CISM - Sertifiye Bilgi Güvenliği Yöneticisi Eğitimi

Alan 1—Bilgi Güvenliği Yönetişimi (24%)

Bilgi güvenliği stratejisinin kuruluş hedefleri ve amaçlarıyla uyumlu olduğundan, bilgi riskinin uygun bir şekilde yönetildiğinden ve program kaynaklarının sorumlu bir şekilde yönetildiğinden emin olmak için bir bilgi güvenliği yönetişim çerçevesi ve destekleyici süreçlerin oluşturulması ve sürdürülmesi.

• 1.1 Bilgi güvenliği programının oluşturulmasına ve devam eden yönetiminde rehberlik edecek şekilde, kuruluş hedefleri ve amaçlarıyla uyumlu bir bilgi güvenliği stratejisinin oluşturulması ve sürdürülmesi.
• 1.2 Bilgi güvenliği stratejisini destekleyen faaliyetlere rehberlik etmek için bir bilgi güvenliği yönetişim çerçevesinin oluşturulması ve sürdürülmesi.
• 1.3 Kuruluş hedeflerinin ve amaçlarının bilgi güvenliği programı tarafından desteklendiğinden emin olmak için bilgi güvenliği yönetişiminin kurumsal yönetişime entegre edilmesi.
• 1.4 Yönetimin yönergelerini iletmek ve standartların, prosedürlerin ve kılavuzların geliştirilmesine rehberlik etmek için bilgi güvenliği politikalarının oluşturulması ve sürdürülmesi.
• 1.5 Bilgi güvenliğine yapılan yatırımları desteklemek için iş dosyalarının geliştirilmesi.
• 1.6 Kuruluşun iç ve dış etkilerini (örneğin teknoloji, iş ortamı, risk toleransı, coğrafi konum, yasal ve düzenleyici gereksinimler) tanımlamak ve bu faktörlerin bilgi güvenliği stratejisiyle ele alındığından emin olmak.
• 1.7 Bilgi güvenliği stratejisinin başarılı bir şekilde uygulanma olasılığını en üst düzeye çıkarmak için üst yönetimden taahhüt ve diğer paydaşlardan destek alınması.
• 1.8 Bilgi güvenliğinin rollerini ve sorumluluklarını kuruluş genelinde tanımlamak ve iletmek, net hesap verebilirliği ve otorite hatlarını tesis etmek.
• 1.9 Yönetimin bilgi güvenliği stratejisinin etkinliği konusunda doğru bilgilere sahip olmasını sağlamak için metriklerin (örneğin, temel hedef göstergeleri [KGİ], temel performans göstergeleri [KPG], temel risk göstergeleri [KRİ]) oluşturulması, izlenmesi, değerlendirilmesi ve raporlanması.

Alan 2—Bilgi Risk Yönetimi ve Uyumluluk (33%)

Kuruluşun iş ve uyumluluk gereksinimlerini karşılamak için bilgi riskinin kabul edilebilir bir seviyede yönetilmesi.

• 2.1 Varlıkları korumak için alınan önlemlerin iş değerleriyle orantılı olduğundan emin olmak için bilgi varlığı tanımlama ve sınıflandırma sürecinin oluşturulması ve sürdürülmesi.
• 2.2 Uyum dışı riskini kabul edilebilir seviyelere indirmek için yasal, düzenleyici, kurumsal ve diğer ilgili gereksinimlerin tanımlanması.
• 2.3 Risk değerlendirmelerinin, kırılganlık analizlerinin ve tehdit analizlerinin kuruluşun bilgisi için riski tanımlamak üzere periyodik ve tutarlı bir şekilde gerçekleştirildiğinden emin olunması.
• 2.4 Riski kabul edilebilir seviyelere indirmek için uygun risk tedavisi seçeneklerinin belirlenmesi ve uygulanması.
• 2.5 Bilgi güvenliği kontrollerinin, riski kabul edilebilir bir seviyede etkin bir şekilde azaltıp azaltmadıklarını belirlemek için değerlendirilmesi.
• 2.6 İş ve BT süreçlerine (örneğin geliştirme, satın alma, proje yönetimi, birleşme ve devralma) bilgi risk yönetiminin entegre edilmesi, kuruluş genelinde tutarlı ve kapsamlı bir bilgi risk yönetimi sürecini teşvik etmek.
• 2.7 Değişikliklerin uygun bir şekilde tanımlandığından ve yönetildiğinden emin olmak için mevcut riskin izlenmesi.
• 2.8 Uyumsuzluk ve diğer bilgi riski değişikliklerinin, risk yönetimi karar verme sürecine yardımcı olmak üzere uygun yönetime raporlanması.

