CISM - Sertifikalı Bilgi Güvenliği Yöneticisi Eğitimi

Domain 1—Bilgi Güvenliği Yönetişimi (%24)

Bilgi güvenliği stratejisinin kurumsal hedef ve amaçlarla uyumlu olmasını, bilgi riskinin uygun şekilde yönetilmesini ve program kaynaklarının sorumlu bir şekilde yönetilmesini sağlamak için bir bilgi güvenliği yönetişim çerçevesi ve destekleyici süreçler kurmak ve sürdürmek.

• 1.1 Bilgi güvenliği programının kurulmasını ve sürekli yönetimini yönlendirmek için kurumsal hedef ve amaçlarla uyumlu bir bilgi güvenliği stratejisi kurmak ve sürdürmek.
• 1.2 Bilgi güvenliği stratejisini destekleyen faaliyetleri yönlendirmek için bir bilgi güvenliği yönetişim çerçevesi kurmak ve sürdürmek.
• 1.3 Kurumsal hedef ve amaçların bilgi güvenliği programı tarafından desteklendiğinden emin olmak için bilgi güvenliği yönetişimini kurumsal yönetişime entegre etmek.
• 1.4 Yönetimin direktiflerini iletmek ve standartların, prosedürlerin ve kılavuzların geliştirilmesini yönlendirmek için bilgi güvenliği politikaları kurmak ve sürdürmek.
• 1.5 Bilgi güvenliğine yapılan yatırımları desteklemek için iş planları geliştirmek.
• 1.6 Organizasyona etki eden iç ve dış unsurları (örneğin, teknoloji, iş ortamı, risk toleransı, coğrafi konum, yasal ve düzenleyici gereksinimler) belirlemek ve bu faktörlerin bilgi güvenliği stratejisi tarafından ele alındığından emin olmak.
• 1.7 Bilgi güvenliği stratejisinin başarılı bir şekilde uygulanma olasılığını en üst düzeye çıkarmak için üst düzey yönetimden taahhüt ve diğer paydaşlardan destek almak.
• 1.8 Açık hesaplılıklar ve yetki hatları oluşturmak için organizasyon genelinde bilgi güvenliğinin rollerini ve sorumluluklarını tanımlamak ve iletmek.
• 1.9 Bilgi güvenliği stratejisinin etkinliği hakkında yönetime doğru bilgi sağlamak için metrikleri (örneğin, temel hedef göstergeleri [KGI], temel performans göstergeleri [KPI], temel risk göstergeleri [KRI]) kurmak, izlemek, değerlendirmek ve raporlamak.

Domain 2—Bilgi Risk Yönetimi ve Uyumluluk (%33)

Organizasyonun iş ve uyumluluk gereksinimlerini karşılamak için bilgi riskini kabul edilebilir seviyede yönetmek.

• 2.1 Varlıkları korumak için alınan önlemlerin iş değerleri ile orantılı olduğundan emin olmak için bilgi varlık tanımlama ve sınıflandırma süreci kurmak ve sürdürmek.
• 2.2 Uyumsuzluk riskini kabul edilebilir seviyelere yönetmek için yasal, düzenleyici, kurumsal ve diğer geçerli gereksinimleri belirlemek.
• 2.3 Risk değerlendirmeleri, zafiyet analizleri ve tehdit analizlerinin organizasyonun bilgilerindeki riski belirlemek için periyodik ve tutarlı bir şekilde yürütüldüğünden emin olmak.
• 2.4 Riski kabul edilebilir seviyelere yönetmek için uygun risk muamelesi seçeneklerini belirlemek ve uygulamak.
• 2.5 Bilgi güvenliği kontrollerini, riski kabul edilebilir seviyede etkili bir şekilde azaltıp azaltmadıklarını belirlemek için değerlendirmek.
• 2.6 Organizasyon genelinde tutarlı ve kapsamlı bir bilgi risk yönetimi sürecini teşvik etmek için bilgi risk yönetimini iş ve BT süreçlerine (örneğin, geliştirme, tedarik, proje yönetimi, birleşme ve devralmalar) entegre etmek.
• 2.7 Değişikliklerin belirlenip uygun şekilde yönetilmesini sağlamak için mevcut riski izlemek.
• 2.8 Uyumsuzluk ve diğer bilgi riski değişikliklerini, risk yönetimi karar verme sürecine yardımcı olmak için uygun yönetime raporlamak.

Domain 3—Bilgi Güvenliği Programı Geliştirme ve Yönetimi (%25)

Bilgi güvenliği programını, bilgi güvenliği stratejisiyle uyumlu bir şekilde kurmak ve yönetmek.

