ISO 27001:2022 Vedlegg A Kontroll 6.3

Hva er formålet med ISO 27001:2022 vedlegg A 6.3?

Målet med ISO 27001:2022 vedlegg A 6.3 er å garantere at personell og relevante interessenter er informert om og tilstrekkelig utdannet for å oppfylle deres informasjonssikkerhetsforpliktelser.

ISO 27001:2022 vedlegg A 6.3 beskriver spekteret av aktiviteter som er nødvendige for å sikre at personell har kunnskapen og ferdighetene som er nødvendige for å operere innenfor organisasjonens rammeverk for informasjonssikkerhet. Primært fokuserer denne vedlegg A-kontrollen på å øke bevisstheten om betydningen av informasjonssikkerhet, fremme god praksis og oppmuntre til samsvar med relevante retningslinjer og forskrifter.

Vedlegg A 6.3 Forklart

Informasjonssikkerhetsutdanning, bevissthet og opplæring er viktige komponenter i en organisasjons risikostyringsstrategi og bør innlemmes i sikkerhetspolicyen. Ved å gi ansatte kunnskapen og verktøyene de trenger, kan organisasjoner sikre at deres sikkerhetstiltak er effektive.

ISO 27001:2022 vedlegg A 6.3 skisserer nødvendigheten av at virksomheter har et bevisstgjøringsprogram for informasjonssikkerhet for å gi alt personell passende kunnskap og evner til å ivareta informasjonsressurser. Den gir råd om hva som bør inkluderes i et produktivt bevisstgjøringsprogram.

Organisasjonen må kanskje tilby opplæring i sikkerhetsbevissthet minst én gang i året, eller som risikovurderingen tilsier, til alt personell med tilgang til sensitive informasjonsressurser eller informasjonssystemer som lagrer, behandler eller overfører sensitive data.

Hva er involvert og hvordan du oppfyller kravene

Organisasjoner må implementere en prosess som sikrer at ansatte er tilstrekkelig opplært til å utføre arbeidsoppgavene sine trygt og sikkert, uten at det går på bekostning av informasjonssikkerheten. Trening kan gjennomføres i økter, eller gjennom nettressurser som videoer eller webinarer. Vedlegg A 6.3 tilsier dette.

Informasjonssikkerhetsbevissthet, utdanning og opplæringsprogrammer bør utvikles i tråd med organisasjonens retningslinjer, temaspesifikke retningslinjer og relevante sikkerhetsprosedyrer. Dette bør vurdere informasjonen som trenger beskyttelse og sikkerhetskontrollene på plass for å beskytte den, og bør skje regelmessig.

Å introdusere bevissthet, utdanning og opplæring for både nye ansatte og de som går over til roller som trenger ulike sikkerhetsnivåer, er fordelaktig.

En bevissthetskampanje bør omfatte flere aktiviteter for å øke forståelsen. Dette kan dreie seg om kampanjer, hefter, plakater, nyhetsbrev, nettsider, informasjonsmøter, briefinger, e-læringsmoduler og e-poster.

I henhold til vedlegg A 6.3 bør dette programmet omfatte:

• Ledelsen er opptatt av å sikre informasjonssikkerhet på tvers av organisasjonen.
• Kjennskap til og etterlevelse av relevante informasjonssikkerhetsprosedyrer, inkludert sikkerhetspolicyen og eventuelle tilleggspolicyer, forskrifter, lover, kontrakter og avtaler vedrørende informasjonssikkerhet.
• Personlig ansvarlighet for egne handlinger og passivitet, ansvar for å beskytte informasjon som tilhører organisasjonen og dens interessenter; dette er viktig.
• Grunnleggende sikkerhetsprosedyrer som informasjonssikkerhet hendelsesrapportering (se vedlegg A 6.8) og grunnlinjekontroller som passordsikkerhet bør følges.
• Kontaktpunkter og ressurser for informasjonssikkerhet, inkludert tilleggsmateriell for informasjonssikkerhet.

