Der **CISM** konzentriert sich auf das Sicherheitsmanagement. Es ist die Zertifizierung der Wahl für Manager, die die Informationssicherheit eines Unternehmens entwerfen, überwachen und bewerten. Sie ist weniger technisch als CISSP und stärker auf Governance ausgerichtet.
Antwort : Die Festlegung der Wiederanlaufzeiten (RTO) und Wiederherstellungspunkte (RPO) für kritische Geschäftsprozesse.
Die Business Impact Analyse (BIA) ist ein Kernbestandteil des Business Continuity Managements (BCM). Sie identifiziert kritische Geschäftsprozesse und bewertet die Auswirkungen eines Ausfalls auf diese Prozesse, um daraus Recovery Time Objectives (RTO) und Recovery Point Objectives (RPO) abzuleiten.
Antwort : Die Minimierung der Auswirkungen eines Sicherheitsvorfalls und die Wiederherstellung des normalen Betriebs.
Ein Incident Response Plan (IRP) ist entscheidend für das Management von Sicherheitsvorfällen. Er definiert die Schritte, die ein Unternehmen unternehmen muss, um auf Sicherheitsverletzungen zu reagieren. Das Hauptaugenmerk liegt auf der schnellen und effektiven Eindämmung des Schadens und der Wiederherstellung der betroffenen Systeme und Dienste.
Antwort : Sicherstellung der Einhaltung von Sicherheitsrichtlinien und -verfahren.
Der Chief Information Security Officer (CISO) ist die höchste Position in der Informationssicherheit eines Unternehmens. Seine Hauptaufgabe ist die strategische Leitung und Überwachung des gesamten Sicherheitsökosystems, um die Vertraulichkeit, Integrität und Verfügbarkeit von Informationen zu gewährleisten und regulatorische Anforderungen zu erfüllen.
Antwort : Business-orientiertes Risikomanagement
Das Business-orientierte Risikomanagement ist ein strategischer Ansatz, der Risiken im Kontext der Unternehmensziele betrachtet. Anstatt sich nur auf technische Schwachstellen zu konzentrieren, analysiert er, wie ein Sicherheitsereignis die Fähigkeit des Unternehmens beeinträchtigen könnte, seine strategischen, operativen und finanziellen Ziele zu erreichen.
Antwort : Durchführung von Quizfragen oder simulierten Phishing-Kampagnen.
Schulungen zur Sensibilisierung für Informationssicherheit sind unerlässlich, um das menschliche Element in der Sicherheitsstrategie zu stärken. Ihre Wirksamkeit lässt sich am besten durch direkte Messungen wie Quizfragen oder simulierte Angriffe (z. B. Phishing) bewerten, die zeigen, ob die Mitarbeiter das Gelernte anwenden können.