Curso de CISM - Certified Information Security Manager

Domínio 1—Governança de Segurança da Informação (24%)

Estabelecer e manter um quadro de governança de segurança da informação e processos de suporte para garantir que a estratégia de segurança da informação esteja alinhada com as metas e objetivos organizacionais, que o risco de informação seja gerenciado adequadamente e que os recursos do programa sejam geridos com responsabilidade.

• 1.1 Estabelecer e manter uma estratégia de segurança da informação alinhada com as metas e objetivos organizacionais para guiar o estabelecimento e a gestão contínua do programa de segurança da informação.
• 1.2 Estabelecer e manter um quadro de governança de segurança da informação para orientar as atividades que suportam a estratégia de segurança da informação.
• 1.3 Integrar a governança de segurança da informação na governança corporativa para garantir que as metas e objetivos organizacionais sejam suportados pelo programa de segurança da informação.
• 1.4 Estabelecer e manter políticas de segurança da informação para comunicar as diretrizes da gestão e orientar o desenvolvimento de padrões, procedimentos e diretrizes.
• 1.5 Desenvolver casos de negócio para suportar investimentos em segurança da informação.
• 1.6 Identificar influências internas e externas à organização (por exemplo, tecnologia, ambiente de negócios, tolerância ao risco, localização geográfica, requisitos legais e regulatórios) para garantir que esses fatores sejam abordados pela estratégia de segurança da informação.
• 1.7 Obter o comprometimento da alta administração e o apoio de outras partes interessadas para maximizar a probabilidade de implementação bem-sucedida da estratégia de segurança da informação.
• 1.8 Definir e comunicar os papéis e responsabilidades da segurança da informação em toda a organização para estabelecer responsabilidades claras e linhas de autoridade.
• 1.9 Estabelecer, monitorar, avaliar e relatar métricas (por exemplo, indicadores-chave de meta [KGIs], indicadores-chave de desempenho [KPIs], indicadores-chave de risco [KRIs]) para fornecer à gestão informações precisas sobre a eficácia da estratégia de segurança da informação.

Domínio 2—Gestão de Risco de Informação e Conformidade (33%)

Gerenciar o risco de informação em um nível aceitável para atender aos requisitos de negócio e conformidade da organização.

• 2.1 Estabelecer e manter um processo de identificação e classificação de ativos de informação para garantir que as medidas adotadas para proteger os ativos sejam proporcionais ao seu valor comercial.
• 2.2 Identificar requisitos legais, regulatórios, organizacionais e outros aplicáveis para gerenciar o risco de não conformidade em níveis aceitáveis.
• 2.3 Garantir que avaliações de risco, avaliações de vulnerabilidade e análises de ameaça sejam realizadas periodicamente e consistentemente para identificar riscos às informações da organização.
• 2.4 Determinar e implementar opções apropriadas de tratamento de risco para gerenciar o risco em níveis aceitáveis.
• 2.5 Avaliar os controles de segurança da informação para determinar se são apropriados e mitigam eficazmente o risco em um nível aceitável.
• 2.6 Integrar a gestão de risco de informação nos processos de negócio e de TI (por exemplo, desenvolvimento, procurement, gestão de projetos, fusões e aquisições) para promover um processo consistente e abrangente de gestão de risco de informação em toda a organização.
• 2.7 Monitorar riscos existentes para garantir que as mudanças sejam identificadas e gerenciadas adequadamente.
• 2.8 Relatar a não conformidade e outras mudanças no risco de informação à gestão apropriada para auxiliar no processo de tomada de decisão em gestão de riscos.

Domínio 3—Desenvolvimento e Gestão do Programa de Segurança da Informação (25%)

Estabelecer e gerenciar o programa de segurança da informação em alinhamento com a estratégia de segurança da informação.

• 3.1 Estabelecer e manter o programa de segurança da informação em alinhamento com a estratégia de segurança da informação.
• 3.2 Garantir o alinhamento entre o programa de segurança da informação e outras funções de negócio (por exemplo, recursos humanos [RH], contabilidade, procurement e TI) para suportar a integração com os processos de negócio.
• 3.3 Identificar, adquirir, gerenciar e definir requisitos para recursos internos e externos para executar o programa de segurança da informação.
• 3.4 Estabelecer e manter arquiteturas de segurança da informação (pessoas, processos, tecnologia) para executar o programa de segurança da informação.
• 3.5 Estabelecer, comunicar e manter padrões, procedimentos, diretrizes e outra documentação organizacional de segurança da informação para suportar e orientar a conformidade com as políticas de segurança da informação.
• 3.6 Estabelecer e manter um programa de conscientização e treinamento em segurança da informação para promover um ambiente seguro e uma cultura de segurança eficaz.
• 3.7 Integrar requisitos de segurança da informação nos processos organizacionais (por exemplo, controle de mudanças, fusões e aquisições, desenvolvimento, continuidade de negócios, recuperação de desastres) para manter a linha de base de segurança da organização.
• 3.8 Integrar requisitos de segurança da informação em contratos e atividades de terceiros (por exemplo, joint ventures, provedores terceirizados, parceiros de negócios, clientes) para manter a linha de base de segurança da organização.
• 3.9 Estabelecer, monitorar e relatar periodicamente métricas de gestão de programa e operacionais para avaliar a eficácia e a eficiência do programa de segurança da informação.

Domínio 4—Gestão de Incidentes de Segurança da Informação (18%)

Planejar, estabelecer e gerenciar a capacidade de detectar, investigar, responder e recuperar-se de incidentes de segurança da informação para minimizar o impacto no negócio.

• 4.1 Estabelecer e manter um processo de classificação e categorização de incidentes de segurança da informação para permitir a identificação precisa de incidentes e a resposta a eles.
• 4.2 Estabelecer, manter e alinhar o plano de resposta a incidentes com o plano de continuidade de negócios e o plano de recuperação de desastres para garantir uma resposta eficaz e oportuna a incidentes de segurança da informação.
• 4.3 Desenvolver e implementar processos para garantir a identificação oportuna de incidentes de segurança da informação.
• 4.4 Estabelecer e manter processos para investigar e documentar incidentes de segurança da informação para poder responder adequadamente e determinar suas causas, enquanto adere aos requisitos legais, regulatórios e organizacionais.
• 4.5 Estabelecer e manter processos de tratamento de incidentes para garantir que as partes interessadas apropriadas estejam envolvidas na gestão da resposta a incidentes.
• 4.6 Organizar, treinar e equipar equipes para responder eficazmente a incidentes de segurança da informação de forma oportuna.
• 4.7 Testar e revisar periodicamente os planos de gestão de incidentes para garantir uma resposta eficaz a incidentes de segurança da informação e melhorar as capacidades de resposta.
• 4.8 Estabelecer e manter planos e processos de comunicação para gerenciar a comunicação com entidades internas e externas.
• 4.9 Realizar revisões pós-incidente para determinar a causa raiz de incidentes de segurança da informação, desenvolver ações corretivas, reavaliar riscos, avaliar a eficácia da resposta e tomar ações corretivas apropriadas.
• 4.10 Estabelecer e manter a integração entre o plano de resposta a incidentes, o plano de recuperação de desastres e o plano de continuidade de negócios.