Alan 3—Bilgi Güvenliği Programı Geliştirme ve Yönetimi (25%)

Bilgi güvenliği stratejisiyle uyumlu olarak bilgi güvenliği programının oluşturulması ve yönetilmesi.

• 3.1 Bilgi güvenliği stratejisiyle uyumlu olarak bilgi güvenliği programının oluşturulması ve sürdürülmesi.
• 3.2 İş süreçleriyle entegrasyonu desteklemek için bilgi güvenliği programı ile diğer iş işlevleri arasındaki (örneğin, insan kaynakları [İK], muhasebe, satın alma ve BT) uyumun sağlanması.
• 3.3 Bilgi güvenliği programını yürütmek için iç ve dış kaynakların tanımlanması, edinilmesi, yönetilmesi ve gereksinimlerinin belirlenmesi.
• 3.4 Bilgi güvenliği programını yürütmek için bilgi güvenliği mimarilerinin (insan, süreç, teknoloji) oluşturulması ve sürdürülmesi.
• 3.5 Bilgi güvenliği politikalarına uyumu desteklemek ve yönlendirmek için kurumsal bilgi güvenliği standartlarının, prosedürlerinin, kılavuzlarının ve diğer belgelerin oluşturulması, iletilmesi ve sürdürülmesi.
• 3.6 Güvenli bir ortamı ve etkili bir güvenlik kültürünü teşvik etmek için bilgi güvenliği farkındalığı ve eğitimi programının oluşturulması ve sürdürülmesi.
• 3.7 Kuruluşun güvenlik baz çizgisini korumak için bilgi güvenliği gereksinimlerinin kurumsal süreçlere (örneğin, değişiklik kontrolü, birleşme ve devralma, geliştirme, işletme sürekliliği, felaket kurtarma) entegre edilmesi.
• 3.8 Kuruluşun güvenlik baz çizgisini korumak için bilgi güvenliği gereksinimlerinin üçüncü taraf sözleşme ve faaliyetlerine (örneğin, ortak girişimler, dış kaynak sağlayanlar, iş ortakları, müşteriler) entegre edilmesi.
• 3.9 Bilgi güvenliği programının etkinliğini ve verimliliğini değerlendirmek için program yönetimi ve operasyonel metriklerin oluşturulması, izlenmesi ve periyodik olarak raporlanması.

Alan 4—Bilgi Güvenliği Olay Yönetimi (18%)

İş etkisini en aza indirmek için bilgi güvenliği olaylarının tespit edilmesi, soruşturulması, buna yanıt verilmesi ve bunlardan kurtulma yeteneğinin planlanması, oluşturulması ve yönetilmesi.

• 4.1 Olayların doğru bir şekilde tanımlanmasını ve bunlara yanıt verilmesini sağlamak için bir bilgi güvenliği olay sınıflandırma ve kategorileştirme sürecinin oluşturulması ve sürdürülmesi.
• 4.2 İşletme sürekliliği planı ve felaket kurtarma planıyla uyumlu hale getirilen olay yanıt planının oluşturulması, sürdürülmesi, bilgi güvenliği olaylarına etkin ve zamanında bir yanıtı sağlamak.
• 4.3 Bilgi güvenliği olaylarının zamanında tanımlanmasını sağlamak için süreçlerin geliştirilmesi ve uygulanması.
• 4.4 Uygulanan yasal, düzenleyici ve kurumsal gereksinimlere uyarak, uygun şekilde yanıt verebilmek ve nedenlerini belirlemek için bilgi güvenliği olaylarının soruşturulması ve dokümante edilmesine ilişkin süreçlerin oluşturulması ve sürdürülmesi.
• 4.5 Uygun paydaşların olay yanıt yönetiminde yer almasını sağlamak için olay ele alma süreçlerinin oluşturulması ve sürdürülmesi.
• 4.6 Takımların, zamanında ve etkin bir şekilde bilgi güvenliği olaylarına yanıt verebilmek için organize edilmesi, eğitilmesi ve donatılması.
• 4.7 Bilgi güvenliği olaylarına etkin bir yanıtı sağlamak ve yanıt yeteneklerini geliştirmek için olay yönetim planlarının periyodik olarak test edilmesi ve gözden geçirilmesi.
• 4.8 İç ve dış kuruluşlarla iletişim yönetimi için iletişim planları ve süreçlerinin oluşturulması ve sürdürülmesi.
• 4.9 Bilgi güvenliği olaylarının kök nedenini belirlemek, düzeltici önlemleri geliştirmek, riski yeniden değerlendirmek, yanıt etkinliğini değerlendirmek ve uygun düzeltici önlemleri almak için olay sonrası incelemelerinin yapılması.
• 4.10 Olay yanıt planı, felaket kurtarma planı ve işletme sürekliliği planı arasında entegrasyonun oluşturulması ve sürdürülmesi.