بررسی اجمالی گواهینامه حرفه‌ای امنیت سیستم‌های اطلاعاتی (CISM) 

امروزه، دوره‌ها و گواهینامه‌های مختلفی در دنیای فناوری اطلاعات و امنیت وجود دارند که هریک مزایای خاص خود را دارند. در چند وقت اخیر گواهینامه CISM به یکی از مهم‌ترین دوره‌های موجود در بازار تبدیل گشته است. گواهینامه‌ای که قصد داریم به شکل اجمالی در این مطلب مورد بررسی قرار دهیم. گواهینامه CISM بر مدیریت امنیت اطلاعات، حکمرانی، مدیریت ریسک، و توسعه و مدیریت برنامه امنیت تمرکز دارد، اما پیش‌نیاز بزرگی در این زمینه وجود دارد که نباید به سادگی از کنار آن عبور کنید.  

پیش‌نیازهای مهم و زیرساختی گواهینامه CISM 

همان‌گونه که پیش‌تر اشاره کردیم، گواهینامه فوق بر مدیریت امنیت اطلاعات متمرکز است، اما یک کارشناس شبکه و امنیت تنها در صورتی قادر به دریافت گواهینامه مذکور خواهد بود که قبل از آن دانش تئوری و عملی خود در ارتباط با مباحث تخصصی و فنی را پشت سر گذاشته باشد. به بیان دقیق‌تر، مادامی که فرآیند مدیریت و پیکربندی تجهیزات سیسکو Package of Network+ & CCNA (200-301)، فرآیند پیکربندی فایروال‌های سوفوس (Sophos Firewall Administration) و فورتی‌نت (FortiGate Administration – NSE4)، نحوه کار تجهیزات ذخیره‌سازی دل (DELL EMC Unity Deep Dive) و اچ‌پی (HPE MSA Solution) و مباحث مرتبط با تست نفوذ و هک را پشت سر نگذاشته باشید، به سختی این مدرک جوابگوی نیازهای کاری شما خواهد بود. آکادمی مفتاح به پشتوانه بیش از دو دهه حضور فعال در حوزه اجرایی و آموزش‌های سازمانی در مقیاس کلان، تمامی این دوره‌ها و نکات فنی آن‌ها را به شکل تئوری و عملی به شما می‌آموزد تا بتوانید با خیال آسوده به فکر دریافت مدرک CISM باشید. با این مقدمه به سراغ معرفی مدرک فوق می‌رویم. 

تاریخچه و اهمیت CISM 

گواهینامه (CISM) سرنامCertified Information Security Manager  یکی از معتبرترین و شناخته‌شده‌ترین مدارک حرفه‌ای در حوزه مدیریت امنیت اطلاعات است که توسط انجمن حسابرسی و کنترل سیستم‌های اطلاعاتی (ISACA) ارائه می‌شود. گواهینامه CISM برای اولین بار در سال 2002 توسط ISACA معرفی شد و از آن زمان به یکی از استانداردهای جهانی در حوزه مدیریت امنیت اطلاعات تبدیل شده است. ISACA، به‌عنوان یک سازمان بین‌المللی با بیش از 140,000 عضو در سراسر جهان، تمرکز خود را بر ارائه استانداردها، گواهینامه‌ها و منابع آموزشی در زمینه حسابرسی، امنیت و مدیریت فناوری اطلاعات قرار داده است. CISM به‌طور خاص برای پر کردن شکاف بین مهارت‌های فنی و مدیریتی در حوزه امنیت سایبری طراحی شده است.  

