Formation CISM - Certified Information Security Manager

Domaine 1 — Gouvernance de la sécurité de l'information (24 %)

Établir et maintenir un cadre de gouvernance de la sécurité de l'information et les processus de soutien afin de s'assurer que la stratégie de sécurité de l'information est alignée sur les objectifs et les buts de l'organisation, que les risques liés à l'information sont gérés de manière appropriée et que les ressources du programme sont gérées de manière responsable.

• 1.1 Établir et maintenir une stratégie de sécurité de l'information alignée sur les objectifs et les buts de l'organisation pour guider l'établissement et la gestion continue du programme de sécurité de l'information.
• 1.2 Établir et maintenir un cadre de gouvernance de la sécurité de l'information pour guider les activités qui soutiennent la stratégie de sécurité de l'information.
• 1.3 Intégrer la gouvernance de la sécurité de l'information dans la gouvernance d'entreprise afin de s'assurer que les objectifs et les buts de l'organisation sont soutenus par le programme de sécurité de l'information.
• 1.4 Établir et maintenir des politiques de sécurité de l'information pour communiquer les directives de la direction et guider l'élaboration des normes, des procédures et des lignes directrices.
• 1.5 Élaborer des justifications commerciales pour soutenir les investissements en sécurité de l'information.
• 1.6 Identifier les influences internes et externes sur l'organisation (par exemple, technologie, environnement commercial, tolérance au risque, emplacement géographique, exigences légales et réglementaires) pour s'assurer que ces facteurs sont traités par la stratégie de sécurité de l'information.
• 1.7 Obtenir l'engagement de la haute direction et le soutien des autres parties prenantes pour maximiser la probabilité de mise en œuvre réussie de la stratégie de sécurité de l'information.
• 1.8 Définir et communiquer les rôles et les responsabilités de la sécurité de l'information dans toute l'organisation pour établir des responsabilités claires et des lignes d'autorité.
• 1.9 Établir, surveiller, évaluer et rendre compte des mesures de performance (par exemple, indicateurs clés des objectifs [KGIs], indicateurs clés de performance [KPIs], indicateurs clés de risque [KRIs]) pour fournir à la direction des informations précises sur l'efficacité de la stratégie de sécurité de l'information.

Domaine 2 — Gestion des risques et conformité en matière de sécurité de l'information (33 %)

Gérer les risques liés à l'information à un niveau acceptable pour répondre aux exigences commerciales et de conformité de l'organisation.

• 2.1 Établir et maintenir un processus d'identification et de classification des actifs de l'information pour s'assurer que les mesures prises pour protéger les actifs sont proportionnelles à leur valeur commerciale.
• 2.2 Identifier les exigences légales, réglementaires, organisationnelles et autres applicables pour gérer le risque de non-conformité à des niveaux acceptables.
• 2.3 S'assurer que les évaluations des risques, les évaluations des vulnérabilités et les analyses des menaces sont effectuées de manière périodique et constante pour identifier les risques liés à l'information de l'organisation.
• 2.4 Déterminer et mettre en œuvre des options de traitement des risques appropriées pour gérer les risques à des niveaux acceptables.
• 2.5 Évaluer les contrôles de sécurité de l'information pour déterminer s'ils sont appropriés et atténuent efficacement le risque à un niveau acceptable.
• 2.6 Intégrer la gestion des risques liés à l'information dans les processus commerciaux et TI (par exemple, développement, approvisionnement, gestion de projet, fusions et acquisitions) pour promouvoir un processus de gestion des risques lié à l'information cohérent et complet dans toute l'organisation.
• 2.7 Surveiller les risques existants pour s'assurer que les changements sont identifiés et gérés de manière appropriée.
• 2.8 Signaler les non-conformités et autres changements dans les risques liés à l'information à la direction compétente pour aider au processus de prise de décision en matière de gestion des risques.

