ALREADY HAVE A CISM CERTIFICATION? 登录myisaca

What is covered on the CISM exam?

The Certified Information Security Manager® CISM(概述个人状况®) exam consists of 150 questions covering 4 job practice domains, 所有这些都是在专业人士的指导下，在现实生活中测试你的知识和能力.

以下是考生将测试的主要领域、子主题和任务:

17%
Domain 1 >

Information Security 治理
20%
Domain 2 >

Information Security Risk Management
33%
Domain 3 >

资讯保安计划
30%
Domain 4 >

事件管理
拿到你的考生指南 获取备考材料
挂证书

ISACA的承诺

自2002年成立以来, 超过45,000人获得了ISACA的CISM认证，以证明他们在信息安全治理方面的专业知识, program development and management, incident management and risk management. 该域, subtopics and tasks are the results of extensive research, 反馈, 并获得来自世界各地的主题专家和杰出行业领袖的认可.

Job practice areas tested for and validated by a CISM certification

17%域1 – INFORMATION SECURITY 治理

This domain will provide you with a thorough insight into the culture, regulations and structure involved in enterprise governance, as well as enabling you to analyze, plan and develop information security strategies. 总之，这将向利益相关者确认信息安全治理的高水平可信度.

一个澳门赌场官方下载治理

  1. 组织文化
  2. Legal, Regulatory and Contractual Requirements
  3. Organizational Structures, Roles and Responsibilities

B–INFORMATION SECURITY STRATEGY

  1. Information Security Strategy Development
  2. Information 治理 Frameworks and Standards
  3. 策略规划(e).g., Budgets, 资源, Business Case)

20%域2 – INFORMATION SECURITY RISK MANAGEMENT

此域使您能够分析和识别潜在的信息安全风险, 威胁和漏洞，以及为您提供有关识别和应对信息安全风险的所有信息，您将需要在管理层执行.

A–INFORMATION SECURITY RISK ASSESSMENT

  1. Emerging Risk and Threat Landscape
  2. Vulnerability and Control Deficiency Analysis
  3. 风险评估与分析

B–INFORMATION SECURITY RISK RESPONSE

  1. Risk Treatment / Risk Response Options
  2. 风险与控制
  3. 风险监察及报告

33%域3 -资讯保安计划

This domain covers the resources, 信息安全的资产分类和框架，以及授权您管理信息安全计划, 包括安全控制, 测试, comms and reporting and implementation.

A–INFORMATION SECURITY PROGRAM DEVELOPMENT

  1. 资讯保安计划 资源 (e.g.，人，工具，技术)
  2. Information Asset Identification and Classification
  3. Industry Standards and Frameworks for Information Security
  4. Information Security Policies, Procedures and Guidelines
  5. 资讯保安计划 Metrics

B–INFORMATION SECURITY PROGRAM MANAGEMENT

  1. Information Security Control Design and Selection
  2. Information Security Control 实现 and Integrations
  3. Information Security Control Testing and Evaluation
  4. Information Security Awareness and 培训
  5. Management of External Services (e.g., Providers, Suppliers, Third Parties, Fourth Parties)
  6. 资讯保安计划 Communications and Reporting

30%领域4 -事件管理

这个领域提供风险管理和准备方面的深入培训, 包括如何准备澳门赌场官方下载应对事件和指导恢复. 第二个模块涵盖事件管理的工具、评估和遏制方法.

事件管理准备情况

  1. 事件应变计划
  2. 业务影响分析(BIA)
  3. 业务连续性计划(BCP)
  4. 灾难恢复计划(DRP)
  5. Incident Classification/Categorization
  6. 事件管理 培训, Testing and Evaluation

B–INCIDENT MANAGEMENT OPERATIONS

  1. 事件管理 Tools and Techniques
  2. Incident Investigation and Evaluation
  3. 事件控制方法
  4. Incident Response Communications (e.g., Reporting, Notification, Escalation)
  5. Incident Eradication and Recovery
  6. 事后检讨措施

支持任务

  1. 识别影响信息安全策略的组织内部和外部影响.
  2. 建立和/或维护符合组织目标的信息安全策略.
  3. 建立和/或维护信息安全治理框架.
  4. Integrate information security governance into corporate governance.
  5. 建立和维护信息安全政策，以指导标准的制定, 程序及指引.
  6. Develop business cases to support investments in information security.
  7. 获得高层领导和其他利益相关者的持续承诺，以支持信息安全战略的成功实施.
  8. 定义, 沟通和监控整个组织和权限线的信息安全责任.
  9. Compile and present reports to key stakeholders on the activities, trends and overall effectiveness of the information security program.
  10. Evaluate and report information security metrics to key stakeholders.
  11. 根据信息安全策略建立和/或维护信息安全程序.
  12. 使信息安全计划与其他业务职能的运营目标保持一致.
  13. 建立和维护信息安全流程和资源，以执行信息安全计划.
  14. 建立, communicate and maintain organizational information security policies, 标准, 的指导方针, procedures and other documentation.
  15. 建立、推广和维护信息安全意识和培训计划.
  16. 将信息安全需求集成到组织流程中，以维护组织的安全策略.
  17. 将信息安全需求集成到合同和外部各方的活动中.
  18. 监控外部各方对既定安全需求的遵守情况.
  19. 定义和监控信息安全项目的管理和运营指标.
  20. 建立和/或维护信息资产识别和分类的过程.
  21. 识别法律、法规、组织和其他适用的合规要求.
  22. 参与和/或监督风险识别，风险评估和风险处理过程.
  23. 参与和/或监督漏洞评估和威胁分析过程.
  24. 识别, 建议或实施适当的风险处理和响应方案，以根据组织的风险偏好将风险管理到可接受的水平.
  25. 确定信息安全控制是否适当，是否有效地将风险管理到可接受的水平.
  26. 促进将信息风险管理集成到业务和IT流程中.
  27. 监控可能需要重新评估风险的内部和外部因素.
  28. Report on information security risk, including noncompliance and changes in information risk, 对主要利益相关者，以促进风险管理决策过程.
  29. 建立 and maintain an incident response plan, 与业务连续性计划和灾难恢复计划保持一致.
  30. 建立和维护信息安全事件分类和分类流程.
  31. 制定和实施流程，确保及时识别信息安全事件.
  32. 根据法律法规要求，建立并维护调查和记录信息安全事件的流程.
  33. 建立 and maintain incident handling process, 包括控制, 通知, 升级, 根除和恢复.
  34. 组织、培训、装备和分配事件响应小组的职责.
  35. 为内部和外部各方建立和维护事件沟通计划和流程.
  36. Evaluate incident management plans through 测试 and review, 包括桌面练习, checklist review and simulation 测试 at planned intervals.
  37. Conduct post-incident reviews to facilitate continuous improvement, 包括根本原因分析, 经验教训, corrective actions and reassessment of risk.

为考试做准备

ISACA提供各种备考资源，包括小组培训, 自定进度的培训和各种语言的学习资源，帮助您准备您的认证考试. Choose what works for your schedule and your studying needs.

ACCESS ALL CISM EXAM PREP MATERIALS

下载考试术语表

在准备CISM考试时，请浏览我们将在考试中出现的术语列表. 查看英语中的术语以及它们在其他语言中的显示方式.

简体中文 | 日本 | 西班牙语