Kursus Pelatihan CISM - Certified Information Security Manager

Domain 1—Tata Kelola Keamanan Informasi (24%)

Mem bangun dan memelihara kerangka tata kelola keamanan informasi dan proses pendukung untuk memastikan strategi keamanan informasi selaras dengan tujuan dan sasaran organisasi, risiko informasi dikelola dengan tepat, dan sumber daya program dikelola secara bertanggung jawab.

• 1.1 Mem bangun dan memelihara strategi keamanan informasi yang selaras dengan tujuan dan sasaran organisasi untuk memandu pembangunan dan pengelolaan berkelanjutan program keamanan informasi.
• 1.2 Mem bangun dan memelihara kerangka tata kelola keamanan informasi untuk memandu aktivitas yang mendukung strategi keamanan informasi.
• 1.3 Mengintegrasikan tata kelola keamanan informasi ke dalam tata kelola perusahaan untuk memastikan bahwa tujuan dan sasaran organisasi didukung oleh program keamanan informasi.
• 1.4 Mem bangun dan memelihara kebijakan keamanan informasi untuk mengomunikasikan arahan manajemen dan memandu pengembangan standar, prosedur, dan pedoman.
• 1.5 Mengembangkan kasus bisnis untuk mendukung investasi dalam keamanan informasi.
• 1.6 Mengidentifikasi pengaruh internal dan eksternal terhadap organisasi (misalnya, teknologi, lingkungan bisnis, toleransi risiko, lokasi geografis, persyaratan hukum dan regulasi) untuk memastikan faktor-faktor ini ditangani oleh strategi keamanan informasi.
• 1.7 Mendapatkan komitmen dari manajemen senior dan dukungan dari pemangku kepentingan lainnya untuk memaksimalkan kemungkinan keberhasilan implementasi strategi keamanan informasi.
• 1.8 Mendefinisikan dan mengomunikasikan peran dan tanggung jawab keamanan informasi di seluruh organisasi untuk membangun akuntabilitas dan jalur otoritas yang jelas.
• 1.9 Mem bangun, memantau, mengevaluasi, dan melaporkan metrik (misalnya, indikator tujuan utama [KGIs], indikator kinerja utama [KPIs], indikator risiko utama [KRIs]) untuk memberikan informasi akurat kepada manajemen mengenai efektivitas strategi keamanan informasi.

Domain 2—Manajemen Risiko dan Kepatuhan Informasi (33%)

Manajemen risiko informasi ke tingkat yang dapat diterima untuk memenuhi persyaratan bisnis dan kepatuhan organisasi.

• 2.1 Mem bangun dan memelihara proses identifikasi dan klasifikasi aset informasi untuk memastikan langkah-langkah perlindungan aset sebanding dengan nilai bisnisnya.
• 2.2 Mengidentifikasi persyaratan hukum, regulasi, organisasi, dan persyaratan lainnya yang berlaku untuk mengelola risiko ketidakpatuhan ke tingkat yang dapat diterima.
• 2.3 Memastikan bahwa penilaian risiko, penilaian kerentanan, dan analisis ancaman dilakukan secara berkala dan konsisten untuk mengidentifikasi risiko terhadap informasi organisasi.
• 2.4 Menentukan dan mengimplementasikan opsi penanganan risiko yang tepat untuk mengelola risiko ke tingkat yang dapat diterima.
• 2.5 Mengevaluasi kontrol keamanan informasi untuk menentukan apakah mereka tepat dan secara efektif memitigasi risiko ke tingkat yang dapat diterima.
• 2.6 Mengintegrasikan manajemen risiko informasi ke dalam proses bisnis dan TI (misalnya, pengembangan, pengadaan, manajemen proyek, merger dan akuisisi) untuk mempromosikan proses manajemen risiko informasi yang konsisten dan komprehensif di seluruh organisasi.
• 2.7 Memantau risiko yang ada untuk memastikan perubahan teridentifikasi dan dikelola dengan tepat.
• 2.8 Melaporkan ketidakpatuhan dan perubahan lainnya dalam risiko informasi kepada manajemen yang tepat untuk membantu proses pengambilan keputusan manajemen risiko.

