Den komplette guide til hvordan man bliver en Certified Information Security Manager (CISM)

Hvad gør en CISM?

En CISM administrerer informationssikkerhedsprogrammer. Dette omfatter opstart, udvikling og vedligeholdelse af informationssikkerhedssystemer og -initiativer. Selvom det kan involvere nogle praktiske opgaver, er det meste af jobbet ledelsesmæssigt. Hvis du er mere interesseret i den tekniske side af informationssikkerhed, kan det at blive Certified Information Security Auditor (CISA) være at foretrække.

Du kan få en fornemmelse af, hvad en CISM gør fra den officielle ISACA CISM-eksamenindholdsoversigt. Den beskriver de nøgledomæner, underemner og opgaver, en CISM skal mestre for at bestå testen. Nogle af de vigtigste CISM-opgaver omfatter følgende:

• Identificer interne og eksterne påvirkninger til organisationen, der påvirker informationssikkerhedsstrategien
• Etabler og/eller vedligehold en informationssikkerhedsstrategi i overensstemmelse med organisatoriske mål og mål
• Etabler og/eller vedligehold en styringsramme for informationssikkerhed
• Etablere og vedligeholde informationssikkerhedspolitikker for at guide udviklingen af standarder, procedurer og retningslinjer
• Udvikle business cases til at understøtte investeringer i informationssikkerhed
• Få løbende engagement fra seniorledelsen og andre interessenter for at understøtte en vellykket implementering af informationssikkerhedsstrategien
• Definer, kommuniker og overvåg informationssikkerhedsansvar i hele organisationen og myndighedslinjerne
• Samle og præsentere rapporter til nøgleinteressenter om aktiviteterne, tendenserne og den overordnede effektivitet af informationssikkerhedsprogrammet
• Evaluer og rapporter informationssikkerhedsmålinger til nøgleinteressenter
• Etabler og/eller vedligehold informationssikkerhedsprogrammet i overensstemmelse med informationssikkerhedsstrategien
• Afstem informationssikkerhedsprogrammet med de operationelle mål
• Etablere og vedligeholde informationssikkerhedsprocesser og -ressourcer
• Etablere, kommunikere og vedligeholde organisatoriske informationssikkerhedspolitikker, standarder, retningslinjer, procedurer og anden dokumentation
• Etablere, fremme og vedligeholde et program for informationssikkerhedsbevidsthed og træning
• Integrer krav til informationssikkerhed i organisatoriske processer for at opretholde organisationens sikkerhedsstrategi
• Integrer krav til informationssikkerhed i eksterne parters kontrakter og aktiviteter
• Overvåg eksterne parters overholdelse af etablerede sikkerhedskrav
• Definer og overvåg styrings- og driftsmålinger for informationssikkerhedsprogrammet
• Etabler og/eller vedligehold en proces til identifikation og klassificering af informationsaktiver
• Identificer juridiske, lovgivningsmæssige, organisatoriske og andre gældende overholdelseskrav
• Deltag i og/eller overvåg risikoidentifikation, risikovurdering og risikobehandlingsprocessen
• Deltag i og/eller overvåg sårbarhedsvurderingen og trusselsanalyseprocessen
• Identificere, anbefale eller implementere passende risikobehandlings- og reaktionsmuligheder for at styre risikoen til acceptable niveauer baseret på organisatorisk risikoappetit
• Afgør, om informationssikkerhedskontroller er passende, og styr effektivt risici til et acceptabelt niveau
• Lette integrationen af informationsrisikostyring i forretnings- og it-processer
• Overvåg for interne og eksterne faktorer, der kan kræve revurdering af risiko
• Rapportér om informationssikkerhedsrisiko, herunder manglende overholdelse og ændringer i informationsrisiko, til nøgleinteressenter for at lette beslutningsprocessen for risikostyring
• Etabler og vedligehold en hændelsesplan i overensstemmelse med forretningskontinuitetsplanen og katastrofeberedskabsplanen
• Etabler og vedligehold en klassificerings- og kategoriseringsproces for informationssikkerhedshændelser
• Udvikle og implementere processer for at sikre rettidig identifikation af informationssikkerhedshændelser
• Etablere og vedligeholde processer til at undersøge og dokumentere informationssikkerhedshændelser i overensstemmelse med lovmæssige og regulatoriske krav
• Etablere og vedligeholde hændelseshåndteringsprocessen, herunder indeslutning, meddelelse, eskalering, udryddelse og genopretning
• Organiser, træne, udstyr og tildel ansvarsområder til hændelsesresponsteams
• Etablere og vedligeholde hændelseskommunikationsplaner og -processer for interne og eksterne parter
• Evaluer hændelsesstyringsplaner gennem test og gennemgang, herunder bordøvelser, tjeklistegennemgang og simuleringstest med planlagte intervaller
• Udfør gennemgange efter hændelsen for at lette kontinuerlige forbedringer, herunder rodårsagsanalyse, erfaringer, korrigerende handlinger og revurdering af risiko

