CISM (Certified Information Security Manager), ISACA tarafından verilen ve bir kişinin bir güvenlik programını kurma ile yönetme yetkinliğine sahip olduğunu belgeleyen sertifikadır. Ağırlığı teknik uygulamada değil, güvenliği iş hedefleriyle hizalayan yönetsel kararlarda toplanır; hedef kitlesi güvenlik yöneticileri ve yönetici adaylarıdır.

CISM, bir güvenlik denetimini nasıl yapacağını değil, bir güvenlik programını iş hedefleriyle nasıl yöneteceğini belgeleyen yönetsel bir sertifikadır.

Yönetsel Odak

CISM’in ekseni, teknik bir işi yapan değil o işi yönlendiren rolü tarifler. Sertifika, bir güvenlik stratejisini kurmayı, kaynakları önceliklendirmeyi ve güvenliği üst yönetimin anladığı dille ifade etmeyi ölçer. Bu yönüyle içeriği, bir kurumun bilgi güvenliğini süreçlerle kurumsallaştıran Bilgi güvenliği yönetim sistemi mantığıyla doğrudan örtüşür.

Dört Bilgi Alanı

Sınav dört alan etrafında kurulur: bilgi güvenliği yönetişimi, bilgi riski yönetimi, güvenlik programının geliştirilmesi ile yönetimi ve olay yönetimi. Bu alanlar bir arada, bir yöneticinin stratejiden günlük olay müdahalesine kadar sorumluluk yelpazesini kapsar ve her biri karar verme becerisini test eder.

Riskin Merkeziliği

CISM’in yönetim anlayışında her karar bir risk değerlendirmesine dayanır; kaynak nereye ayrılacaksa, orada azaltılan riskin karşılığı gösterilebilmelidir. Bu yaklaşım, riski sistematik biçimde tanımlayıp önceliklendiren ISO/IEC 27005 risk yönetimi yöntemleriyle aynı zeminde ilerler ve sertifikanın gövdesini oluşturur.

CISSP ile Fark

CISM sık sık CISSP sertifikası ile birlikte değerlendirilir; ikisi de kıdemli profesyonellere yöneliktir ama vurguları ayrışır. CISSP daha geniş bir teknik ve mimari yelpazeyi kapsar, CISM ise programın yönetimine ve yönetişime odaklanır. Bir güvenlik ekibini büyütme ve yapılandırma sorumluluğu taşıyanlar için CISM’in Güvenlik ekibi kurma ve ölçekleme konularına yakınlığı belirleyici olur.

Bu yönetsel yetkinliğin somut karşılığı, güvenlik operasyonunun planlı biçimde olgunlaşmasıdır. Bir güvenlik programını süreç, ekip ve teknoloji ekseninde adım adım geliştirdiğimiz SOC olgunlaştırma çalışmaları, CISM’in öğrettiği yönetim disiplininin sahaya döküldüğü alandır.