A 3 de novembro, o exame CISM muda.
Tem até 2 de novembro para fazer o exame que tem vindo a estudar. A partir dessa data, todos os exames seguem o Exam Content Outline atualizado.
A maior parte do que vai ler sobre isto é uma tabela de percentagens. As percentagens são a parte menos interessante.
O que mudou de facto
Os quatro domínios mantêm-se intactos. Governance, Risk Management, Program, Incident Management. Os mesmos nomes, a mesma ordem.
As ponderações moveram-se um único ponto em dois lugares. Information Security Governance passa de 17 para 18 por cento. Incident Management desce de 30 para 29. Risk Management mantém-se nos 20. Program mantém-se nos 33, continuando a ser o domínio com maior peso no exame.
É este o quadro completo em termos de números. O formato também não muda: 150 questões, quatro horas, nota mínima de 450 na escala de 200 a 800.
Depois há a parte que merece a sua atenção.
A ISACA adicionou duas novas áreas de conteúdo: enterprise architecture e information security architecture. E reforçou a ênfase do exame na estratégia de segurança da informação e no desenvolvimento de programas.
Porquê arquitetura, e porquê agora
A explicação da própria ISACA é de uma linha: a atualização reflete a necessidade de compreender as tecnologias sob a alçada de um gestor de segurança.
Leia novamente, porque é uma correção.
O CISM passou anos a ser apresentado como a certificação que se tira quando não se quer a vertente técnica. A via de gestão. Estratégia, governance, ownership de programas, conversas com o conselho de administração. Muita gente escolheu-o precisamente para se afastar dos diagramas.
O outline de 2026 fecha essa saída.
Não se pode governar o que não se consegue descrever. Um gestor de segurança que não consegue ler um diagrama de arquitetura não consegue determinar se um controlo está posicionado onde o risco de facto existe. Aprova designs que não acompanha, aceita risco residual que não consegue localizar, e valida um programa que parece completo no papel mas tem uma lacuna no centro.
E repare que a ISASA adicionou arquitetura enterprise, não apenas a de segurança. Esse é o pedido mais exigente. Significa compreender como a tecnologia do negócio se articula genuinamente, não apenas a camada de segurança que assenta por cima. As suas regras de firewall não são uma arquitetura. O que elas protegem é que é.
Isto resulta da Job Practice Analysis da ISACA, que inquire profissionais CISM em exercício. Não foi inventado por nenhuma comissão. Foram suficientes os profissionais que disseram que é isto o trabalho hoje.
Fazer antes ou fazer depois
Metade da indústria de formação passou setembro a dizer-lhe para se apressar. Repare em quem beneficia com isso.
A versão honesta tem três respostas.
Se estuda há meses e está próximo do objetivo. Faça-o antes de 3 de novembro. Domina os materiais atuais, construiu o modelo mental atual, e não há nada a ganhar em mudar de blueprint com três semanas no contador.
Se está a começar agora. Não o faça. Três semanas não é uma janela de preparação para o CISM a partir do zero, e reprovar num exame para ganhar ao calendário é uma forma cara de não poupar nada. Prepare-se devidamente, faça o exame com o novo outline, e trate o conteúdo de arquitetura como algo de que precisava de qualquer forma.
Se está algures entre os dois casos. Seja honesto quanto à sua preparação, não quanto à data. O prazo não é a variável que decide se passa.
Nota: O novo outline não é mais difícil. É uma evolução do mesmo modelo de gestão, com conteúdo adicionado que reflete o que a função já envolve. Uma alteração de ponderação de um ponto e duas áreas de conteúdo não são razão para marcar o exame em pânico quando não está preparado.
Se já possui o CISM
A sua certificação não é afetada. O outline regula o exame, não a credencial, e o seu ciclo de CPE continua exatamente como antes.
A direção de marcha continua a ser dirigida a si, no entanto.
Trate-o como uma avaliação de lacunas gratuita. Se enterprise architecture e information security architecture são as duas áreas que a ISACA acabou de decidir que um gestor de segurança precisa de compreender, e teria dificuldade em esboçar qualquer uma delas no quadro branco para a sua própria organização esta tarde, encontrou o seu próximo CPE.
Nota final
As atualizações de certificações dizem geralmente mais sobre a profissão do que sobre o exame.
Esta diz que a distância entre governar a segurança e compreendê-la deixou de ser aceitável. O gestor que discorria sobre apetite ao risco mas não conseguia nomear os sistemas que albergam os dados foi sempre um problema.
A partir de 3 de novembro, é um problema passível de ser examinado.
Onde isto é ensinado
O nosso curso CISM é construído com base no outline atualizado e está disponível em formato com instrutor ou em ritmo próprio. A próxima turma ao vivo decorre de 7 a 10 de dezembro, e a licença em ritmo próprio começa quando começar.
Para assinalar o lançamento, todos os cursos ISACA em ritmo próprio do catálogo estão disponíveis ao preço de parceiro. Esse processo é tratado caso a caso e não no checkout, por isso peça uma proposta e indique se é para um lugar individual ou para uma equipa.