CISM - 认证信息安全经理 培训

领域1——信息安全治理（24%）

建立并维护信息安全治理框架和支持流程，确保信息安全战略与组织目标对齐，信息风险得到适当管理，项目资源得到负责任的管理。

• 1.1 建立并维护与组织目标一致的信息安全战略，以指导信息安全计划的建立和持续管理。
• 1.2 建立并维护信息安全治理框架，以指导支持信息安全战略的活动。
• 1.3 将信息安全治理整合到公司治理中，确保组织的目标和目的得到信息安全计划的支持。
• 1.4 建立并维护信息安全政策，以传达管理指令并指导标准、程序和指南的开发。
• 1.5 开发商业案例以支持信息安全投资。
• 1.6 识别对组织（例如，技术、商业环境、风险容忍度、地理位置、法律和监管要求）的内部和外部影响，以确保这些因素得到信息安全战略的解决。
• 1.7 获得高级管理层的承诺和其他利益相关者的支持，以最大化信息安全战略成功实施的可能性。
• 1.8 在整个组织中定义并传达信息安全的角色和责任，以建立明确的问责制和授权线。
• 1.9 建立、监控、评估和报告指标（例如，关键目标指标[KGIs]、关键绩效指标[KPIs]、关键风险指标[KRIs]），为管理层提供关于信息安全战略有效性的准确信息。

领域2——信息风险管理和合规（33%）

将信息风险管理控制在可接受水平，以满足组织的业务和合规要求。

• 2.1 建立并维护信息资产识别和分类流程，确保采取的保护措施与其业务价值成比例。
• 2.2 识别法律、监管、组织和其他适用要求，以将不合规风险控制在可接受水平。
• 2.3 确保定期进行风险评估、漏洞评估和威胁分析，以识别对组织信息的风险。
• 2.4 确定并实施适当的风险处理选项，以将风险控制在可接受水平。
• 2.5 评估信息安全控制措施，以确定它们是否适当并有效缓解风险至可接受水平。
• 2.6 将信息风险管理整合到业务和IT流程（例如，开发、采购、项目管理、并购）中，以促进组织范围内一致且全面的信息风险管理流程。
• 2.7 监控现有风险，以确保识别并适当管理变化。
• 2.8 向适当的管理层报告不合规和信息风险的其他变化，以协助风险管理决策过程。

领域3——信息安全项目开发和管理（25%）

建立并管理信息安全计划，使其与信息安全战略保持一致。

• 3.1 建立并维护与信息安全战略保持一致的信息安全计划。
• 3.2 确保信息安全计划与其他业务职能（例如，人力资源[HR]、会计、采购和IT）之间的一致性，以支持与业务流程的整合。
• 3.3 识别、获取、管理并定义执行信息安全计划所需的内部和外部资源要求。
• 3.4 建立并维护信息安全架构（人员、流程、技术），以执行信息安全计划。
• 3.5 建立、传达并维护组织信息安全标准、程序、指南和其他文档，以支持和指导信息安全政策的合规。
• 3.6 建立并维护信息安全意识和培训项目，以促进安全环境和有效的安全文化。
• 3.7 将信息安全要求整合到组织流程（例如，变更控制、并购、开发、业务连续性、灾难恢复）中，以维持组织的安全基线。
• 3.8 将信息安全要求整合到第三方（例如，合资企业、外包提供商、业务合作伙伴、客户）的合同和活动中，以维持组织的安全基线。
• 3.9 建立、监控并定期报告项目管理和运营指标，以评估信息安全计划的有效性和效率。

领域4——信息安全事件管理（18%）

规划、建立并管理检测、调查、响应和恢复信息安全事件的能力，以最小化业务影响。

• 4.1 建立并维护信息安全事件分类和类别流程，以便准确识别和响应事件。
• 4.2 建立、维护并使事件响应计划与业务连续性计划和灾难恢复计划保持一致，以确保对信息安全事件的有效和及时响应。
• 4.3 开发并实施流程，以确保及时发现信息安全事件。
• 4.4 建立并维护调查和记录信息安全事件的流程，以便适当响应并确定其根本原因，同时遵守法律、监管和组织要求。
• 4.5 建立并维护事件处理流程，以确保适当的相关方参与事件响应管理。
• 4.6 组织、培训和装备团队，以及时有效响应信息安全事件。
• 4.7 定期测试和审查事件管理计划，以确保对信息安全事件的有效响应并提高响应能力。
• 4.8 建立并维护沟通计划和流程，以管理与内部和外部实体的沟通。
• 4.9 进行事后审查，以确定信息安全事件的根本原因，开发纠正措施，重新评估风险，评估响应有效性并采取适当的补救措施。
• 4.10 建立并维护事件响应计划、灾难恢复计划和业务连续性计划之间的整合。