Hvis disse lyder som opgaver, du ville nyde at udføre, så er det måske det rigtige for dig at blive en CISM. I de næste afsnit gennemgår vi præcis, hvad du skal gøre for at certificere som CISM.

CISM-certificering: krav, forudsætninger og omkostninger

Så hvordan får du CISM-certifikatet? Først skal du opfylde forudsætningerne. Disse omfatter mindst fem års erfaring med ledelse af informationssikkerhed. Du skal have opnået denne erfaring inden for 10 år efter at have ansøgt om CISM-certificeringen og ikke mere end fem år efter at have bestået CISM-eksamenen.

Der er dog måder at give afkald på op til to års erhvervserfaring. Følgende giver afkald på et års erfaring:

• Et helt års erfaring med administration af informationssystemer
• Et helt års erfaring med generel sikkerhedsledelse
• Kvalifikationsbaserede sikkerhedscertificeringer (f.eks. SANS Global Information Assurance Certification (GIAC), Microsoft Certified Systems Engineer (MCSE), CompTIA Security +, Disaster Recovery Institute Certified Business Continuity Professional (CBCP), ESL IT Security Manager)

For at give afkald på to års erfaring skal du have en af følgende:

• Certificeret informationssystemrevisor (CISA) med et godt omdømme
• Certificeret Information Systems Security Professional (CISSP) med et godt omdømme
• Postgraduate grad i informationssikkerhed eller et relateret område (f.eks. forretningsadministration, informationssystemer, informationssikring)

Når du opfylder kravene til erhvervserfaring, skal du acceptere at følge ISACAs Code of Professional Ethics . Det betyder, at du vil:

• Støt implementeringen af og tilskynd til overholdelse af passende standarder og procedurer for effektiv styring og styring af virksomhedens informationssystemer og teknologi, herunder: revision, kontrol, sikkerhed og risikostyring
• Udfør opgaverne med objektivitet, due diligence og professionel omhu i overensstemmelse med professionelle standarder
• Tjenere i interessenternes interesse på en lovlig måde, samtidig med at høje standarder for adfærd og karakter opretholdes og ikke miskreditere professionen eller foreningen
• Bevar privatlivets fred og fortroligheden af oplysninger, der er opnået i løbet af dine aktiviteter, medmindre videregivelse er påkrævet af juridisk autoritet. Sådanne oplysninger må ikke bruges til personlig fordel eller videregives til upassende parter.
• Bevar kompetencen inden for dine respektive områder og acceptere kun at udføre de aktiviteter, som du med rimelighed kan forvente at gennemføre med de nødvendige færdigheder, viden og kompetencer
• Informer relevante parter om resultaterne af det udførte arbejde, herunder offentliggørelse af alle væsentlige fakta, du kender, og som, hvis de ikke afsløres, kan forvrænge rapporteringen af resultaterne
• Støt den professionelle uddannelse af interessenter i at forbedre deres forståelse af styring og styring af virksomhedens informationssystemer og teknologi, herunder: revision, kontrol, sikkerhed og risikostyring

Derefter skal du tilmelde dig CISM-eksamenen. Eksamenen koster $575 for ISACA-medlemmer og $760 for ikke-medlemmer. Før du tilmelder dig, skal du sørge for, at der er et PSI-teststed i nærheden af dig (medmindre du vælger at tage eksamen online med fjernkontrol). Der er 1.300 PSI-lokationer over hele verden. Fra det tidspunkt, du tilmelder dig eksamen, har du et år til at tage den, hvorefter du mister berettigelsen til at opnå certificeringen.

