CISM国际注册信息安全经理认证知识体系

CISM国际注册信息安全经理认证（Certified Information Security Manager）是ISACA 推出，专门为负责领导、规划和管理企业全面信息系统安全的资深管理人员设计的专业资格。CISM针对信息风险在业务应用的管理和相关问题的解决，而不是一个入门级别的专业认证。CISM为信息安全经理和信息安全管理职责的专业人员设计，提高企业总体的信息系统安全管理水平，向高级管理层确保，拥有CISM 专业资格认证的人员具有知识和能力提供有效的安全管理和咨询，以业务为导向，在应用于业务的管理，设计和技术安全问题强调信息风险管理概念。CISM不适用于信息系统审计人员，但对具有信息系统管理经验和责任的信息系统审计师有帮助。

认证机构

国际信息系统审计协会（ISACA）协助企业及信息技术领袖们创建一个信赖可靠、缔造优值的资讯及信息系统，其成员遍布 180 个国家，总数超过 115,000 人。ISACA 成立于 1969 年，为全球所有从事信息系统审计、鉴证、风险管理、隐私和治理领域的专业人士提供了倍受信赖之知识、社群、标准和职业发展的资源。ISACA 为网络安全专业人员提供了 Cybersecurity NexusTM，一个全面性的专业资源。

知识体系

第一章节：信息安全治理（24%）

第二章节：信息风险管理和合规性（33%）

第三章节：信息安全项目开发和管理（25%）

第四章节：信息安全事件管理（18%）

主要内容:

信息安全治理（24%）建立信息安全治理结构，以确保信息安全策略与业务目标一致，同时符合法律法规和监管要求；

信息安全治理概述

有效的信息安全治理

信息安全概念和技术

治理和第三方关系

信息安全治理度量

信息安全战略概要

开发信息安全战略

信息安全战略目标

确定风险现状

信息安全战略开发

战略资源

战略限制

战略行动计划

实施安全治理–范例

行动计划中期目标

信息安全项目群目标

信息风险管理和合规性（33%）建立信息安全风险管理体系，符合法律法规监管要求；

风险管理概要

风险管理战略

有效的信息安全风险管理

信息安全风险概念

实施风险管理

风险评估和分析方法

风险评估

信息资源定价

恢复时间目标（RTO）

集成生命周期过程

安全控制基线

风险监控和交流

培训和意识认知

文档

信息安全项目开发和管理（25%）设计，开发，实施和管理信息安全流程，建立信息安全管理框架；

信息安全项目群概述

有效的信息安全项目群开发

信息安全项目群概念

信息安全项目群范围和章程

信息安全管理框架

信息安全框架组件

定义信息安全项目群路线图

信息安全基础设施和架构

架构实施

安全项目群管理和行政管理活动

安全项目群服务和运营活动

控制和应对措施

安全项目群度量和监控

共同的信息安全项目群挑战

信息安全事件管理（18%）建立信息安全事件管理流程，应对突发事件并恢复；

事件管理概要

事件响应步骤

事件管理组织

事件管理资源

事件管理目标

事件管理度量和指标

定义事件管理步骤

事件响应能力现状

开发事件响应计划

业务持续和灾难恢复步骤

测试事件响应和业务连续/灾难恢复计划

执行响应和恢复计划

事件后活动和调查

备考资料

CISM Review Manua 2015（国际信息安全学习联盟中文版）

CISM Review Questions, Answers & Explanations Manual 2015

CISM Review Questions, Answers & Explanations Manual 2015 Supplement