CISM - Certified Information Security Manager培訓

領域 1——資訊安全治理 (24%)

建立並維護資訊安全治理框架及支援流程，以確保資訊安全策略與組織目標及目的對齊，資訊風險得到適當管理，方案資源得到負責任的管理。

• 1.1 建立並維護與組織目標及目的對齊的資訊安全策略，以指導資訊安全方案的建立與持續管理。
• 1.2 建立並維護資訊安全治理框架，以指導支援資訊安全策略的活動。
• 1.3 將資訊安全治理整合至公司治理，以確保組織目標及目的得到資訊安全方案的支援。
• 1.4 建立並維護資訊安全政策，以傳達管理層指令並指導標準、程序與指南的制定。
• 1.5 制定商業案例以支援資訊安全投資。
• 1.6 識別組織的內部與外部影響因素（例如：技術、商業環境、風險容忍度、地理位置、法律與法規要求），以確保這些因素被資訊安全策略所涵蓋。
• 1.7 取得高級管理層的承諾及其他持份者的支援，以最大化資訊安全策略成功實施的可能性。
• 1.8 定義並傳達組織內資訊安全的角色與職責，以建立清晰的問責制與權力線。
• 1.9 建立、監控、評估並報告指標（例如：關鍵目標指標 [KGIs]、關鍵績效指標 [KPIs]、關鍵風險指標 [KRIs]），以提供管理層關於資訊安全策略有效性的準確資訊。

領域 2——資訊風險管理與合規 (33%)

將資訊風險管理至可接受的水平，以滿足組織的業務與合規要求。

• 2.1 建立並維護資訊資產識別與分類流程，以確保保護資產的措施與其商業價值相稱。
• 2.2 識別法律、法規、組織及其他適用要求，以將不合規風險管理至可接受的水平。
• 2.3 確保定期且一致地進行風險評估、漏洞評估與威脅分析，以識別對組織資訊的風險。
• 2.4 確定並實施適當的風險處理選項，以將風險管理至可接受的水平。
• 2.5 評估資訊安全控制措施，以確定其是否適當且能有效將風險減輕至可接受的水平。
• 2.6 將資訊風險管理整合至業務與 IT 流程（例如：開發、採購、項目管理、併購），以促進組織內一致且全面的資訊風險管理流程。
• 2.7 監控現有風險，以確保變更被識別並得到適當管理。
• 2.8 向適當的管理層報告不合規及其他資訊風險變更，以協助風險管理決策過程。

領域 3——資訊安全方案開發與管理 (25%)

建立並管理與資訊安全策略對齊的資訊安全方案。

• 3.1 建立並維護與資訊安全策略對齊的資訊安全方案。
• 3.2 確保資訊安全方案與其他業務功能（例如：人力資源 [HR]、會計、採購與 IT）對齊，以支援與業務流程的整合。
• 3.3 識別、獲取、管理並定義執行資訊安全方案所需的內部與外部資源要求。
• 3.4 建立並維護資訊安全架構（人員、流程、技術），以執行資訊安全方案。
• 3.5 建立、傳達並維護組織資訊安全標準、程序、指南及其他文件，以支援並指導遵守資訊安全政策。
• 3.6 建立並維護資訊安全意識與培訓方案，以促進安全環境及有效的安全文化。
• 3.7 將資訊安全要求整合至組織流程（例如：變更控制、併購、開發、業務連續性、災難恢復），以維持組織的安全基準。
• 3.8 將資訊安全要求整合至第三方的合約與活動（例如：合資企業、外包供應商、業務夥伴、客戶），以維持組織的安全基準。
• 3.9 建立、監控並定期報告方案管理與營運指標，以評估資訊安全方案的有效性與效率。

領域 4——資訊安全事件管理 (18%)

規劃、建立並管理檢測、調查、回應及從資訊安全事故中恢復的能力，以最小化業務影響。

• 4.1 建立並維護資訊安全事故分類與分級流程，以允許準確識別及回應事故。
• 4.2 建立、維護並對齊事故回應計畫與業務連續性計畫及災難恢復計畫，以確保對資訊安全事故的有效及及時回應。
• 4.3 開發並實施流程，以確保及時識別資訊安全事故。
• 4.4 建立並維護流程，以調查並記錄資訊安全事故，從而能夠適當回應並確定其原因，同時遵守法律、法規及組織要求。
• 4.5 建立並維護事故處理流程，以確保適當的持份者參與事故回應管理。
• 4.6 組織、培訓並裝備團隊，以及時有效地回應資訊安全事故。
• 4.7 定期測試並審查事件管理計畫，以確保對資訊安全事故的有效回應並改進回應能力。
• 4.8 建立並維護溝通計畫及流程，以管理与內部及外部實體的溝通。
• 4.9 進行事故後審查，以確定資訊安全事故的根本原因、制定纠正措施、重新評估風險、評估回應有效性並採取適當的補救行動。
• 4.10 建立並維護事故回應計畫、災難恢復計畫與業務連續性計畫之間的整合。