CISM-eksamenen har 150 multiple-choice-spørgsmål på tværs af fire CISM-domæner. Her er domænerne og den del af eksamensspørgsmålene, der falder ind under hvert:

• Informationssikkerhedsstyring (17 % af spørgsmålene)
• Risikostyring for informationssikkerhed (20 % af spørgsmålene)
• Informationssikkerhedsprogram (33 % af spørgsmålene)
• Hændelse af hændelser (30 % af spørgsmålene)

Du får fire timer til at gennemføre CISM-eksamenen. Så snart du er færdig, vil du se dine foreløbige testresultater, som fortæller dig, om du har bestået. For at bestå skal du score mindst 450 ud af 800 point. Dine detaljerede testresultater vil blive sendt til dig inden for 10 arbejdsdage.

Når du har bestået eksamen, kan du ansøge om CISM-certificering på ISACA-webstedet for 50 USD. Du skal ansøge om certificering inden for fem år efter bestået CISM-eksamen. ISACA filtrerer gennem ansøgninger i den rækkefølge, de modtages, så de vender tilbage til dig så hurtigt som muligt for at informere dig om, hvorvidt du er berettiget til CISM-certificeringen.

For at bevare CISM-certifikatet skal du også gennemføre 120 timers efteruddannelse (CPE) hvert tredje år. Dette er for at sikre, at du bevarer tilstrækkelig viden og færdigheder med hensyn til informationssikkerhedsstyring. ISACA tilbyder mange CPE-muligheder, herunder følgende:

• Konferencer (op til 32 CPE'er)
• Undervisningsuger (32 CPE'er)
• Online træning (op til 36 CPE'er om året)
• One-in-Tech uddannelsesbegivenheder (op til 36 CPE'er om året)
• On-demand læring (op til 28 CPE'er pr. kursus)
• Tidsskriftsquizzer (én CPE for hvert af seks tidsskrifter årligt)
• Frivilligt arbejde med ISACA (op til 20 CPE'er om året)
• Frivilligt arbejde med One in Tech (op til 20 CPE'er om året)
• Færdighedsbaseret træning/laboratorieaktiviteter

Der er også flere kvalificerende erhvervsuddannelsesaktiviteter, der kan tælle med i CPE'er, såsom følgende:

• ISACAs faglige uddannelsesaktiviteter og møder (ingen grænse)
• Ikke-ISACA faglige uddannelsesaktiviteter og møder (ingen grænse)
• Selvstudiekurser (ingen grænse)
• Sælger/markedsføringspræsentationer (10-timers årlig grænse)
• Undervisning/forelæsning/præsentation (ingen grænse)
• Udgivelse af artikler, monografier og bøger (ingen grænse)
• Udvikling og gennemgang af eksamensspørgsmål (ingen grænse)
• Bestå relaterede faglige eksamener (ingen grænse)
• Arbejde i ISACA-bestyrelser/-udvalg (20-timers årlig grænse)
• Bidrag til erhvervet (20-timers årlig grænse)
• Mentorordning (10-timers årlig grænse)

For flere detaljer om CPE-kravene kan du læse den fulde CPE-politik på ISACA-websted.

Så længe du følger trinene ovenfor og består CISM-eksamenen, er du garanteret at modtage CISM-certifikatet.

Er CISM bedre end CISSP?

Du ved måske, at ISACAs CISM ikke er den eneste cybersikkerhedscertificering. En anden populær cybersikkerhedslegitimation er CISSP (Certified Information Systems Security Professional) af (ISC)². Både CISM og CISSP er leverandørneutrale informationssikkerhedsstyringscertificeringer, der kræver fem års erfaring, men der er væsentlige forskelle.

