CERTIFIED INFORMATION SECURITY MANAGER (CISM)

• Dominio 1: Gobernanza de la seguridad de la información (24 %)
• 1.1 Seguridad de la información en consonancia con las metas y objetivos de la organización
• 1.2 Marco de gobierno de seguridad de la información para guiar las actividades
• 1.3 Gobernabilidad de la seguridad de la información en la gobernabilidad corporativa
• 1.4 Políticas de seguridad de la información para comunicar las directivas de la gerencia y guiar el desarrollo de estándares, procedimientos y lineamientos.
• 1.5 Casos de negocio para apoyar las inversiones en seguridad de la información.
• 1.6 Identificar las influencias internas y externas de la organización
• 1.7 Compromiso de la alta dirección y el apoyo de otras partes interesadas
• 1.8 Funciones y responsabilidades de la seguridad de la información
• 1.9 Establecer, monitorear, evaluar y reportar métricas (por ejemplo, indicadores clave de objetivos [KGI], indicadores clave de desempeño [KPI], indicadores clave de riesgo [KRI])
• Dominio 2: Cumplimiento y gestión de riesgos de la información (33 %)
• 2.1 Proceso de clasificación de activos de información
• 2.2 Requisitos legales, reglamentarios, organizativos y otros aplicables
• 2.3 Garantizar que las evaluaciones de riesgos, las evaluaciones de vulnerabilidades y los análisis de amenazas se realicen de manera periódica y consistente
• 2.4 Opciones apropiadas de tratamiento del riesgo para gestionar el riesgo a niveles aceptables.
• 2.5 Controles de seguridad de la información para determinar si son apropiados y si mitigan el riesgo de manera efectiva a un nivel aceptable.
• 2.6 Brecha entre los niveles de riesgo actual y deseado para gestionar el riesgo a un nivel aceptable.
• 2.7 Gestión de riesgos de la información en los procesos comerciales y de TI
• 2.8 Riesgo existente para garantizar que los cambios se identifiquen y gestionen adecuadamente.
• 2.9 Reportar el incumplimiento y otros cambios en el riesgo de la información a la gerencia adecuada
• Dominio 3: Desarrollo y gestión de programas de seguridad de la información (25 %)
• 3.1 Programa de seguridad de la información alineado con la estrategia de seguridad de la información.
• 3.2 Alineación entre el programa de seguridad de la información y otras funciones comerciales (por ejemplo, recursos humanos [HR], contabilidad, adquisiciones y TI) para respaldar la integración con los procesos comerciales.
• 3.3 Identificar, adquirir, administrar y definir los requerimientos de recursos internos y externos
• 3.4 Establecer y mantener arquitecturas de seguridad de la información
• 3.5 Establecer, comunicar y mantener estándares, procedimientos, pautas y otra documentación de seguridad de la información de la organización para respaldar y guiar el cumplimiento de las políticas de seguridad de la información.
• 3.6 Establecer y mantener un programa de concientización y capacitación en seguridad de la información
• 3.7 Integrar los requisitos de seguridad de la información en los procesos organizacionales
• 3.8 Integrar los requisitos de seguridad de la información en los contratos y actividades de terceros
• 3.9 Establecer, monitorear e informar periódicamente la gestión del programa y las métricas operativas
• Dominio 4: Gestión de incidentes de seguridad de la información (18 %)
• 4.1 Establecer y mantener una definición organizacional y una jerarquía de gravedad
• 4.2 Establecer y mantener un plan de respuesta a incidentes para garantizar una respuesta eficaz y oportuna
• 4.3 Procesos para asegurar la identificación oportuna
• 4.4 Procesos para investigar y documentar los incidentes de seguridad de la información
• 4.5 Procesos de escalamiento y notificación de incidentes
• 4.6 Organizar, capacitar y equipar equipos para responder de manera efectiva a incidentes de seguridad de la información
• 4.7 Probar y revisar periódicamente el plan de respuesta a incidentes para garantizar una respuesta eficaz a los incidentes de seguridad de la información
• 4.8 Establecer y mantener planes y procesos de comunicación
• 4.9 Realizar revisiones posteriores al incidente para determinar la causa raíz de los incidentes de seguridad de la información, desarrollar acciones correctivas, reevaluar el riesgo, evaluar la eficacia de la respuesta y tomar las medidas correctivas apropiadas.
• 4.10 Establecer y mantener la integración entre el plan de respuesta a incidentes, el plan de recuperación ante desastres y el plan de continuidad del negocio.