Domaine 3 — Développement et gestion des programmes de sécurité de l'information (25 %)

Établir et gérer le programme de sécurité de l'information en alignement avec la stratégie de sécurité de l'information.

• 3.1 Établir et maintenir le programme de sécurité de l'information en alignement avec la stratégie de sécurité de l'information.
• 3.2 Assurer l'alignement entre le programme de sécurité de l'information et les autres fonctions commerciales (par exemple, ressources humaines [RH], comptabilité, approvisionnement et TI) pour soutenir l'intégration avec les processus commerciaux.
• 3.3 Identifier, acquérir, gérer et définir les exigences pour les ressources internes et externes pour exécuter le programme de sécurité de l'information.
• 3.4 Établir et maintenir des architectures de sécurité de l'information (personnel, processus, technologie) pour exécuter le programme de sécurité de l'information.
• 3.5 Établir, communiquer et maintenir les normes, procédures, lignes directrices et autres documents de sécurité de l'information de l'organisation pour soutenir et guider la conformité aux politiques de sécurité de l'information.
• 3.6 Établir et maintenir un programme de sensibilisation et de formation à la sécurité de l'information pour promouvoir un environnement sûr et une culture de la sécurité efficace.
• 3.7 Intégrer les exigences de sécurité de l'information dans les processus organisationnels (par exemple, contrôle des changements, fusions et acquisitions, développement, continuité des activités, récupération après sinistre) pour maintenir la ligne de base de la sécurité de l'organisation.
• 3.8 Intégrer les exigences de sécurité de l'information dans les contrats et les activités des tiers (par exemple, coentreprises, prestataires externalisés, partenaires commerciaux, clients) pour maintenir la ligne de base de la sécurité de l'organisation.
• 3.9 Établir, surveiller et rendre compte périodiquement des mesures de performance de la gestion du programme et opérationnelles pour évaluer l'efficacité et l'efficience du programme de sécurité de l'information.

Domaine 4 — Gestion des incidents de sécurité de l'information (18 %)

Planifier, établir et gérer la capacité de détecter, d'enquêter, de réagir et de récupérer des incidents de sécurité de l'information afin de minimiser l'impact sur les affaires.

• 4.1 Établir et maintenir un processus de classification et de catégorisation des incidents de sécurité de l'information pour permettre une identification précise et une réponse aux incidents.
• 4.2 Établir, maintenir et aligner le plan de réponse aux incidents avec le plan de continuité des activités et le plan de récupération après sinistre pour assurer une réponse efficace et opportune aux incidents de sécurité de l'information.
• 4.3 Développer et mettre en œuvre des processus pour assurer l'identification opportune des incidents de sécurité de l'information.
• 4.4 Établir et maintenir des processus pour enquêter et documenter les incidents de sécurité de l'information afin de pouvoir y répondre de manière appropriée et en déterminer les causes, tout en respectant les exigences légales, réglementaires et organisationnelles.
• 4.5 Établir et maintenir des processus de traitement des incidents pour s'assurer que les parties prenantes appropriées sont impliquées dans la gestion de la réponse aux incidents.
• 4.6 Organiser, former et équiper les équipes pour répondre efficacement aux incidents de sécurité de l'information dans un délai opportun.
• 4.7 Tester et revoir les plans de gestion des incidents périodiquement pour assurer une réponse efficace aux incidents de sécurité de l'information et améliorer les capacités de réponse.
• 4.8 Établir et maintenir des plans et des processus de communication pour gérer la communication avec les entités internes et externes.
• 4.9 Effectuer des revues post-incident pour déterminer la cause profonde des incidents de sécurité de l'information, élaborer des mesures correctives, réévaluer le risque, évaluer l'efficacité de la réponse et prendre des mesures correctives appropriées.
• 4.10 Établir et maintenir l'intégration entre le plan de réponse aux incidents, le plan de récupération après sinistre et le plan de continuité des activités.