Gerente Certificado de Seguridad de la Información (CISM - Certified Information Security Manager)

Dominio 1: Gobernanza de la Seguridad de la Información (24%)

Establecer y mantener un marco de gobernanza de la seguridad de la información y procesos de soporte para asegurar que la estrategia de seguridad de la información esté alineada con los objetivos y metas de la organización, que el riesgo de la información se gestione adecuadamente y que los recursos del programa se administren de manera responsable.

• 1.1 Establecer y mantener una estrategia de seguridad de la información alineada con los objetivos y metas de la organización para guiar el establecimiento y la gestión continua del programa de seguridad de la información.
• 1.2 Establecer y mantener un marco de gobernanza de la seguridad de la información para guiar las actividades que respaldan la estrategia de seguridad de la información.
• 1.3 Integrar la gobernanza de la seguridad de la información en la gobernanza corporativa para asegurar que los objetivos y metas de la organización sean respaldados por el programa de seguridad de la información.
• 1.4 Establecer y mantener políticas de seguridad de la información para comunicar las directrices de la gerencia y guiar el desarrollo de estándares, procedimientos y directrices.
• 1.5 Desarrollar casos de negocio para apoyar las inversiones en seguridad de la información.
• 1.6 Identificar las influencias internas y externas en la organización (por ejemplo, tecnología, entorno empresarial, tolerancia al riesgo, ubicación geográfica, requisitos legales y regulatorios) para asegurar que estos factores sean abordados por la estrategia de seguridad de la información.
• 1.7 Obtener el compromiso de la alta dirección y el apoyo de otras partes interesadas para maximizar la probabilidad de una implementación exitosa de la estrategia de seguridad de la información.
• 1.8 Definir y comunicar los roles y responsabilidades de la seguridad de la información en toda la organización para establecer responsabilidades claras y líneas de autoridad.
• 1.9 Establecer, monitorear, evaluar e informar métricas (por ejemplo, indicadores clave de objetivos [KGIs], indicadores clave de desempeño [KPIs], indicadores clave de riesgo [KRIs]) para proporcionar a la gerencia información precisa sobre la efectividad de la estrategia de seguridad de la información.

Dominio 2: Gestión de Riesgos y Cumplimiento Normativo de la Información (33%)

Administrar el riesgo de la información hasta un nivel aceptable para cumplir con los requisitos de negocio y cumplimiento normativo de la organización.

• 2.1 Establecer y mantener un proceso de identificación y clasificación de activos de información para asegurar que las medidas adoptadas para proteger los activos sean proporcionales a su valor de negocio.
• 2.2 Identificar requisitos legales, regulatorios, organizacionales y otros aplicables para gestionar el riesgo de incumplimiento hasta niveles aceptables.
• 2.3 Asegurar que las evaluaciones de riesgo, evaluaciones de vulnerabilidades y análisis de amenazas se realicen periódicamente y de manera consistente para identificar riesgos para la información de la organización.
• 2.4 Determinar e implementar opciones de tratamiento de riesgos apropiadas para gestionar el riesgo hasta niveles aceptables.
• 2.5 Evaluar los controles de seguridad de la información para determinar si son apropiados y mitigan eficazmente el riesgo hasta un nivel aceptable.
• 2.6 Integrar la gestión de riesgos de la información en los procesos de negocio y TI (por ejemplo, desarrollo, adquisición, gestión de proyectos, fusiones y adquisiciones) para promover un proceso de gestión de riesgos de la información coherente y exhaustivo en toda la organización.
• 2.7 Monitorear los riesgos existentes para asegurar que los cambios sean identificados y gestionados adecuadamente.
• 2.8 Informar sobre el incumplimiento y otros cambios en el riesgo de la información a la gerencia correspondiente para asistir en el proceso de toma de decisiones de gestión de riesgos.

Dominio 3: Desarrollo y Gestión del Programa de Seguridad de la Información (25%)

Establecer y gestionar el programa de seguridad de la información en alineación con la estrategia de seguridad de la información.

• 3.1 Establecer y mantener el programa de seguridad de la información en alineación con la estrategia de seguridad de la información.
• 3.2 Asegurar la alineación entre el programa de seguridad de la información y otras funciones de negocio (por ejemplo, recursos humanos [RH], contabilidad, adquisición y TI) para apoyar la integración con los procesos de negocio.
• 3.3 Identificar, adquirir, gestionar y definir requisitos para recursos internos y externos para ejecutar el programa de seguridad de la información.
• 3.4 Establecer y mantener arquitecturas de seguridad de la información (personas, procesos, tecnología) para ejecutar el programa de seguridad de la información.
• 3.5 Establecer, comunicar y mantener estándares, procedimientos, directrices y otra documentación de seguridad de la información organizacional para apoyar y guiar el cumplimiento de las políticas de seguridad de la información.
• 3.6 Establecer y mantener un programa de conciencia y capacitación en seguridad de la información para promover un entorno seguro y una cultura de seguridad eficaz.
• 3.7 Integrar los requisitos de seguridad de la información en los procesos organizacionales (por ejemplo, control de cambios, fusiones y adquisiciones, desarrollo, continuidad del negocio, recuperación ante desastres) para mantener la línea base de seguridad de la organización.
• 3.8 Integrar los requisitos de seguridad de la información en los contratos y actividades de terceros (por ejemplo, empresas conjuntas, proveedores externalizados, socios de negocio, clientes) para mantener la línea base de seguridad de la organización.
• 3.9 Establecer, monitorear e informar periódicamente las métricas de gestión del programa y operativas para evaluar la efectividad y eficiencia del programa de seguridad de la información.

Dominio 4: Gestión de Incidentes de Seguridad de la Información (18%)

Planificar, establecer y gestionar la capacidad para detectar, investigar, responder y recuperarse de incidentes de seguridad de la información para minimizar el impacto en el negocio.

• 4.1 Establecer y mantener un proceso de clasificación y categorización de incidentes de seguridad de la información para permitir una identificación y respuesta precisas a los incidentes.
• 4.2 Establecer, mantener y alinear el plan de respuesta a incidentes con el plan de continuidad del negocio y el plan de recuperación ante desastres para asegurar una respuesta eficaz y oportuna a los incidentes de seguridad de la información.
• 4.3 Desarrollar e implementar procesos para asegurar la identificación oportuna de incidentes de seguridad de la información.
• 4.4 Establecer y mantener procesos para investigar y documentar incidentes de seguridad de la información para poder responder adecuadamente y determinar sus causas, cumpliendo con los requisitos legales, regulatorios y organizacionales.
• 4.5 Establecer y mantener procesos de manejo de incidentes para asegurar que las partes interesadas apropiadas estén involucradas en la gestión de la respuesta a incidentes.
• 4.6 Organizar, capacitar y equipar a los equipos para responder eficazmente a los incidentes de seguridad de la información de manera oportuna.
• 4.7 Probar y revisar periódicamente los planes de gestión de incidentes para asegurar una respuesta eficaz a los incidentes de seguridad de la información y mejorar las capacidades de respuesta.
• 4.8 Establecer y mantener planes y procesos de comunicación para gestionar la comunicación con entidades internas y externas.
• 4.9 Realizar revisiones posteriores al incidente para determinar la causa raíz de los incidentes de seguridad de la información, desarrollar acciones correctivas, reevaluar el riesgo, evaluar la efectividad de la respuesta y tomar las acciones correctivas apropiadas.
• 4.10 Establecer y mantener la integración entre el plan de respuesta a incidentes, el plan de recuperación ante desastres y el plan de continuidad del negocio.