برخلاف گواهینامه‌های فنی مانند CISSP که بیشتر بر جنبه‌های عملیاتی تمرکز دارند، CISM بر مهارت‌های مدیریتی و استراتژیک تأکید دارد و برای افرادی مناسب است که قصد دارند در نقش‌های ارشد مانند مدیر امنیت اطلاعات (CISO) یا مشاور امنیت فعالیت کنند. این گواهینامه برای متخصصانی طراحی شده است که در زمینه مدیریت، طراحی، نظارت و ارزیابی برنامه‌های امنیت اطلاعات در سازمان‌ها فعالیت می‌کنند. CISM با تمرکز بر مهارت‌های مدیریتی و استراتژیک، به افراد کمک می‌کند تا توانایی‌های خود را در حفاظت از اطلاعات حساس سازمان‌ها در برابر تهدیدات سایبری ارتقا دهند و به‌عنوان یک رهبر در حوزه امنیت سایبری شناخته شوند.  

حوزه‌های اصلی CISM 

CISM بر چهار حوزه اصلی تمرکز دارد که هر یک نقش کلیدی در مدیریت امنیت اطلاعات ایفا می‌کنند. اولین حوزه، مدیریت امنیت اطلاعات  (Information Security Governance)بر ایجاد چارچوب‌ها و سیاست‌هایی متمرکز است که تضمین می‌کند برنامه‌های امنیتی با اهداف کلان سازمان هم‌راستا هستند. این حوزه شامل توسعه استراتژی‌های امنیتی، تعریف نقش‌ها و مسئولیت‌ها، و اطمینان از پشتیبانی مدیریت ارشد است. دومین حوزه، مدیریت ریسک اطلاعات (Information Risk Management)، به شناسایی، ارزیابی و کاهش ریسک‌های امنیتی می‌پردازد. متخصصان در این حوزه باید بتوانند تهدیدات بالقوه را شناسایی کرده و اقدامات پیشگیرانه‌ای برای کاهش تاثیر آن‌ها طراحی کنند.  

سومین حوزه، توسعه و مدیریت برنامه‌های امنیتی  (Information Security Program Development and Management)، شامل طراحی، پیاده‌سازی و نظارت بر برنامه‌های امنیتی است که از دارایی‌های اطلاعاتی سازمان محافظت می‌کنند. این حوزه بر ایجاد تعادل بین امنیت، کارایی و هزینه‌ها تاکید دارد. در نهایت، مدیریت حوادث امنیتی  (Information Security Incident Management) به توانایی پاسخگویی و مدیریت حوادث امنیتی مانند نفوذهای سایبری یا نقض داده‌ها می‌پردازد. این حوزه شامل برنامه‌ریزی برای پاسخ به حوادث، بازیابی سیستم‌ها و یادگیری از تجربیات گذشته برای بهبود امنیت است. 

فرآیند دریافت CISM 

برای دریافت گواهینامه CISM، داوطلبان باید چندین مرحله را طی کنند. اولین پیش‌نیاز، داشتن حداقل پنج سال تجربه کاری در حوزه امنیت اطلاعات است که حداقل سه سال آن باید در یکی از حوزه‌های اصلی CISM باشد. تجربه در نقش‌های مدیریتی یا نظارتی نیز از اهمیت بالایی برخوردار است. بااین‌حال، ISACA امکان جایگزینی حداکثر دو سال از این تجربه را با مدارک تحصیلی یا گواهینامه‌های دیگر مانند CISA یا CISSP فراهم کرده است. مرحله بعدی، ثبت‌نام و قبولی در آزمون CISM است.  

این آزمون شامل 150 سؤال چندگزینه‌ای است و داوطلبان باید در مدت چهار ساعت به آن‌ها پاسخ دهند. سؤالات آزمون به‌گونه‌ای طراحی شده‌اند که دانش و توانایی داوطلب در مدیریت امنیت اطلاعات را در سناریوهای واقعی ارزیابی کنند. پس از قبولی در آزمون، داوطلبان باید درخواست رسمی برای دریافت گواهینامه را به ISACA ارسال کنند و تجربه کاری خود را مستندسازی کنند. در نهایت، برای حفظ گواهینامه، دارندگان CISM باید سالانه حداقل 20 ساعت آموزش مداوم (CPE) را تکمیل کنند و هزینه‌های سالانه حفظ گواهینامه را پرداخت کنند. 

