bảo rằng chiến lược bảo mật thông tin phù hợp với các mục tiêu và định hướng của tổ chức, rủi ro thông tin được quản lý phù hợp và các nguồn lực của chương trình được quản lý có trách nhiệm.

• 1.1 Xây dựng và duy trì chiến lược bảo mật thông tin phù hợp với các mục tiêu và định hướng của tổ chức để định hướng việc thiết lập và quản lý liên tục chương trình bảo mật thông tin.
• 1.2 Xây dựng và duy trì khung quản trị bảo mật thông tin để định hướng các hoạt động hỗ trợ chiến lược bảo mật thông tin.
• 1.3 Tích hợp quản trị bảo mật thông tin vào quản trị doanh nghiệp để đảm bảo rằng các mục tiêu và định hướng của tổ chức được hỗ trợ bởi chương trình bảo mật thông tin.
• 1.4 Xây dựng và duy trì các chính sách bảo mật thông tin để truyền đạt các chỉ thị của ban quản lý và định hướng việc phát triển các tiêu chuẩn, quy trình và hướng dẫn.
• 1.5 Phát triển các đề xuất kinh doanh để hỗ trợ các khoản đầu tư vào bảo mật thông tin.
• 1.6 Xác định các yếu tố ảnh hưởng bên trong và bên ngoài đối với tổ chức (ví dụ: công nghệ, môi trường kinh doanh, khả năng chấp nhận rủi ro, vị trí địa lý, yêu cầu pháp lý và quy định) để đảm bảo rằng các yếu tố này được giải quyết trong chiến lược bảo mật thông tin.
• 1.7 Đạt được sự cam kết từ ban quản lý cấp cao và sự hỗ trợ từ các bên liên quan khác để tối đa hóa khả năng triển khai thành công chiến lược bảo mật thông tin.
• 1.8 Xác định và truyền đạt các vai trò và trách nhiệm của bảo mật thông tin trong toàn bộ tổ chức để thiết lập sự rõ ràng về trách nhiệm và các tuyến quyền hạn.
• 1.9 Thiết lập, giám sát, đánh giá và báo cáo các chỉ số (ví dụ: Chỉ số Mục tiêu chính [KGIs], Chỉ số Hiệu suất chính [KPIs], Chỉ số Rủi ro chính [KRIs]) để cung cấp cho ban quản lý thông tin chính xác về hiệu quả của chiến lược bảo mật thông tin.

Lĩnh vực 2 — Quản lý Rủi ro Thông tin và Tuân thủ (33%)

Quản lý rủi ro thông tin ở mức chấp nhận được để đáp ứng các yêu cầu kinh doanh và tuân thủ của tổ chức.

• 2.1 Xây dựng và duy trì quy trình xác định và phân loại tài sản thông tin để đảm bảo rằng các biện pháp bảo vệ tài sản tỷ lệ thuận với giá trị kinh doanh của chúng.
• 2.2 Xác định các yêu cầu pháp lý, quy định, tổ chức và các yêu cầu liên quan khác để quản lý rủi ro không tuân thủ ở mức chấp nhận được.
• 2.3 Đảm bảo rằng các đánh giá rủi ro, đánh giá điểm yếu và phân tích mối đe dọa được thực hiện định kỳ và nhất quán để xác định rủi ro đối với thông tin của tổ chức.
• 2.4 Xác định và triển khai các lựa chọn xử lý rủi ro phù hợp để quản lý rủi ro ở mức chấp nhận được.
• 2.5 Đánh giá các kiểm soát bảo mật thông tin để xác định xem chúng có phù hợp và giảm thiểu rủi ro một cách hiệu quả ở mức chấp nhận được hay không.
• 2.6 Tích hợp quản lý rủi ro thông tin vào các quy trình kinh doanh và CNTT (ví dụ: phát triển, mua sắm, quản lý dự án, sáp nhập và mua lại) để thúc đẩy quy trình quản lý rủi ro thông tin nhất quán và toàn diện trong toàn tổ chức.
• 2.7 Giám sát rủi ro hiện có để đảm bảo rằng các thay đổi được xác định và quản lý phù hợp.
• 2.8 Báo cáo sự không tuân thủ và các thay đổi khác trong rủi ro thông tin cho ban quản lý phù hợp để hỗ trợ quá trình ra quyết định quản lý rủi ro.

Lĩnh vực 3 — Phát triển và Quản lý Chương trình Bảo mật Thông tin (25%)

Xây dựng và quản lý chương trình bảo mật thông tin phù hợp với chiến lược bảo mật thông tin.

