Kursus Pelatihan CISM - Manajer Keamanan Informasi Bersertifikat

Domain 1—Tata Kelola Keamanan Informasi (24%)

Menetapkan dan mempertahankan kerangka tata kelola keamanan informasi dan proses pendukung untuk memastikan bahwa strategi keamanan informasi selaras dengan tujuan dan objektif organisasi, risiko informasi ditangani dengan tepat, dan sumber daya program dikelola secara bertanggung jawab.

• 1.1 Menetapkan dan mempertahankan strategi keamanan informasi yang selaras dengan tujuan dan objektif organisasi untuk memandu penetapan dan manajemen berkelanjutan program keamanan informasi.
• 1.2 Menetapkan dan mempertahankan kerangka tata kelola keamanan informasi untuk memandu aktivitas yang mendukung strategi keamanan informasi.
• 1.3 Mengintegrasikan tata kelola keamanan informasi ke dalam tata kelola korporat untuk memastikan bahwa tujuan dan objektif organisasi didukung oleh program keamanan informasi.
• 1.4 Menetapkan dan mempertahankan kebijakan keamanan informasi untuk mengomunikasikan direktif manajemen dan memandu pengembangan standar, prosedur, dan pedoman.
• 1.5 Mengembangkan kasus bisnis untuk mendukung investasi di bidang keamanan informasi.
• 1.6 Mengidentifikasi pengaruh internal dan eksternal terhadap organisasi (misalnya, teknologi, lingkungan bisnis, toleransi risiko, lokasi geografis, persyaratan hukum dan regulasi) untuk memastikan bahwa faktor-faktor ini ditangani oleh strategi keamanan informasi.
• 1.7 Mendapatkan komitmen dari manajemen senior dan dukungan dari pemangku kepentingan lain untuk memaksimalkan kemungkinan implementasi strategi keamanan informasi yang berhasil.
• 1.8 Menetapkan dan mengomunikasikan peran dan tanggung jawab keamanan informasi di seluruh organisasi untuk menetapkan akuntabilitas dan garis wewenang yang jelas.
• 1.9 Menetapkan, memantau, mengevaluasi, dan melaporkan metrik (misalnya, indikator tujuan utama [KGIs], indikator kinerja utama [KPIs], indikator risiko utama [KRIs]) untuk memberikan informasi yang akurat kepada manajemen mengenai efektivitas strategi keamanan informasi.

Domain 2—Manajemen Risiko dan Kepatuhan Informasi (33%)

Menangani risiko informasi pada tingkat yang dapat diterima untuk memenuhi persyaratan bisnis dan kepatuhan organisasi.

• 2.1 Menetapkan dan mempertahankan proses identifikasi dan klasifikasi aset informasi untuk memastikan bahwa langkah-langkah yang diambil untuk melindungi aset sebanding dengan nilai bisnisnya.
• 2.2 Mengidentifikasi persyaratan hukum, regulasi, organisasi, dan persyaratan lain yang berlaku untuk mengelola risiko ketidakpatuhan ke tingkat yang dapat diterima.
• 2.3 Memastikan bahwa penilaian risiko, penilaian kerentanan, dan analisis ancaman dilakukan secara berkala dan konsisten untuk mengidentifikasi risiko terhadap informasi organisasi.
• 2.4 Menentukan dan menerapkan opsi penanganan risiko yang tepat untuk mengelola risiko ke tingkat yang dapat diterima.
• 2.5 Mengevaluasi kontrol keamanan informasi untuk menentukan apakah mereka tepat dan secara efektif memitigasi risiko ke tingkat yang dapat diterima.
• 2.6 Mengintegrasikan manajemen risiko informasi ke dalam proses bisnis dan TI (misalnya, pengembangan, pengadaan, manajemen proyek, merger dan akuisisi) untuk mempromosikan proses manajemen risiko informasi yang konsisten dan komprehensif di seluruh organisasi.
• 2.7 Memantau risiko yang ada untuk memastikan bahwa perubahan diidentifikasi dan ditangani secara tepat.
• 2.8 Melaporkan ketidakpatuhan dan perubahan lain dalam risiko informasi kepada manajemen yang tepat untuk membantu proses pengambilan keputusan manajemen risiko.