CISM er ledelsesfokuseret og meget forretningsorienteret. Ingen af dets fire informationssikkerhedsdomæner (styring, risikostyring, sikkerhedsprogram eller hændelsesstyring) involverer tunge tekniske færdigheder. I modsætning hertil dækker CISSP-programmet både ledelsesmæssige og tekniske færdigheder. Så dens fokus er bredere. Faktisk spænder CISSP over otte informationssikkerhedsdomæneområder:

• Sikkerhed og risikostyring
• Aktivsikkerhed
• Sikkerhedsarkitektur og teknik
• Kommunikation og netværkssikkerhed
• Identity and Access Management (IAM)
• Sikkerhedsvurdering og -test
• Sikkerhedsoperationer
• Softwareudviklingssikkerhed

Når du forsøger at beslutte, om CISM eller CISSP er mere egnet for dig, skal du undersøge, hvordan de to eksamener adskiller sig. CISM koster $760 (eller $575 for ISACA-medlemmer), varer fire timer, inkluderer 150 multiple-choice spørgsmål og kræver 450 ud af 800 point for at bestå. CISSP koster $749, tager tre timer, har 100 til 150 spørgsmål og kræver 700 ud af 1.000 point for at bestå.

Her er nogle andre detaljer at overveje:

• For CISM skal du gennemføre 120 timers efteruddannelse hvert år for at holde dit certifikat aktivt, men for CISSP'er er det 120 timer hvert tredje år.
• På verdensplan er der omkring 28.000 CISM-certifikatindehavere sammenlignet med 136.428 CISSP-certifikatindehavere.
• Den gennemsnitlige CISM-løn er 131.209 USD, mens den gennemsnitlige CISSP-løn er 129.902 USD.

I sidste ende er det op til dig, om du vil vælge CISM eller CISSP. Den ene er ikke nødvendigvis bedre end den anden, og begge vil fremme din cybersikkerhedskarriere. Hvis du er interesseret i CISM og CISSP, kan du endda tjene dem begge!

Forskellen mellem CISM og CISA-certificering

En anden cybersikkerhedscertificering, du måske har overvejet, er CISA, som står for certificeret informationssystemrevisor. CISA og CISM har meget til fælles, men de har også vigtige forskelle. Lad os først gennemgå lighederne.

For det første er CISA og CISM begge udstedt af ISACA og akkrediteret af ANSI under ISO/IEC. De kræver begge fem års erhvervserfaring inden for informationssikkerhed samt en fire timers eksamen med 150 multiple-choice spørgsmål. I begge tilfælde koster eksamen $575 for ISACA-medlemmer og $760 for ikke-medlemmer.

Men de to certificeringer involverer også væsentlige forskelle. Mens CISA-certificeringen viser, at du kan revidere, kontrollere, overvåge og vurdere en organisations informationsteknologi og forretningssystemer, er CISM gearet mod informationssikkerhedsstyring, programudvikling og -styring samt hændelses- og risikostyring.

For at få en bedre fornemmelse af, hvordan CISA er anderledes, skal du overveje dets fem domæner:

• Revisionsproces for informationssystemer
• Governance og ledelse af IT
• Anskaffelse, udvikling og implementering af informationssystemer
• Informationssystemdrift og forretningsresiliens
• Beskyttelse af informationsaktiver

CISA er faktisk ISACAs længste certificering. Derfor er der mere end 140.000 CISA-indehavere, sammenlignet med kun omkring 28.000 CISM-certifikatindehavere. Gennemsnitslønnen for CISA'er er dog 106.267 USD, en smule lavere end 131.209 $ den gennemsnitlige CISM tjener.

For så vidt angår CISA-karriereforløb, omfatter almindelige CISA-jobstillinger:

• Intern revisor
• Offentlig regnskabsrevisor
• IS-analytiker
• IT-revisionschef
• IT-projektleder
• Sikkerhedsingeniør for netværksdrift
• Cybersikkerhedsprofessionel

I modsætning hertil har CISM-indehavere en tendens til at påtage sig roller på højere niveau som informationssikkerhedschefer, informationschefer, specialister i overholdelse af informationsrisikooverholdelse, informationssystemers sikkerhedsansvarlige og informations-/privatlivsrisikokonsulenter.

I sidste ende er den største forskel mellem CISA og CISM omfanget. CISA'er fokuserer mest på tekniske cybersikkerhedsfærdigheder, mens CISM'er fokuserer på at administrere et helt cybersikkerhedsprogram.

Hvad er den bedste måde at forberede sig til CISM-eksamenen?

