Curso de CISM - Certified Information Security Manager

Domínio 1—Governança de Segurança da Informação (24%)

Estabelecer e manter uma estrutura de governança de segurança da informação e processos de apoio para garantir que a estratégia de segurança da informação esteja alinhada com os objetivos organizacionais, que o risco de informação seja gerenciado adequadamente e que os recursos do programa sejam gerenciados de forma responsável.

• 1.1 Estabelecer e manter uma estratégia de segurança da informação alinhada com os objetivos organizacionais para orientar o estabelecimento e a gestão contínua do programa de segurança da informação.
• 1.2 Estabelecer e manter uma estrutura de governança de segurança da informação para orientar as atividades que suportam a estratégia de segurança da informação.
• 1.3 Integrar a governança de segurança da informação à governança corporativa para garantir que os objetivos e metas organizacionais sejam suportados pelo programa de segurança da informação.
• 1.4 Estabelecer e manter políticas de segurança da informação para comunicar as diretrizes da gestão e orientar o desenvolvimento de normas, procedimentos e diretrizes.
• 1.5 Desenvolver justificativas de negócios para apoiar investimentos em segurança da informação.
• 1.6 Identificar influências internas e externas à organização (por exemplo, tecnologia, ambiente de negócios, tolerância ao risco, localização geográfica, requisitos legais e regulatórios) para garantir que esses fatores sejam abordados pela estratégia de segurança da informação.
• 1.7 Obter o compromisso da alta administração e o apoio de outras partes interessadas para maximizar a probabilidade de implementação bem-sucedida da estratégia de segurança da informação.
• 1.8 Definir e comunicar os papéis e responsabilidades de segurança da informação em toda a organização para estabelecer responsabilidades claras e linhas de autoridade.
• 1.9 Estabelecer, monitorar, avaliar e relatar métricas (por exemplo, indicadores de metas-chave [KGI], indicadores de desempenho-chave [KPI], indicadores de risco-chave [KRI]) para fornecer à gestão informações precisas sobre a eficácia da estratégia de segurança da informação.

Domínio 2—Gestão de Risco de Informação e Conformidade (33%)

Gerenciar o risco de informação em níveis aceitáveis para atender aos requisitos de negócios e conformidade da organização.

• 2.1 Estabelecer e manter um processo de identificação e classificação de ativos de informação para garantir que as medidas tomadas para proteger os ativos sejam proporcionais ao seu valor de negócios.
• 2.2 Identificar requisitos legais, regulatórios, organizacionais e outros aplicáveis para gerenciar o risco de não conformidade em níveis aceitáveis.
• 2.3 Garantir que avaliações de risco, avaliações de vulnerabilidade e análises de ameaças sejam realizadas periodicamente e consistentemente para identificar riscos à informação da organização.
• 2.4 Determinar e implementar opções adequadas de tratamento de riscos para gerenciar o risco em níveis aceitáveis.
• 2.5 Avaliar os controles de segurança da informação para determinar se são apropriados e mitigam efetivamente o risco em um nível aceitável.
• 2.6 Integrar a gestão de riscos de informação aos processos de negócios e TI (por exemplo, desenvolvimento, compras, gestão de projetos, fusões e aquisições) para promover um processo de gestão de riscos de informação consistente e abrangente em toda a organização.
• 2.7 Monitorar riscos existentes para garantir que as mudanças sejam identificadas e gerenciadas adequadamente.
• 2.8 Relatar a não conformidade e outras mudanças no risco de informação à gestão adequada para auxiliar no processo de tomada de decisão em gestão de riscos.

Domínio 3—Desenvolvimento e Gestão de Programas de Segurança da Informação (25%)

Estabelecer e gerenciar o programa de segurança da informação em alinhamento com a estratégia de segurança da informação.

• 3.1 Estabelecer e manter o programa de segurança da informação em alinhamento com a estratégia de segurança da informação.
• 3.2 Garantir o alinhamento entre o programa de segurança da informação e outras funções de negócios (por exemplo, recursos humanos [RH], contabilidade, compras e TI) para apoiar a integração com os processos de negócios.
• 3.3 Identificar, adquirir, gerenciar e definir requisitos para recursos internos e externos para executar o programa de segurança da informação.
• 3.4 Estabelecer e manter arquiteturas de segurança da informação (pessoas, processos, tecnologia) para executar o programa de segurança da informação.
• 3.5 Estabelecer, comunicar e manter normas, procedimentos, diretrizes e outra documentação de segurança da informação organizacional para suportar e orientar a conformidade com as políticas de segurança da informação.
• 3.6 Estabelecer e manter um programa de conscientização e treinamento em segurança da informação para promover um ambiente seguro e uma cultura de segurança efetiva.
• 3.7 Integrar requisitos de segurança da informação aos processos organizacionais (por exemplo, controle de mudanças, fusões e aquisições, desenvolvimento, continuidade de negócios, recuperação de desastres) para manter a linha de base de segurança da organização.
• 3.8 Integrar requisitos de segurança da informação em contratos e atividades de terceiros (por exemplo, joint ventures, provedores terceirizados, parceiros de negócios, clientes) para manter a linha de base de segurança da organização.
• 3.9 Estabelecer, monitorar e relatar periodicamente métricas de gestão do programa e operacionais para avaliar a eficácia e eficiência do programa de segurança da informação.

Domínio 4—Gestão de Incidentes de Segurança da Informação (18%)

Planejar, estabelecer e gerenciar a capacidade de detectar, investigar, responder e recuperar-se de incidentes de segurança da informação para minimizar o impacto nos negócios.

• 4.1 Estabelecer e manter um processo de classificação e categorização de incidentes de segurança da informação para permitir a identificação e resposta precisas aos incidentes.
• 4.2 Estabelecer, manter e alinhar o plano de resposta a incidentes com o plano de continuidade de negócios e o plano de recuperação de desastres para garantir uma resposta eficaz e oportuna a incidentes de segurança da informação.
• 4.3 Desenvolver e implementar processos para garantir a identificação oportuna de incidentes de segurança da informação.
• 4.4 Estabelecer e manter processos para investigar e documentar incidentes de segurança da informação para poder responder adequadamente e determinar suas causas, em conformidade com requisitos legais, regulatórios e organizacionais.
• 4.5 Estabelecer e manter processos de tratamento de incidentes para garantir que as partes interessadas adequadas estejam envolvidas na gestão da resposta a incidentes.
• 4.6 Organizar, treinar e equipar equipes para responder efetivamente e de forma oportuna a incidentes de segurança da informação.
• 4.7 Testar e revisar os planos de gestão de incidentes periodicamente para garantir uma resposta eficaz a incidentes de segurança da informação e melhorar as capacidades de resposta.
• 4.8 Estabelecer e manter planos e processos de comunicação para gerenciar a comunicação com entidades internas e externas.
• 4.9 Realizar revisões pós-incidente para determinar a causa raiz dos incidentes de segurança da informação, desenvolver ações corretivas, reavaliar o risco, avaliar a eficácia da resposta e tomar ações remediativas adequadas.
• 4.10 Estabelecer e manter a integração entre o plano de resposta a incidentes, o plano de recuperação de desastres e o plano de continuidade de negócios.