Domain 3—Pengembangan dan Pengelolaan Program Keamanan Informasi (25%)

Mem bangun dan mengelola program keamanan informasi yang selaras dengan strategi keamanan informasi.

• 3.1 Mem bangun dan memelihara program keamanan informasi yang selaras dengan strategi keamanan informasi.
• 3.2 Memastikan keselarasan antara program keamanan informasi dan fungsi bisnis lainnya (misalnya, sumber daya manusia [HR], akuntansi, pengadaan, dan TI) untuk mendukung integrasi dengan proses bisnis.
• 3.3 Mengidentifikasi, memperoleh, mengelola, dan mendefinisikan persyaratan untuk sumber daya internal dan eksternal untuk menjalankan program keamanan informasi.
• 3.4 Mem bangun dan memelihara arsitektur keamanan informasi (orang, proses, teknologi) untuk menjalankan program keamanan informasi.
• 3.5 Mem bangun, mengomunikasikan, dan memelihara standar, prosedur, pedoman, dan dokumentasi lainnya dari keamanan informasi organisasi untuk mendukung dan memandu kepatuhan terhadap kebijakan keamanan informasi.
• 3.6 Mem bangun dan memelihara program kesadaran dan pelatihan keamanan informasi untuk mempromosikan lingkungan yang aman dan budaya keamanan yang efektif.
• 3.7 Mengintegrasikan persyaratan keamanan informasi ke dalam proses organisasi (misalnya, pengendalian perubahan, merger dan akuisisi, pengembangan, kelangsungan bisnis, pemulihan bencana) untuk mempertahankan baseline keamanan organisasi.
• 3.8 Mengintegrasikan persyaratan keamanan informasi ke dalam kontrak dan aktivitas pihak ketiga (misalnya, usaha patungan, penyedia ter outsourcing, mitra bisnis, pelanggan) untuk mempertahankan baseline keamanan organisasi.
• 3.9 Mem bangun, memantau, dan secara berkala melaporkan metrik manajemen program dan operasional untuk mengevaluasi efektivitas dan efisiensi program keamanan informasi.

Domain 4—Manajemen Insiden Keamanan Informasi (18%)

Merencanakan, mem bangun, dan mengelola kemampuan untuk mendeteksi, menyelidiki, merespons, dan memulihkan dari insiden keamanan informasi untuk meminimalkan dampak bisnis.

• 4.1 Mem bangun dan memelihara proses klasifikasi dan kategorisasi insiden keamanan informasi untuk memungkinkan identifikasi yang akurat dan respons terhadap insiden.
• 4.2 Mem bangun, memelihara, dan menyelaraskan rencana respons insiden dengan rencana kelangsungan bisnis dan rencana pemulihan bencana untuk memastikan respons yang efektif dan tepat waktu terhadap insiden keamanan informasi.
• 4.3 Mengembangkan dan mengimplementasikan proses untuk memastikan identifikasi insiden keamanan informasi yang tepat waktu.
• 4.4 Mem bangun dan memelihara proses untuk menyelidiki dan mendokumentasikan insiden keamanan informasi agar dapat merespons dengan tepat dan menentukan penyebabnya sambil mematuhi persyaratan hukum, regulasi, dan organisasi.
• 4.5 Mem bangun dan memelihara proses penanganan insiden untuk memastikan pemangku kepentingan yang tepat terlibat dalam manajemen respons insiden.
• 4.6 Mengorganisasikan, melatih, dan melengkapi tim untuk merespons secara efektif insiden keamanan informasi dalam waktu singkat.
• 4.7 Menguji dan meninjau rencana manajemen insiden secara berkala untuk memastikan respons yang efektif terhadap insiden keamanan informasi dan meningkatkan kemampuan respons.
• 4.8 Mem bangun dan memelihara rencana dan proses komunikasi untuk mengelola komunikasi dengan entitas internal dan eksternal.
• 4.9 Melakukan tinjauan pasca-insiden untuk menentukan akar penyebab insiden keamanan informasi, mengembangkan tindakan korektif, menilai ulang risiko, mengevaluasi efektivitas respons, dan mengambil tindakan remedial yang tepat.
• 4.10 Mem bangun dan memelihara integrasi antara rencana respons insiden, rencana pemulihan bencana, dan rencana kelangsungan bisnis.