مزایای دریافت CISM 

دریافت گواهینامه CISM مزایای متعددی برای متخصصان امنیت اطلاعات به همراه دارد. ابتدا، این گواهینامه به‌عنوان یک استاندارد جهانی شناخته می‌شود و اعتبار حرفه‌ای فرد را در بازار کار افزایش می‌دهد. سازمان‌ها و کارفرمایان اغلب به دنبال افرادی هستند که توانایی مدیریت استراتژیک امنیت اطلاعات را داشته باشند، و CISM این توانایی را به‌خوبی نشان می‌دهد. دوم این‌که، CISM به متخصصان کمک می‌کند تا مهارت‌های خود را در زمینه‌های کلیدی مانند مدیریت ریسک و پاسخ به حوادث بهبود دهند، که این امر می‌تواند به بهبود عملکرد سازمان و کاهش خسارات ناشی از حملات سایبری منجر شود.  

دارندگان CISM معمولا از درآمد بالاتری نسبت به همکاران خود برخوردار هستند. طبق گزارش‌های مختلف، متوسط حقوق سالانه یک مدیر امنیت اطلاعات با گواهینامه CISM در بسیاری از کشورها بیش از 120,000 دلار است. علاوه بر این، CISM به افراد کمک می‌کند تا شبکه حرفه‌ای خود را گسترش دهند، زیرا عضویت در ISACA دسترسی به منابع، رویدادها و انجمن‌ها را فراهم می‌کند. 

نقش CISM در توسعه حرفه‌ای 

CISM نه‌تنها یک گواهینامه است، بلکه یک ابزار توسعه حرفه‌ای برای متخصصان امنیت اطلاعات محسوب می‌شود. این گواهینامه به افراد کمک می‌کند تا دیدگاهی استراتژیک نسبت به امنیت اطلاعات پیدا کنند و به‌جای تمرکز صرف بر جنبه‌های فنی، بر مدیریت کلان و هم‌راستایی امنیت با اهداف سازمان تمرکز کنند. برای مثال، یک مدیر امنیت اطلاعات با گواهینامه CISM می‌تواند سیاست‌های امنیتی را به‌گونه‌ای طراحی کند که هم نیازهای فنی سازمان را برآورده کند و هم با بودجه و منابع موجود سازگار باشد. علاوه بر این، CISM به افراد کمک می‌کند تا مهارت‌های ارتباطی و رهبری خود را تقویت کنند، زیرا مدیریت امنیت اطلاعات نیازمند تعامل با مدیران ارشد، تیم‌های فنی و حتی شرکای خارجی است. این گواهینامه همچنین به متخصصان این امکان را می‌دهد که با آخرین روندها و تهدیدات سایبری آشنا شوند، زیرا ISACA منابع آموزشی و به‌روزرسانی‌های مداومی را برای دارندگان CISM فراهم می‌کند. 

چالش‌ها و ملاحظات 

با وجود مزایای فراوان، دریافت و حفظ گواهینامه CISM چالش‌هایی نیز به همراه دارد. آزمون CISM به دلیل پیچیدگی و تمرکز بر سناریوهای واقعی، برای بسیاری از داوطلبان دشوار است و نیازمند آمادگی جامع است. داوطلبان باید با مفاهیم مدیریتی و فنی آشنا باشند و بتوانند این دانش را در موقعیت‌های عملی اعمال کنند. علاوه بر این، الزام به آموزش مداوم و پرداخت هزینه‌های سالانه ممکن است برای برخی افراد چالش‌برانگیز باشد. بااین‌حال، این الزامات تضمین می‌کنند که دارندگان CISM همیشه با آخرین استانداردها و فناوری‌های امنیتی به‌روز هستند. همچنین، CISM ممکن است برای افرادی که صرفا به جنبه‌های فنی امنیت علاقه دارند مناسب نباشد، زیرا تمرکز آن بیشتر بر مدیریت و استراتژی است تا پیاده‌سازی فنی. 

نویسنده: حمیدرضا تائبی