• 3.1 Xây dựng và duy trì chương trình bảo mật thông tin phù hợp với chiến lược bảo mật thông tin.
• 3.2 Đảm bảo sự phù hợp giữa chương trình bảo mật thông tin và các chức năng kinh doanh khác (ví dụ: nhân sự [HR], kế toán, mua sắm và CNTT) để hỗ trợ tích hợp với các quy trình kinh doanh.
• 3.3 Xác định, thu thập, quản lý và xác định các yêu cầu về nguồn lực nội bộ và bên ngoài để thực thi chương trình bảo mật thông tin.
• 3.4 Xây dựng và duy trì kiến trúc bảo mật thông tin (con người, quy trình, công nghệ) để thực thi chương trình bảo mật thông tin.
• 3.5 Xây dựng, truyền đạt và duy trì các tiêu chuẩn, quy trình, hướng dẫn và các tài liệu khác về bảo mật thông tin của tổ chức để hỗ trợ và định hướng việc tuân thủ các chính sách bảo mật thông tin.
• 3.6 Xây dựng và duy trì chương trình về nhận thức và đào tạo bảo mật thông tin để thúc đẩy một môi trường an toàn và văn hóa bảo mật hiệu quả.
• 3.7 Tích hợp các yêu cầu về bảo mật thông tin vào các quy trình của tổ chức (ví dụ: kiểm soát thay đổi, sáp nhập và mua lại, phát triển, liên tục kinh doanh, khôi phục thảm họa) để duy trì mức chuẩn bảo mật của tổ chức.
• 3.8 Tích hợp các yêu cầu về bảo mật thông tin vào các hợp đồng và hoạt động của bên thứ ba (ví dụ: liên doanh, nhà cung cấp ngoài, đối tác kinh doanh, khách hàng) để duy trì mức chuẩn bảo mật của tổ chức.
• 3.9 Thiết lập, giám sát và báo cáo định kỳ các chỉ số quản lý chương trình và vận hành để đánh giá hiệu quả và hiệu suất của chương trình bảo mật thông tin.

Lĩnh vực 4 — Quản lý Sự cố Bảo mật Thông tin (18%)

Lập kế hoạch, thiết lập và quản lý năng lực phát hiện, điều tra, ứng phó và khắc phục các sự cố bảo mật thông tin để giảm thiểu tác động kinh doanh.

• 4.1 Xây dựng và duy trì quy trình phân loại và phân loại sự cố bảo mật thông tin để cho phép xác định chính xác và phản hồi các sự cố.
• 4.2 Thiết lập, duy trì và điều chỉnh kế hoạch ứng phó sự cố với kế hoạch liên tục kinh doanh và kế hoạch khôi phục thảm họa để đảm bảo phản hồi hiệu quả và kịp thời đối với các sự cố bảo mật thông tin.
• 4.3 Phát triển và triển khai các quy trình để đảm bảo việc xác định kịp thời các sự cố bảo mật thông tin.
• 4.4 Xây dựng và duy trì các quy trình để điều tra và tài liệu hóa các sự cố bảo mật thông tin nhằm có thể phản hồi phù hợp và xác định nguyên nhân của chúng trong khi tuân thủ các yêu cầu pháp lý, quy định và tổ chức.
• 4.5 Xây dựng và duy trì các quy trình xử lý sự cố để đảm bảo rằng các bên liên quan phù hợp được tham gia vào quản lý ứng phó sự cố.
• 4.6 Tổ chức, đào tạo và trang bị cho các nhóm để phản hồi hiệu quả các sự cố bảo mật thông tin một cách kịp thời.
• 4.7 Kiểm tra và xem xét các kế hoạch quản lý sự cố định kỳ để đảm bảo phản hồi hiệu quả đối với các sự cố bảo mật thông tin và cải thiện năng lực phản hồi.
• 4.8 Xây dựng và duy trì các kế hoạch và quy trình truyền thông để quản lý truyền thông với các thực thể nội bộ và bên ngoài.
• 4.9 Thực hiện các cuộc đánh giá sau sự cố để xác định nguyên nhân gốc rễ của các sự cố bảo mật thông tin, phát triển các hành động khắc phục, đánh giá lại rủi ro, đánh giá hiệu quả phản hồi và thực hiện các hành động sửa chữa phù hợp.
• 4.10 Xây dựng và duy trì sự tích hợp giữa kế hoạch ứng phó sự cố, kế hoạch khôi phục thảm họa và kế hoạch liên tục kinh doanh.