ISO 27001:2022 bilaga A 6.3 – Informationssäkerhetsmedvetenhet, utbildning och utbildning

• Se ISO 27002:2022 Kontroll 6.3 för mer information.
• Se ISO 27001:2013 bilaga A 7.2.2 för mer information.

Vad är ISO 27001:2022 Annex A 6.3?

ISO 27001: 2022, bilaga A 6.3, Informationssäkerhetsmedvetenhet, utbildning och träning, betonar behovet av att personalen får lämplig instruktion i informationssäkerhet, inklusive regelbundna policyuppdateringar som är relevanta för deras roller.

Informationssäkerhetsmedvetenhet, utbildning och utbildning förklaras

Informationssäkerhetsmedvetenhet, utbildning och utbildning (IT-säkerhetsmedvetenhet) innebär att informera användarna om betydelsen av informationssäkerhet och inspirera dem att förbättra sina metoder för datorsäkerhet.

Användare måste informeras om de potentiella säkerhetsrisker som är förknippade med deras aktiviteter och utbildas om hur man skyddar sig mot dem.

Informationssäkerhetsmedvetenhet, utbildning och träning är avgörande för alla organisationers framgång. All personal måste förstå betydelsen av informationssäkerhet och de konsekvenser den får för alla.

Ju större förståelse personalen har för hur man skyddar sig från cyberfaror, desto säkrare blir din organisation.

Vad är syftet med ISO 27001:2022 bilaga A 6.3?

Målet med ISO 27001:2022 Annex A 6.3 är att garantera att personal och relevanta intressenter är informerade om och lämpligt utbildade för att uppfylla sina informationssäkerhetsåtaganden.

ISO 27001:2022 bilaga A 6.3 beskriver de aktiviteter som krävs för att säkerställa att personalen har den kunskap och de förmågor som krävs för att verka inom organisationens ramverk för informationssäkerhet. I första hand fokuserar denna kontroll av bilaga A på att öka medvetenheten om betydelsen av informationssäkerhet, förespråka god praxis och uppmuntra överensstämmelse med relevanta policyer och förordningar.

Bilaga A 6.3 Förklarat

Informationssäkerhetsutbildning, medvetenhet och utbildning är väsentliga komponenter i en organisations riskhanteringsstrategi och bör införlivas i säkerhetspolicyn. Genom att ge anställda den kunskap och de verktyg de behöver kan organisationer säkerställa att deras säkerhetsåtgärder är effektiva.

ISO 27001:2022 bilaga A 6.3 beskriver nödvändigheten för företag att ha ett program för informationssäkerhet för att ge all personal lämplig kunskap och förmåga att skydda informationsresurser. Den ger råd om vad som bör ingå i ett produktivt medvetenhetsprogram.

Organisationen kan behöva tillhandahålla utbildning i säkerhetsmedvetenhet minst en gång om året, eller enligt riskbedömningen, till all personal med tillgång till känsliga informationstillgångar eller informationssystem som lagrar, bearbetar eller överför känslig information.

Vad är inblandat och hur man uppfyller kraven

Organisationer måste implementera en process som säkerställer att anställda är tillräckligt utbildade för att utföra sina arbetsuppgifter säkert och säkert, utan att kompromissa med informationssäkerheten. Utbildning kan genomföras i sessioner eller genom onlineresurser som videor eller webbseminarier. Bilaga A 6.3 föreskriver detta.

Informationssäkerhetsmedvetenhet, utbildning och utbildningsprogram bör utvecklas i linje med organisationens policy, ämnesspecifika policyer och relevanta säkerhetsprocedurer. Detta bör ta hänsyn till den information som behöver skyddas och de säkerhetskontroller som finns för att skydda den, och bör ske regelbundet.

Att introducera medvetenhet, utbildning och träning för både nya medarbetare och de som övergår till roller som behöver olika säkerhetsnivåer är fördelaktigt.

En medvetenhetskampanj bör omfatta flera aktiviteter för att öka förståelsen. Det kan handla om kampanjer, häften, affischer, nyhetsbrev, webbplatser, informationstillfällen, genomgångar, e-lärande moduler och e-post.

