ISACA CISM Certification

- Etablere og vedligeholde en informationssikkerhedsstrategi i overensstemmelse med organisatoriske mål og mål for at guide etableringen og den løbende styring af informationssikkerhedsprogrammet.
- Etablere og vedligeholde en styringsramme for informationssikkerhed til at guide aktiviteter, der understøtter informationssikkerhedsstrategien.
- Integrere informationssikkerhedsstyring i virksomhedsledelsen for at sikre, at organisatoriske mål og målsætninger understøttes af informationssikkerhedsprogrammet.
- Etablere og vedligeholde informationssikkerhedspolitikker for at kommunikere ledelsens direktiver og guide udviklingen af standarder, procedurer og retningslinjer.
- Udvikle business cases til at understøtte investeringer i informationssikkerhed.
- Identificere interne og eksterne påvirkninger til organisationen (f.eks. teknologi, forretningsmiljø, risikotolerance, geografisk placering, lovmæssige og regulatoriske krav) for at sikre, at disse faktorer behandles af informationssikkerhedsstrategien.
- Få engagement fra den øverste ledelse og støtte fra andre interessenter for at maksimere sandsynligheden for en vellykket implementering af informationssikkerhedsstrategien.
- Definere og kommunikere informationssikkerhedens rolle og ansvar i hele organisationen for at etablere klare ansvarsområder og beføjelser.
- Etablere, overvåge, evaluere og rapportere metrics (for eksempel nøglemålindikatorer [KGI'er], nøglepræstationsindikatorer [KPI'er], nøglerisikoindikatorer [KRI'er]) for at give ledelsen nøjagtige oplysninger om effektiviteten af informationssikkerhedsstrategien.

- Etablere og vedligeholde en proces for klassificering af informationsaktiver for at sikre, at foranstaltninger, der træffes for at beskytte aktiver, er proportionale med deres forretningsværdi.
- Identificere juridiske, regulatoriske, organisatoriske og andre gældende krav for at styre risikoen for manglende overholdelse til acceptable niveauer.
- Sikre, at risikovurderinger, sårbarhedsvurderinger og trusselsanalyser udføres periodisk og konsekvent for at identificere risiko for organisationens information.
- Bestemme passende risikobehandlingsmuligheder for at styre risikoen til acceptable niveauer.
- Evaluere informationssikkerhedskontroller for at afgøre, om de er passende og effektivt mindsker risikoen til et acceptabelt niveau.
- Identificere kløften mellem nuværende og ønskede risikoniveauer for at holde risikoen til et acceptabelt niveau.
- Integrere informationsrisikostyring i forretnings- og IT-processer (for eksempel udvikling, indkøb, projektledelse, fusioner og opkøb) for at fremme en konsistent og omfattende informationsrisikostyringsproces på tværs af organisationen.
- Overvåge eksisterende risici for at sikre, at ændringer identificeres og håndteres korrekt.
- Rapportere manglende overholdelse og andre ændringer i informationsrisikoen til den relevante ledelse for at hjælpe med risikostyringens beslutningsproces.

- Etablere og vedligeholde informationssikkerhedsprogrammet i overensstemmelse med informationssikkerhedsstrategien.
- Sikre justeringen mellem informationssikkerhedsprogrammet og andre forretningsfunktioner (for eksempel human ressources [HR], regnskab, indkøb og IT) for at understøtte integration med forretningsprocesser.
- Identificere, erhverve, administrere og definere krav til interne og eksterne ressourcer til at eksekvere informationssikkerhedsprogrammet.
- Etablere og vedligeholde informationssikkerhedsarkitekturer (mennesker, proces, teknologi) for at udføre informationssikkerhedsprogrammet.
- Etablere, kommunikere og vedligeholde organisatoriske informationssikkerhedsstandarder, procedurer, retningslinjer og anden dokumentation for at understøtte og vejlede overholdelse af informationssikkerhedspolitikker.
- Etablere og vedligeholde et program for informationssikkerhedsbevidsthed og -uddannelse for at fremme et sikkert miljø og en effektiv sikkerhedskultur.
- Integrere krav til informationssikkerhed i organisatoriske processer (f.eks. ændringskontrol, fusioner og opkøb, udvikling, forretningskontinuitet, disaster recovery) for at opretholde organisationens sikkerhedsbaseline.
- Integrere krav til informationssikkerhed i kontrakter og aktiviteter fra tredjeparter (for eksempel joint ventures, outsourcede udbydere, forretningspartnere, kunder) for at opretholde organisationens sikkerhedsbaseline.
- Etablere, overvåge og periodisk rapportere programstyrings- og operationelle målinger for at evaluere effektiviteten og effekten af informationssikkerhedsprogrammet.

- Etablere og vedligeholde en organisatorisk definition af og niveau hierarki for informationssikkerhedshændelser for at muliggøre nøjagtig identifikation af og reaktion på hændelser.
- Etablere og vedligeholde en hændelsesresponsplan for at sikre en effektiv og rettidig reaktion på informationssikkerhedshændelser.
- Udvikle og implementere processer for at sikre rettidig identifikation af informationssikkerhedshændelser.
- Etablere og vedligeholde processer til at undersøge og dokumentere informationssikkerhedshændelser for at være i stand til at reagere hensigtsmæssigt og bestemme deres årsager, samtidig med at de overholder juridiske, regulatoriske og organisatoriske krav.
- Etablere og vedligeholde hændelseseskalerings- og underretningsprocesser for at sikre, at de relevante interessenter er involveret i håndteringen af en hændelsesrespons.
- Organisere, træne og udstyre teams til effektivt at reagere på informationssikkerhedshændelser rettidigt.
- Teste og gennemgå hændelsesresponsplanen med jævne mellemrum for at sikre en effektiv reaktion på informationssikkerhedshændelser og for at forbedre responskapaciteten.
- Etablere og vedligeholde kommunikationsplaner og processer for at styre kommunikationen med interne og eksterne enheder.
- Udføre gennemgange efter hændelsen for at fastslå årsagen til informationssikkerhedshændelsen, udvikle korrigerende handlinger, revurdere risikoen, evaluere reaktionseffektiviteten og træffe passende afhjælpende foranstaltninger.
- Etablere og vedligeholde integration mellem hændelsesberedskabsplanen, katastrofeberedskabsplanen og forretningskontinuitetsplanen.