Der er mange måder at forberede sig til CISM-eksamenen på. For at øge dine chancer for at bestå, er det klogest at anvende flere tilgange. Dette er vores bedste eksamensforberedelsestips, der hjælper dig med at få succes:

• Planlæg eksamen. Før du gør noget andet, skal du tilmelde dig CISM-eksamenen på ISACA-websted. Eksamenen er tilgængelig online med fjernkontrol eller personligt på et PSI-testcenter (der er 1.300 PSI-lokationer over hele verden). Uanset hvad, så sørg for at give dig selv god tid til at forberede dig.
• Opret en studieplan. Når du har fastsat en eksamensdato, er du klar til at udvikle en studieplan. Tag et kig på de fire CISM-domæner (styring, risikostyring, sikkerhedsprogram og hændelsesstyring) og del materialet op i håndterbare bidder. Vær opmærksom på hvert domænes vægtning og identificer områder, hvor du ikke er så stærk. Sørg for at dedikere en større mængde tid til de sværere emner og reducer hullerne i din viden. En veltilrettelagt studieplan er nøglen til ikke at løbe tør for forberedelsestid.
• Gennemgå det officielle ISACA-studiemateriale. ISACA har en masse gratis studieressourcer på sin hjemmeside. For eksempel er dens Oplysninger om eksamenskandidater indeholder oplysninger om eksamenstilmelding, deadlines, forberedelsesregler, administration, pointgivning, detaljer om eksamensdagen, omprøvepolitik og eksamenslængde, sprog og terminologi. Du kan også tjekke ISACAs forberedelsesmateriale til eksamen (bemærk, at CISM-eksamenen og eksamensindholdsoversigten blev opdateret på 1. juni 2020, så sørg for at have de mest opdaterede versioner).
• Tag et kursus. Ud over at bruge ISACAs studiemateriale, kan du drage fordel af tredjeparts CISM-eksamenforberedelseskurser. For eksempel kan du tage ISACA CISM CERTIFICATION boot camp-kurset af Readynez. Det varer kun fire dage, og du kan tage det virtuelt for 2.350 Euro. Kurset inkluderer alt kursusmateriale og en certificeringsgaranti! Andre kurser er i eget tempo og fokuserer på forskellige læringsmetoder: visuelt, skrive/læse, lytte og så videre. Vælg et kursus, der passer til din læringsstil.
• Lav øve eksamener. At studere kan kun bringe dig så langt. På et tidspunkt bør du tage en praksiseksamen for at vide, hvordan den faktiske oplevelse vil være. Giv dig selv en frist på fire timer til at simulere den virkelige oplevelse. Du kan finde mange gratis og betalte praksiseksamener online.
• Udvikle gode testfærdigheder. At klare sig godt på CISM-eksamenen er som enhver anden stor akademisk test. Det kræver gode prøvefærdigheder. Det betyder, at du skal tage tempoet i dig selv. Spring over spørgsmål, der forvirrer dig, og vend tilbage til dem senere. Hvis du ved, at nogle svar er forkerte, skal du bruge elimineringsprocessen til at identificere det mest sandsynlige. Læs spørgsmål med omhu og vær særlig opmærksom på udtryk som "MEST, MINDST, IKKE, ALLE, ALDRIG og ALTID", som kan ændre betydningen af et spørgsmål dramatisk. Bryd de fire timer op ved at få en drink vand eller gå en tur. Når du ikke kender svaret, så følg din mavefornemmelse. Der er ingen straf for forkerte svar, så du kan lige så godt gætte, hvornår du løber tør for tid. Tænk endelig som en informationssikkerhedschef. Det er trods alt det, eksamen tester dig på.
• Mød klar på eksamensdagen. Når eksamensdagen kommer, så sørg for at få en god nats søvn på forhånd og spis en god morgenmad. Ankom tidligt (30 minutter før tid er ideelt). Hvis du er mere end 15 minutter forsinket, vil du blive behandlet som fraværende. Og glem ikke at have et officielt id klar til at blive vist (acceptable former for id inkluderer dit kørekort, statsidentitetskort, pas, militær-id, grønt kort og nationalt id-kort). Hvis du misser eller fejler eksamen, skal du vente 30 dage for at tage den igen. Hvis du fejler igen, skal du vente 90 dage fra den første omprøve for at tage eksamen igen. Og hvis du fejler en tredje gang, skal du vente 90 dage fra din anden omprøve for at tage eksamen igen.