Enligt bilaga A 6.3 bör detta program omfatta:

• Ledningen ägnar sig åt att säkerställa informationssäkerhet i hela organisationen.
• Kännedom om och efterlevnad av relevanta informationssäkerhetsrutiner, inklusive säkerhetspolicyn och eventuella ytterligare policyer, förordningar, lagar, kontrakt och avtal rörande informationssäkerhet.
• Personligt ansvar för egna handlingar och passivitets, ansvar för att skydda information som tillhör organisationen och dess intressenter; detta är viktigt.
• Grundläggande säkerhetsprocedurer som informationssäkerhetshändelserapportering (se bilaga A 6.8) och baslinjekontroller såsom lösenordssäkerhet bör följas.
• Kontaktpunkter och resurser för informationssäkerhet, inklusive ytterligare material för informationssäkerhet.

Ändringar och skillnader från ISO 27001:2013

ISO 27001:2022 är inte en helt ny kontroll. Denna version av ISO 27001, publicerad i oktober 2022, uppdaterar den tidigare versionen ISO 27001:2013.

ISO 27001:2013 bilaga A Kontroll 7.2.2 saknar attributtabellen och syftesförklaringen som finns i ISO 27001:2022 bilaga A kontroll 6.3.

Trots variationen i kontrollantal verkar det inte finnas någon annan skillnad mellan de två bilaga A-kontrollerna. Även om formuleringen av de två kontrollerna i bilaga A varierar, förblir deras innebörd och syfte desamma.

Bilaga A Kontroll 6.3 har utformats för att vara mer användarvänlig, vilket gör det möjligt för människor att bättre förstå dess innehåll.

Tabell över alla ISO 27001:2022 bilaga A kontroller

I tabellen nedan hittar du mer information om varje individ ISO 27001:2022 bilaga A Kontrollera.

Vem är ansvarig för denna process?

Detta svar beror på din organisation. Många organisationers säkerhetsteam hanterar sitt informationssäkerhetsmedvetande, undervisning och utbildningsprogram. Vissa organisationer anförtror dock HR-avdelningen eller en annan filial att sköta det.

Att se till att någon tar ansvar för att formulera och genomföra din organisations program för säkerhetsmedvetenhet är avgörande. Informationssäkerhetschefen bör övervaka denna person/avdelning (om annan än dem själva).

Denna person ska ha goda kunskaper om informationssäkerhet och kunna samtala med personalen om olika säkerhetsprotokoll. Vidare ska de kunna skapa innehåll till dina utbildningsprogram och genomföra återkommande utbildningar för personal.

Det är viktigt att förstå att informationssäkerhet inte bara är IT:s skyldighet. Alla anställda ska hållas ansvariga. Företag bör skapa ett team som ägnar sig åt säkerhet, men de måste också se till att alla förstår betydelsen av konfidentialitet och tillförlitlighet.

Vad betyder dessa förändringar för dig?

ISO 27001:2022 Annex A 6.3 är en revidering av ISO 27001:2013 Annex A 7.2.2 och inte en ny bilaga A-kontroll. Följaktligen kommer de flesta organisationer inte att behöva ändra något.

Om du redan har implementerat 2013 års version av ISO 27001 måste du utvärdera om dessa ändringar är relevanta för ditt företag. Likaså om du planerar ISMS certifiering måste du se över dina säkerhetsprocesser för att garantera att de uppfyller den reviderade standarden.

Hur ISMS.Online hjälper

ISMS.online ger en heltäckande lösning för implementering av ISO 27001:2022. Det är en webbaserad plattform som gör det möjligt för organisationer att visa att de följer ISO 27001-standarderna genom strömlinjeformade processer, procedurer och checklistor.

Denna plattform underlättar inte bara implementeringen av ISO 27001 utan ger också en utmärkt resurs för att utbilda personal om bästa praxis för informationssäkerhet och dokumentera alla ansträngningar.

Fördelarna med att använda ISMS.Online är många:

• Denna plattform är lätt att använda och kan nås från vilken enhet som helst.
• Den är helt justerbar för att passa dina behov.
• Anpassade arbetsflöden och processer för att passa dina affärsbehov.
• Utbildningsresurser för att hjälpa nya medarbetare att nå färdigheter snabbare.
• Biblioteket innehåller mallar för olika dokument, inklusive policyer, rutiner, planer och checklistor.

ISMS.online effektiviserar implementering av ISO 27001, som erbjuder alla resurser, information och verktyg du behöver på ett ställe. Bara några få klick med musen är allt som krävs för att säkerställa att ditt ISMS uppfyller standarden.

Kontakta oss nu för att arrangera en demonstration.