ISO 27002:2022, Kontroll 6.3 – Informasjonssikkerhetsbevissthet, utdanning og opplæring

Hva er hensikten med kontroll 6.3?

Hensikten med Kontroll 6.3 er å sikre at personell og relevante interesserte parter er klar over og riktig opplært til å oppfylle deres informasjonssikkerhetsansvar.

Kontroll 6.3 dekker en rekke aktiviteter som bidrar til å sikre at folk har kunnskapen og ferdighetene som kreves for å operere innenfor en organisasjons informasjonssikkerhet rammeverk. Hovedfokuset i dette kontrollen er på bevisstgjørende aktiviteter om viktigheten av informasjonssikkerhet, oppmuntre til god praksis, og fremme overholdelse av relevante retningslinjer og prosedyrer.

Kontroll 6.3 Forklart

Informasjonssikkerhetsbevissthet, utdanning og opplæring er en kritisk komponent i en organisasjons overordnede risikostyringsstrategi og bør betraktes som en integrert del av organisasjonens sikkerhetspolicy.

Kontroll 6.3 definerer behovet for at organisasjoner har et bevisstgjøringsprogram for informasjonssikkerhet som gir alle ansatte nødvendig kunnskap og ferdigheter for å beskytte informasjonsressurser. Den gir veiledning om hva som bør inkluderes i et effektivt bevisstgjøringsprogram.

For eksempel kan organisasjonen trenge å sette i gang opplæring i sikkerhetsbevissthet minst årlig, eller som kreves av risikovurderingen, for alle ansatte og kontraktører som har blitt tildelt roller der de har tilgang til sensitive informasjonsressurser eller andre typer informasjon. systemer som lagrer, behandler eller overfører sensitive data.

Hva er involvert og hvordan du oppfyller kravene

Kravet til kontroll 6.3 er at en organisasjon skal ha en prosess for å sikre at ansatte får tilstrekkelig opplæring i hvordan de skal utføre sine arbeidsoppgaver trygt og sikkert på en måte som går ikke på akkord med informasjonssikkerheten. Dette kan oppnås gjennom treningsøkter. Det kan også oppnås ved å bruke nettressurser som videoer eller webinarer.

Informasjonssikkerhetsbevissthet, utdanning og opplæringsprogrammer bør utvikles i samsvar med organisasjonens informasjonssikkerhetspolicy, temaspesifikke retningslinjer og relevante informasjonssikkerhetsprosedyrer. Den bør også ta hensyn til organisasjonens informasjon som skal beskyttes og informasjonssikkerhetskontrollene som er implementert for å beskytte den. Dette bør skje med jevne mellomrom.

Introduksjonsbevissthet, utdanning og opplæring kan gjelde nye ansatte så vel som de som går over til nye stillinger eller oppgaver som krever vesentlig forskjellige nivåer av informasjonssikkerhet.

Bevisstgjøringskampanjen bør inkludere en rekke aktiviteter for å øke bevisstheten. Dette inkluderer kampanjer, hefter, plakater, nyhetsbrev, nettsider, informasjonsøkter, orienteringer, e-læringsmoduler og e-poster.

I henhold til kontroll 6.3 skal dette programmet dekke:

• Ledelsens forpliktelse til informasjonssikkerhet i hele organisasjonen;
• Kjennskap til og overholdelse av gjeldende informasjonssikkerhetsregler og forpliktelser, inkludert informasjonssikkerhetspolicy og emnespesifikke retningslinjer, standarder, lover, lover, forskrifter, kontrakter og avtaler;
• Personlig ansvarlighet for egne handlinger og passivitet, generelt ansvar for å sikre eller beskytte informasjon som tilhører organisasjonen og interesserte parter;
• grunn~~POS=TRUNC informasjonssikkerhetsprosedyrer [f.eks. hendelsesrapportering for informasjonssikkerhet (6.8)] samt baselinekontroller [for eksempel passordsikkerhet];
• Ytterligere kontaktpunkter og ressurser for ytterligere informasjon og råd om informasjonssikkerhet saker, inkludert ytterligere informasjonssikkerhetsbevissthetsmateriell.