• 3.1 Bilgi güvenliği programını, bilgi güvenliği stratejisiyle uyumlu bir şekilde kurmak ve sürdürmek.
• 3.2 İş süreçleriyle entegrasyonu desteklemek için bilgi güvenliği programı ile diğer iş işlevleri arasındaki (örneğin, insan kaynakları [İK], muhasebe, tedarik ve BT) uyumu sağlamak.
• 3.3 Bilgi güvenliği programını yürütmek için iç ve dış kaynakları belirlemek, edinmek, yönetmek ve gereksinimleri tanımlamak.
• 3.4 Bilgi güvenliği programını yürütmek için bilgi güvenliği mimarilerini (insanlar, süreçler, teknoloji) kurmak ve sürdürmek.
• 3.5 Bilgi güvenliği politikalarına uyumu desteklemek ve yönlendirmek için kurumsal bilgi güvenliği standartlarını, prosedürlerini, kılavuzlarını ve diğer dokümantasyonu kurmak, iletmek ve sürdürmek.
• 3.6 Güvenli bir ortamı ve etkili bir güvenlik kültürünü teşvik etmek için bilgi güvenliği farkındalığı ve eğitimi programı kurmak ve sürdürmek.
• 3.7 Organizasyonun güvenlik baz çizgisini korumak için bilgi güvenliği gereksinimlerini kurumsal süreçlere (örneğin, değişiklik kontrolü, birleşme ve devralmalar, geliştirme, iş sürekliliği, afet kurtarma) entegre etmek.
• 3.8 Organizasyonun güvenlik baz çizgisini korumak için bilgi güvenliği gereksinimlerini üçüncü taraf sözleşmelerine ve faaliyetlerine (örneğin, ortaklıklar, dış kaynaklı sağlayıcılar, iş ortakları, müşteriler) entegre etmek.
• 3.9 Bilgi güvenliği programının etkinliğini ve verimliliğini değerlendirmek için program yönetimi ve operasyonel metrikleri kurmak, izlemek ve periyodik olarak raporlamak.

Domain 4—Bilgi Güvenliği Olay Yönetimi (%18)

Bilgi güvenliği olaylarını algılamak, soruşturmak, bunlara müdahale etmek ve kurtulmak için yetkinliği planlamak, kurmak ve yönetmek; iş etkisini en aza indirmek.

• 4.1 Olayların doğru bir şekilde tanımlanmasını ve bunlara müdahale edilmesini sağlamak için bir bilgi güvenliği olayı sınıflandırma ve kategorileştirme süreci kurmak ve sürdürmek.
• 4.2 Bilgi güvenliği olaylarına etkili ve zamanında müdahale edilmesini sağlamak için olay müdahale planını iş sürekliliği planı ve afet kurtarma planıyla uyumlu hale getirmek, sürdürmek.
• 4.3 Bilgi güvenliği olaylarının zamanında tanımlanmasını sağlamak için süreçler geliştirmek ve uygulamak.
• 4.4 Yasal, düzenleyici ve kurumsal gereksinimlere uymak, uygun şekilde müdahale edebilmek ve nedenlerini belirleyebilmek için bilgi güvenliği olaylarını soruşturmak ve belgelemek üzere süreçler kurmak ve sürdürmek.
• 4.5 Olay müdahale yönetimine uygun paydaşların dahil edildiğinden emin olmak için olay işlem süreçlerini kurmak ve sürdürmek.
• 4.6 Ekipleri, bilgi güvenliği olaylarına zamanında ve etkili bir şekilde müdahale edebilmek için organize etmek, eğitmek ve donatmak.
• 4.7 Bilgi güvenliği olaylarına etkili bir şekilde müdahale edilmesini ve müdahale yetkinliklerinin iyileştirilmesini sağlamak için olay yönetimi planlarını periyodik olarak test etmek ve gözden geçirmek.
• 4.8 İç ve dış kuruluşlarla iletişim yönetimini sağlamak için iletişim planlarını ve süreçlerini kurmak ve sürdürmek.
• 4.9 Bilgi güvenliği olaylarının kök nedenini belirlemek, düzeltici önlemler geliştirmek, riski yeniden değerlendirmek, müdahale etkinliğini değerlendirmek ve uygun iyileştirici önlemleri almak için olay sonrası incelemeleri yürütmek.
• 4.10 Olay müdahale planı, afet kurtarma planı ve iş sürekliliği planı arasındaki entegrasyonu kurmak ve sürdürmek.