Hvis du følger alle disse forberedelsestip, har du en meget bedre chance for at bestå. Så begynd at forberede dig i dag, og du får en fremragende begyndelse!

Fordele ved at have en CISM-certificering

Nu hvor vi har dækket, hvordan man forbereder sig til og tager CISM-eksamenen, så lad os tale om fordelene ved at få dit CISM-certifikat. Her er et par stykker:

• Optjen en højere løn. Blandt dem, der tjener CISM, får 48 % et lønløft inden for et år. Mange af disse lønstigninger ligger i intervallet 20% til 25%. Så et CISM-certifikat er investeringen værd. Den gennemsnitlige CISM-løn er 131.209 USD.
• Få mere troværdighed. CISM er anerkendt over hele verden. Det vil hjælpe dig med at skille dig ud fra dine kolleger, når arbejdsgivere træffer beslutninger om ansættelse og forfremmelse.
• Udvid din viden. At tjene CISM vil selvfølgelig øge din beherskelse af feltet. Du skal ikke kun bevise dine færdigheder ved at bestå eksamen, men du skal have professionel erfaring på tværs af fem informationssikkerhedsdomæner.
• Fremryg din karriere. At tjene CISM hjælper dig med at flytte fra en teknisk rolle til en lederstilling. "Manager" står jo i navnet (certificeret informationssikkerhedschef). Hvis du har siddet fast i den samme position i lang tid, er CISM måske lige det, du har brug for for at rykke op i virksomheden.
• Forbedre din jobpræstation. Selvom du ikke nyder en forfremmelse med det samme, vil en CISM booste din jobpræstation. Til sidst vil dette imponere din arbejdsgiver og give dig en forfremmelse eller i det mindste en lønforhøjelse.
• Åbne netværksmuligheder. ISACA giver mange netværksmuligheder for CISM'er gennem arrangementer og efteruddannelsesprogrammer. Men selv uden for ISACA vil du opdage, at et CISM-certifikat vil åbne døre til joboplevelser, du aldrig har haft før.

Uanset hvilken måde du opdeler det, har det mange fordele at tjene et CISM-certifikat. Så undervurder ikke dens magt til at booste din cybersikkerhedskarriere.

Jobudsigter efter at have lavet en CISM-certificering? Karrierevej

Jobmulighederne for CISM-indehavere er betydelige. Tag et kig på disse statistikker rapporteret af National Initiativ for Cybersecurity Education (NICE):

• Der er en global mangel på 2,72 millioner cybersikkerhedsarbejdere.
• I gennemsnit mener 50 % af de adspurgte ansættelsesledere generelt ikke, at deres ansøgere er velkvalificerede, og yderligere 16 % er enten ude af stand til eller utilpas ved at træffe beslutningen.
• I november 2021 var der i alt 597.767 jobåbninger inden for cybersikkerhed og 1.053.468 i alt beskæftiget i cybersikkerhedsarbejdsstyrken.
• Mellem 2016 og 2026 vil computer- og matematiske erhverv vokse med 13,5 %, meget hurtigere end den gennemsnitlige jobvækst.

Det er ret klart, at cybersikkerhedsprofessionelle er i høj efterspørgsel, og efterspørgslen vil kun stige i fremtiden. Nogle almindelige karriereveje efter at have opnået dit CISM-certifikat inkluderer følgende:

• Informationssikkerhedschef – I denne stilling overvåger du hele en virksomheds informationsteknologi. Du sørger for, at virksomheden tager cybersikkerhed seriøst gennem antivirussoftware, stærke adgangskoder, firewalls, multi-factor authentication (MFA) og meget mere. Informationssikkerhedsansvarlige leder også regelmæssige cybersikkerhedskurser for at holde alle opdaterede og på samme side.
• Chief Information Officer—Dette er en højtplaceret ledende stilling, der fører tilsyn med informationsteknologi og it-specialister inden for en virksomheds it-sektion og hjælper med at sikre resultater, der understøtter virksomhedens mål. Dette omfatter tilsyn med den daglige vedligeholdelse af alle computersystemer (både hardware og software). Chief information officers skal også være agile og hurtige til at reagere på tendenser inden for cybersikkerhedsindustrien og skift inden for organisationen.
• Information Risk Compliance Specialist—Denne stilling er ansvarlig for at identificere og vurdere cybersikkerhedstrusler mod en organisation. Det involverer levering af intern kontroltest, revision, overvågning og risikostyring og -reduktion. Specialisten i overholdelse af informationsrisiko skaber risikostyringsmodeller til at vurdere eksponering og uddanner ledere, frontlinjemedarbejdere og andre ledere med hensyn til disse oplysninger. Dette sikrer, at organisationen ved, hvordan den skal reagere på trusler og bevarer en konkurrencefordel.
• Sikkerhedsansvarlig for informationssystem – I denne stilling overvåger du en organisations informationsteknologisystem, søger efter sikkerhedstrusler og etablerer protokoller for at neutralisere dem. Du hjælper også med at vedligeholde og opdatere antivirussoftware for at blokere trusler. For at gøre dette skal informationssystemsikkerhedsansvarlige forstå sikkerhedsrammer, besidde gode problemløsnings- og analytiske færdigheder og være i stand til at uddanne andre om trusler mod informationssikkerhed på en enkel måde.
• Konsulent for informations-/privatlivsrisiko—I denne rolle hjælper du med at overvåge og vurdere informationssikkerhedsprogrammer ved at udvikle databeskyttelsesprogrammer, oprette og opdatere privatlivspolitikker og -procedurer og hjælpe med at reducere eller eliminere risiko som meget som muligt. Konsulenter for informations- og privatlivsrisiko skræddersy deres politikanbefalinger til hver enkelt organisations unikke behov.

Og listen fortsætter. Der er mange andre stillinger, som CISM kommer til nytte for. Dette skyldes, at organisationer verden over sætter en præmie på CISM'er for deres dokumenterede ekspertise inden for informationssikkerhed og ledelsesknowhow. Så CISM'er har sjældent problemer med at finde velbetalte stillinger i store organisationer og virksomheder over hele kloden.

CISM Løn 2022

Hvor meget tjener CISM'er? Den gennemsnitlige CISM-løn i 2022 er 131.209 USD. Det er 63,08 USD i timen, 2.523 USD om ugen eller 10.934 USD om måneden.

Selvfølgelig varierer lønningerne for CISM'er afhængigt af placering, færdighedsniveau og erfaring. De laveste registrerede lønninger er $80.000, og de højeste er $190.000. Det er $110.000. Topindtjenerne tjener i gennemsnit 174.000 USD, den 75. percentil tjener 150.000 USD, og den 25. percentil tjener 100.000 USD.

CISM jobpraksisområder

CISM-rollen spænder over mange jobpraksisområder. De vigtigste fire er informationssikkerhedsstyring, informationssikkerhedsrisikostyring, informationssikkerhedsprogram og hændelsesstyring. Lad os gennemgå de officielle beskrivelser af hvert jobpraksisområde fra ISACA-webstedet og hvad de involverer.

Informationssikkerhedsstyring

Informationssikkerhedsstyring omfatter virksomhedsledelse (herunder organisationskultur; juridiske, regulatoriske og kontraktmæssige krav; og organisatoriske strukturer, roller og ansvar) og informationssikkerhedsstrategi ( udvikling af informationssikkerhedsstrategi, informationsstyringsrammer og -standarder og strategisk planlægning).

Governance af informationssikkerhed handler om at forstå forholdet mellem ledelse og cybersikkerhedsresultater. Det betyder at forstå relationerne mellem informationssikkerhedsorganisation, design, strategi, processer, teknologi, menneskelige faktorer, kultur og arkitektur.

Det involverer også måling af værdien og effektiviteten af cybersikkerhedsforanstaltninger i forhold til deres resultater. Begrunder omkostningerne resultatet? En stor nøgle til dette er at forstå cybersikkerhedsmålinger og vide, hvordan man forklarer dem til den øverste ledelse.

Informationsrisikostyring

Informationsrisikostyring omfatter information sikkerhedsrisikovurdering (nyt risiko- og trussellandskab, sårbarheds- og kontrolmangelanalyse, risikovurdering og -analyse) og informationssikkerhedsrisikorespons (risiko) behandlings- og reaktionsmuligheder, risiko- og kontrolejerskab, risikoovervågning og -rapportering).

