CISSP Certified Security Systems Security Professional

• Alineación de la función de seguridad con la estrategia comercial, las metas, la misión y los objetivos
• Procesos de la organización (por ejemplo, adquisiciones, desinversiones, comités de gobierno)
• Roles y responsabilidades de la organización
• Marcos de controles de seguridad
• Debido cuidado/Debida diligencia (Due care/due diligence)

• Requisitos contractuales, legales, estándares industriales y regulatorios
• Requisitos de privacidad

• Ciberdelitos y filtración de datos
• Requisitos de licencias y propiedad intelectual
• Controles de importación/exportación
• Flujo de datos transfronterizos
• Privacidad

• Código de ética profesional de (ISC)²
• Código de ética de la organización

• Desarrollar y documentar el alcance y el plan
• Análisis de impacto en el negocio (BIA)

• Comprobación de los candidatos y contratación
• Acuerdos y políticas laborales
• Procesos de incorporación y finalización
• Acuerdos y controles de proveedores, consultores y contratistas
• Requisitos de la política de cumplimiento
• Requisitos de la política de privacidad

• Identificar amenazas y vulnerabilidades
• Evaluación de riesgos/análisis
• Respuesta a los riesgos
• Selección e implementación de contramedidas
• Tipos de controles aplicables (por ejemplo, preventivo, de detención, correctivo)
• Evaluación del control de seguridad
• Monitorización y medición
• Valoración de activos
• Informes
• Mejora continua
• Marcos de riesgo

• Metodologías de modelado de amenazas
• Conceptos de modelado de amenazas

• Riesgos asociados con hardware, software y servicios
• Evaluación y seguimiento de terceros
• Requisitos mínimos de seguridad
• Requisitos de nivel de servicio

• Métodos y técnicas para presentar concienciación y capacitación
• Revisiones de contenido periódico
• Evaluación de efectividad del programa

• Clasificación de datos
• Clasificación de activos

• Propietarios de datos
• Procesadores de datos
• Remanencia de datos
• Limitación en la recogida de datos

• Comprender los estados de datos
• Alcance y ajuste
• Selección de estándares
• Métodos de protección de datos

• Sistemas basados en cliente
• Sistemas basados en servidor
• Sistemas de bases de datos
• Sistemas criptográficos
• Sistemas de control industrial (ICS)
• Sistemas basados en la nube
• Sistemas distribuidos
• Internet de las cosas (IoT)

• Ciclo de vida criptográfico (por ejemplo, gestion de claves, selección de algoritmos)
• Métodos criptográficos (por ejemplo, curvas elípticas simétricas, asimétricas)
• Infraestructura de clave pública (PKI)
• Métodos de gestión de claves
• Firmas digitales
• No repudio
• Integridad (por ejemplo, hashing)
• Comprender los métodos de ataques criptoanalíticos
• Gestión de derechos digitales (DRM)

• Armarios de cableado / instalaciones de distribución
• Salas de servidores / centros de datos
• Instalaciones de almacenamiento de medios
• Almacenamiento de evidencias
• Seguridad restringida y del área de trabajo
• Servicios públicos y calefacción, ventilación y aire acondicionado (HVAC)
• Cuestiones ambientales

Prevención, detección y supresión de incendios

• Modelos de Interconexión de Sistema Abierto (OSI) y Protocolo de Control de Transmisión /Protocolo de Internet (TCP / IP)
• Redes de Protocolo de Internet (IP)
• Implicaciones de los protocolos multicapa
• Protocolos convergentes
• Redes definidas por software
• Conexiones inalámbricas

• Funcionamiento del hardware
• Medios de transmission
• Dispositivos de control de acceso a la red (NAC)
• Seguridad en endpoints
• Redes de distribución de contenido

• Voz
• Colaboración multimedia
• Acceso remote
• Transmisión de datos
• Redes virtualizadas

• Información
• Sistemas
• Dispositivos
• Instalaciones

• Implementación de gestión de identidades
• Autenticación única / multifactor
• Responsabilidad
• Gestión de sesiones
• Registro y prueba de identidad
• Gestión de identidad federada (FIM)
• Sistemas de gestión de credenciales

• En las instalaciones
• En la nube
• Federado

• Control de acceso basado en roles (RBAC)
• Control de acceso basado en reglas
• Control de acceso obligatorio (MAC)
• Control de acceso discrecional (DAC)
• Control de acceso basado en atributos (ABAC)

• Revisión de acceso de usuario
• Revisión del acceso a la cuenta del Sistema
• Aprovisionamiento y desaprovisionamiento

• Internas
• Externas
• De terceros

• Evaluación de vulnerabilidades
• Pruebas de penetración
• Revisiones de registros
• Transacciones sintéticas
• Revisión y prueba de Código
• Prueba de caso de uso indebido
• Análisis de cobertura de prueba
• Pruebas de interfaz

• Gestión de cuentas
• Revisión y aprobación por parte de la dirección
• Indicadores clave de rendimiento y riesgo
• Datos de verificación de respaldo
• Capacitación y concienciación
• Recuperación de desastres (DR) y continuidad del negocio (BC)

• Internas
• Externas
• De terceros

• Recopilación y gestión de evidencias
• Informes y documentación
• Técnicas de investigación
• Procedimientos, tácticas y herramientas forenses digitales

• Administrativo
• Criminal
• Civil
• Regulatorio
• Estándares de la industria

• Detección y prevención de intrusions
• Información de seguridad y gestión de eventos (SIEM)
• Monitorización continua
• Control de salida

• Inventario de activos
• Gestión de activos
• Gestión de la configuración

• Necesidad de saber / menor privilegio
• Separación de tareas y responsabilidades
• Gestión de cuentas privilegiadas
• Rotación de tareas
• Ciclo de vida de la información
• Acuerdos de nivel de servicio (SLA)

• Gestión de medios
• Gestión de activos de hardware y software

• Detección
• Respuesta
• Mitigación
• Informes
• Recuperación
• Remediación
• Lecciones aprendidas

• Cortafuegos
• Sistemas de detección y prevención de intrusions
• Listas blancas / listas negra
• Servicios de seguridad proporcionados por tercero
• Sandboxing
• Honeypots/honeynets
• Anti-malware

• Estrategias de almacenamiento de respaldo
• Estrategias del sitio de recuperación
• Múltiples sitios de procesamiento
• Resistencia del sistema, alta disponibilidad, calidad de servicio (QoS) y tolerancia a fallos

• Respuesta
• Personal
• Comunicaciones
• Evaluación
• Restauración
• Capacitación y concienciación

• Read-through/tabletop
• Walkthrough
• Simulación
• Paralelas
• Interrupción complete

• Controles de seguridad perimetrales
• Controles de seguridad internos

• Capacitación y concienciación de seguridad
• Gestión de emergencias
• Coacción

• Metodologías de Desarrollo
• Modelos de madurez
• Operación y mantenimiento
• Gestión del cambio
• Equipo de producto integrado

• Seguridad de los entornos de software
• Gestión de la configuración como parte del código Seguro
• Seguridad de los repositorios de Código

• Auditoría y registro de cambios
• Análisis de riesgo y mitigación

• Debilidades de seguridad y vulnerabilidades en el nivel de código Fuente
• Seguridad de las interfaces de programación de aplicaciones
• Prácticas seguras de programación