Domain 3—Pengembangan dan Manajemen Program Keamanan Informasi (25%)

Menetapkan dan mengelola program keamanan informasi yang selaras dengan strategi keamanan informasi.

• 3.1 Menetapkan dan mempertahankan program keamanan informasi yang selaras dengan strategi keamanan informasi.
• 3.2 Memastikan keselarasan antara program keamanan informasi dan fungsi bisnis lain (misalnya, sumber daya manusia [HR], akuntansi, pengadaan, dan TI) untuk mendukung integrasi dengan proses bisnis.
• 3.3 Mengidentifikasi, memperoleh, mengelola, dan menetapkan persyaratan untuk sumber daya internal dan eksternal untuk melaksanakan program keamanan informasi.
• 3.4 Menetapkan dan mempertahankan arsitektur keamanan informasi (manusia, proses, teknologi) untuk melaksanakan program keamanan informasi.
• 3.5 Menetapkan, mengomunikasikan, dan mempertahankan standar, prosedur, pedoman, dan dokumentasi lain tentang keamanan informasi organisasi untuk mendukung dan memandu kepatuhan terhadap kebijakan keamanan informasi.
• 3.6 Menetapkan dan mempertahankan program kesadaran dan pelatihan keamanan informasi untuk mempromosikan lingkungan yang aman dan budaya keamanan yang efektif.
• 3.7 Mengintegrasikan persyaratan keamanan informasi ke dalam proses organisasi (misalnya, kontrol perubahan, merger dan akuisisi, pengembangan, kelangsungan bisnis, pemulihan bencana) untuk mempertahankan baseline keamanan organisasi.
• 3.8 Mengintegrasikan persyaratan keamanan informasi ke dalam kontrak dan aktivitas pihak ketiga (misalnya, usaha patungan, penyedia outsourcing, mitra bisnis, pelanggan) untuk mempertahankan baseline keamanan organisasi.
• 3.9 Menetapkan, memantau, dan melaporkan metrik manajemen program dan operasional secara berkala untuk mengevaluasi efektivitas dan efisiensi program keamanan informasi.

Domain 4—Manajemen Insiden Keamanan Informasi (18%)

Merencanakan, menetapkan, dan mengelola kemampuan untuk mendeteksi, menyelidiki, menanggapi, dan pulih dari insiden keamanan informasi untuk meminimalkan dampak bisnis.

• 4.1 Menetapkan dan mempertahankan proses klasifikasi dan kategorisasi insiden keamanan informasi untuk memungkinkan identifikasi dan respons terhadap insiden secara akurat.
• 4.2 Menetapkan, mempertahankan, dan menyelaraskan rencana respons insiden dengan rencana kelangsungan bisnis dan rencana pemulihan bencana untuk memastikan respons yang efektif dan tepat waktu terhadap insiden keamanan informasi.
• 4.3 Mengembangkan dan menerapkan proses untuk memastikan identifikasi insiden keamanan informasi secara tepat waktu.
• 4.4 Menetapkan dan mempertahankan proses untuk menyelidiki dan mendokumentasikan insiden keamanan informasi agar mampu menanggapi secara tepat dan menentukan penyebabnya sambil mematuhi persyaratan hukum, regulasi, dan organisasi.
• 4.5 Menetapkan dan mempertahankan proses penanganan insiden untuk memastikan bahwa pemangku kepentingan yang tepat terlibat dalam manajemen respons insiden.
• 4.6 Mengorganisir, melatih, dan melengkapi tim untuk menanggapi insiden keamanan informasi secara efektif dan tepat waktu.
• 4.7 Menguji dan meninjau rencana manajemen insiden secara berkala untuk memastikan respons yang efektif terhadap insiden keamanan informasi dan meningkatkan kemampuan respons.
• 4.8 Menetapkan dan mempertahankan rencana dan proses komunikasi untuk mengelola komunikasi dengan entitas internal dan eksternal.
• 4.9 Melakukan ulasan pasca-insiden untuk menentukan akar penyebab insiden keamanan informasi, mengembangkan tindakan korektif, menilai kembali risiko, mengevaluasi efektivitas respons, dan mengambil tindakan remedial yang tepat.
• 4.10 Menetapkan dan mempertahankan integrasi antara rencana respons insiden, rencana pemulihan bencana, dan rencana kelangsungan bisnis.