Vellykket informationsrisikostyring kræver, at du forstår en organisations risikostyringsstrategi, prioriteter og roller. Det kræver at kende truslerne, sårbarhederne, eksponeringerne og påvirkningen såvel som restitutionstidsmålet (RTO), recovery point goal (RPO), service delivery goals (SDO'er) og acceptable interruption window (AIW).

Disse metrics vil hjælpe dig med at balancere forretningsmæssige kompromiser mere effektivt, når du reagerer på trusler mod informationssikkerhed. Du skal bestemme omfanget og grænserne for informationsrisikostyring, udføre risikovurderinger og designe en risikobehandlingsplan. Det hjælper også med at sætte kontrolbaselines for at måle effektiviteten af din informationsrisikostyringsfunktion.

Informationssikkerhedsprogram

Informationssikkerhedsprogram involverer udvikling af informationssikkerhedsprogram (informationssikkerhedsprogramressourcer, identifikation og klassificering af informationsaktiver, industristandarder og rammer for informationssikkerhed, informationssikkerhedspolitikker, procedurer og retningslinjer og informationssikkerhed programmetrik) og informationssikkerhedsprogramstyring (design og udvælgelse af informationssikkerhedskontrol, implementering og integrationer af informationssikkerhedskontrol, test og evaluering af informationssikkerhedskontrol, informationssikkerhedsbevidsthed og uddannelse, styring af eksterne tjenester og information sikkerhedsprograms kommunikation og rapportering).

Udvikling og styring af et godt informationssikkerhedsprogram kræver god dokumentation, herunder et risiko- eller kontrolregister og årlige opgørelser over den aktuelle risikotilstand for organisationen.

Håndtering af hændelser

Hændelseshåndtering involverer beredskab til håndtering af hændelser (beredskabsplan for hændelser, analyse af forretningskontinuitet, plan for forretningskontinuitet, genopretningsplan, hændelsesklassificering/-kategorisering og træning, test og evaluering af hændelseshåndtering) og < strong>hændelseshåndteringsoperationer (hændelsesstyringsværktøjer og -teknikker, hændelsesundersøgelse og -evaluering, hændelsesinddæmningsmetoder, hændelsesresponskommunikation, hændelsesudryddelse og genopretning og praksis for gennemgang efter hændelse).

Mange betragter hændelseshåndtering som det vigtigste af de fire CISM jobpraksisområder. Dette skyldes, at en sikkerhedshændelse kan ødelægge din virksomhed. For at holde et godt greb om informationssikkerhedshændelser skal du identificere og indeholde dem hurtigt.

Dette giver mulighed for gendannelse af hændelser inden for et acceptabelt afbrydelsesvindue. Nogle teknologier, der kan hjælpe med dette, omfatter et netværkshændelsesdetektionssystem, værtsindtrængningsdetektionssystemer og system-, database-, operativsystem- og applikationslogfiler. Det er også vigtigt at opbevare beviser for sikkerhedsbrud, så de kan fremvises for domstolene i tilfælde af en retssag.

I sidste ende er der en bred vifte af jobpraksisområder, hvor du kan anvende din CISM-certificering. Vælg en, der passer bedst til dine talenter og interesser.

Bliv certificeret, og styrk din fremtid - tag dit valg

Hvis du er klar til at tage din informationssikkerhedskarriere til næste niveau, så bliv CISM-certificeret i dag! Du kan ansøge om certificering online ved at betale et ansøgningsgebyr på $50. Dette er et engangsgebyr, der ikke refunderes, så anvend kun, hvis du er forpligtet. Du skal også ansøge inden for fem år efter bestået CISM-eksamen. Hvis det lyder muligt, skal du trykke på send!

Husk endelig, at du også skal demonstrere det påkrævede minimum af fem års professionel erhvervserfaring inden for informationssikkerhed, overholde ISACA's kodeks for professionel etik og opretholde 120 timers efteruddannelse (CPE)-point hvert tredje år. Hvis du markerer alle felterne, er du godt på vej til at opnå CISM-certifikatet og have en succesfuld karriere inden for informationssikkerhedsstyring.

Tøv ikke med at kontakte os her, hvis der er noget, vi kan gøre for at støtte dig på din certificeringsrejse.