Endringer og forskjeller fra ISO 27002:2013

ISO 27002: 2022 er ikke en helt ny kontroll. Denne versjonen av ISO 27002, som ble publisert i februar 2022, er en oppdatering til den forrige versjonen, som ble publisert i 2013. Kontroll 6.3 i ISO 27002:2022 er derfor ikke en helt ny kontroll. Det er en litt modifisert versjon av kontroll 7.2.2 i ISO 27002:2013.

Kontroll 7.2.2 i ISO 27002:2013 har ikke en attributttabell eller en formålserklæring, som er inkludert i kontroll 6.3 i ISO 27002:2022-versjonen.

Når det er sagt, bortsett fra endringen i kontrollnummer, er det ingen annen merkbar forskjell mellom de to kontrollene. Til tross for at fraseologien til de to kontrollene er forskjellig, er substansen og konteksten til de to kontrollene i hovedsak den samme.

Språket i kontroll 6.3 er laget for å være mer brukervennlig, slik at folk som skal bruke standarden bedre skal kunne forholde seg til innholdet.

Hvem er ansvarlig for denne prosessen?

Svaret på dette spørsmålet avhenger av din organisasjon. I mange organisasjoner administreres informasjonssikkerhetsbevissthet, utdanning og opplæring av sikkerhetsteamet. I andre organisasjoner håndteres det av HR-avdelingen eller en annen funksjon.

Det viktige er å sørge for at noen er ansvarlige for å skape og implementere organisasjonens sikkerhetsbevissthetsprogram. Denne personen eller avdelingen bør også overvåkes av informasjonssikkerhetssjefen (hvis en annen person er ansvarlig for denne rollen).

Denne personen skal ha god forståelse for informasjonssikkerhet og kunne kommunisere med ansatte om ulike temaer knyttet til beste praksis innen sikkerhet. Denne personen skal også være i stand til å utvikle innhold til treningsprogrammene dine og holde regelmessige treningsøkter for ansatte.

Det er viktig å forstå at informasjonssikkerhet ikke bare er IT-ansvaret. Det er alles ansvar. Organisasjoner må ha et team med personer som er ansvarlige for sikkerhet, men de må også sørge for at alle forstår viktigheten av konfidensialitet og integritet.

Hva betyr disse endringene for deg?

Du trenger ikke gjøre mye fordi ISO 27002: 2022 ikke er en ny standard, men en revisjon av 2013-versjonen. Det forventes derfor at de fleste organisasjoner ikke trenger å gjøre endringer.

Men hvis du allerede har implementert 2013-versjonen av ISO 27002, må du vurdere om disse endringene er relevante for din organisasjon. Du må også gjennomgå sikkerhetsprosessene dine hvis du er det planlegging for ISMS-sertifisering. Dette vil sikre at prosessene dine er i samsvar med den gjennomgåtte standarden.

Vår ISO 27002:2022-veiledning, tilgjengelig for gratis nedlasting på nettstedet vårt, har mer informasjon om hvordan den nye ISO 27002 kan påvirke informasjonssikkerhetsoperasjonene dine og ISO 27001 sertifisering.

Hvordan ISMS.Online hjelper

ISMS.Online er en komplett løsning for implementering av ISO 27002. Det er et nettbasert system som lar deg vise at styringssystemet for informasjonssikkerhet (ISMS) er kompatibelt med de godkjente standardene ved hjelp av gjennomtenkte prosesser, prosedyrer og sjekklister.

Det er ikke bare en brukervennlig plattform for å administrere din ISO 27002-implementering, men også et utmerket verktøy for opplæring av personalet i beste praksis og prosesser for informasjonssikkerhet, samt dokumentere all innsats.

De Fordeler med å bruke ISMS.På nett:

• Enkel å bruke nettplattform som kan nås fra alle enheter.
• Den er fullstendig tilpassbar for å møte dine behov.
• Tilpassbare arbeidsflyter og prosesser for å passe dine forretningsbehov.
• Opplæringsverktøy for å hjelpe nyansatte med å komme raskere i gang.
• Et bibliotek med maler for dokumenter som retningslinjer, prosedyrer, planer og sjekklister.

ISMS.Online forenkler prosessen med å implementere ISO 27002 ved å tilby alle nødvendige ressurser, informasjon og verktøy på ett sted. Den lar deg sjekke at ISMS-en din oppfyller standarden med bare noen få museklikk, noe som ellers ville tatt lang tid hvis det gjøres manuelt.

Vil du se den i aksjon?

Ta kontakt i dag for å bestill en demo.