Endringer og forskjeller fra ISO 27001:2013

ISO 27001:2022 er ikke en helt ny kontroll. Denne versjonen av ISO 27001, publisert i oktober 2022, oppdaterer forrige versjon ISO 27001:2013.

ISO 27001:2013 vedlegg A kontroll 7.2.2 mangler attributttabellen og formålserklæringen som er gitt i ISO 27001:2022 vedlegg A kontroll 6.3.

Til tross for variasjonen i kontrolltall, ser det ikke ut til å være andre forskjeller mellom de to vedlegg A-kontrollene. Selv om ordlyden av de to vedlegg A-kontrollene varierer, forblir deres betydning og formål den samme.

Annex A Control 6.3 ble designet for å være mer brukervennlig, slik at folk bedre kan forstå innholdet.

Tabell over alle ISO 27001:2022 vedlegg A kontroller

I tabellen nedenfor finner du mer informasjon om hver enkelt ISO 27001:2022 vedlegg A Kontroll.

Hvem er ansvarlig for denne prosessen?

Dette svaret avhenger av organisasjonen din. Mange organisasjoners sikkerhetsteam administrerer deres informasjonssikkerhetsbevissthet, undervisning og opplæringsprogrammer. Noen organisasjoner overlater imidlertid HR-avdelingen eller en annen avdeling til å håndtere det.

Det er viktig å sikre at noen tar ansvar for å formulere og utføre organisasjonens sikkerhetsbevissthetsprogram. Informasjonssikkerhetssjefen bør føre tilsyn med denne personen/avdelingen (hvis forskjellig fra dem selv).

Denne personen bør ha god kunnskap om informasjonssikkerhet og kunne snakke med ansatte om ulike sikkerhetsprotokoller. Videre skal de kunne lage innhold til treningsprogrammene dine og gjennomføre gjentakende opplæring for personell.

Det er viktig å forstå at informasjonssikkerhet ikke bare er IT-oppgaven. Alle ansatte skal holdes ansvarlige. Bedrifter bør opprette et team dedikert til sikkerhet, men de må også sikre at alle forstår betydningen av konfidensialitet og pålitelighet.

Hva betyr disse endringene for deg?

ISO 27001:2022 vedlegg A 6.3 er en revisjon av ISO 27001:2013 vedlegg A 7.2.2 og ikke en ny vedlegg A-kontroll. Følgelig vil de fleste organisasjoner ikke kreve å endre noe.

Hvis du allerede har implementert 2013-versjonen av ISO 27001, må du vurdere om disse endringene er relevante for din bedrift. På samme måte hvis du planlegger ISMS sertifisering, må du gjennomgå sikkerhetsprosessene dine for å garantere at de oppfyller den reviderte standarden.

Hvordan ISMS.Online hjelper

ISMS.online gir en helhetlig løsning for implementering av ISO 27001:2022. Det er en nettbasert plattform som gjør det mulig for organisasjoner å demonstrere at de overholder ISO 27001-standardene gjennom strømlinjeformede prosesser, prosedyrer og sjekklister.

Denne plattformen letter ikke bare implementeringen av ISO 27001, men gir også en utmerket ressurs for opplæring av personell i beste praksis for informasjonssikkerhet og dokumentering av all innsats.

Fordelene ved å bruke ISMS.Online er mange:

• Denne plattformen er enkel å bruke og kan nås fra alle enheter.
• Den er fullt justerbar for å passe dine behov.
• Tilpassede arbeidsflyter og prosesser for å passe dine forretningsbehov.
• Treningsressurser for å hjelpe nye medarbeidere til å oppnå ferdigheter raskere.
• Biblioteket inneholder maler for ulike dokumenter, inkludert retningslinjer, prosedyrer, planer og sjekklister.

ISMS.online effektiviserer implementering av ISO 27001, og tilbyr alle ressursene, informasjonen og verktøyene du trenger på ett sted. Bare noen få museklikk er alt som skal til for å sikre at ISMS oppfyller standarden.

Kontakt oss nå for å arrangere en demonstrasjon.