ISO 27002:2022, Kontroll 6.3 – Informationssäkerhetsmedvetenhet, utbildning och utbildning

Vad är syftet med kontroll 6.3?

Syftet med Kontroll 6.3 är att säkerställa att personal och relevanta intressenter är medvetna om och är ordentligt utbildade för att fullgöra sitt informationssäkerhetsansvar.

Kontroll 6.3 omfattar en rad aktiviteter som hjälper till att säkerställa att människor har de kunskaper och färdigheter som krävs för att verka inom en organisations informationssäkerhet ramverk. Huvudfokus för detta kontrollen ligger på medvetandehöjande aktiviteter om vikten av informationssäkerhet, uppmuntra god praxis och främja efterlevnad av relevanta policyer och förfaranden.

Kontroll 6.3 Förklarat

Informationssäkerhetsmedvetenhet, utbildning och utbildning är en kritisk komponent i en organisations övergripande riskhanteringsstrategi och bör betraktas som en integrerad del av organisationens säkerhetspolicy.

Kontroll 6.3 definierar behovet för organisationer att ha ett program för informationssäkerhet som ger alla anställda nödvändiga kunskaper och färdigheter för att skydda informationstillgångar. Den ger vägledning om vad som bör ingå i ett effektivt medvetenhetsprogram.

Till exempel kan organisationen behöva anordna utbildning i säkerhetsmedvetenhet minst årligen, eller enligt riskbedömningen, för alla anställda och entreprenörer som har tilldelats roller där de har tillgång till känslig informationstillgångar eller annan typ av information system som lagrar, behandlar eller överför känslig information.

Vad är inblandat och hur man uppfyller kraven

Kravet för kontroll 6.3 är att en organisation ska ha en process för att säkerställa att anställda är adekvat utbildade i hur de utför sina arbetsuppgifter säkert och säkert på ett sätt som äventyrar inte informationssäkerheten. Detta kan uppnås genom träningspass. Det kan också uppnås med hjälp av onlineresurser som videor eller webbseminarier.

Informationssäkerhetsmedvetenhet, utbildning och utbildningsprogram bör utvecklas i enlighet med organisationens informationssäkerhetspolicy, ämnesspecifika policyer och relevanta informationssäkerhetsprocedurer. Den bör också ta hänsyn till organisationens information som ska skyddas och de informationssäkerhetskontroller som genomförs för att skydda den. Detta bör ske med jämna mellanrum.

Introduktionsmedvetenhet, utbildning och träning kan gälla nya medarbetare såväl som de som övergår till nya positioner eller uppgifter som kräver väsentligt olika nivåer av informationssäkerhet.

Upplysningskampanjen bör innehålla en mängd olika aktiviteter för att öka medvetenheten. Detta inkluderar kampanjer, häften, affischer, nyhetsbrev, webbplatser, informationssessioner, genomgångar, e-lärande moduler och e-post.

Enligt kontroll 6.3 ska detta program täcka:

• Ledningens engagemang för informationssäkerhet i hela organisationen;
• Kännedom om och efterlevnad av tillämpliga regler och skyldigheter för informationssäkerhet, inklusive informationssäkerhetspolicy och ämnesspecifika policyer, standarder, lagar, stadgar, förordningar, kontrakt och avtal;
• Personligt ansvar för egna handlingar och passivitet, allmänt ansvar för att säkra eller skydda information som tillhör organisationen och intresserade parter;
• Grundläggande informationssäkerhetsförfaranden [t.ex. rapportering av informationssäkerhetshändelser (6.8)] samt baslinjekontroller [till exempel lösenordssäkerhet];
• Ytterligare kontaktpunkter och resurser för ytterligare information och råd om informationssäkerhet frågor, inklusive ytterligare informationssäkerhetsmedvetandematerial.

Ändringar och skillnader från ISO 27002:2013

ISO 27002: 2022 är inte en helt ny kontroll. Denna version av ISO 27002, som publicerades i februari 2022, är en uppdatering av den tidigare versionen, som publicerades 2013. Som ett resultat av detta är kontroll 6.3 i ISO 27002:2022 inte en helt ny kontroll. Det är en något modifierad version av kontroll 7.2.2 i ISO 27002:2013.

Kontroll 7.2.2 i ISO 27002:2013 har inte en attributtabell eller en uppgift om syfte, som ingår i kontroll 6.3 i ISO 27002:2022-versionen.

Med det sagt, förutom förändringen i kontrollnummer, finns det ingen annan märkbar skillnad mellan de två kontrollerna. Trots det faktum att frasologin för de två kontrollerna skiljer sig åt, är innehållet och sammanhanget för de två kontrollerna i huvudsak desamma.

Språket i kontroll 6.3 gjordes för att vara mer användarvänligt, så att människor som kommer att använda standarden bättre ska kunna relatera till dess innehåll.

Vem är ansvarig för denna process?

Svaret på denna fråga beror på din organisation. I många organisationer hanteras program för informationssäkerhet, utbildning och utbildning av säkerhetsteamet. I andra organisationer sköts det av HR-avdelningen eller annan funktion.

Det viktiga är att se till att någon är ansvarig för att skapa och implementera din organisations program för säkerhetsmedvetenhet. Denna person eller avdelning bör också övervakas av informationssäkerhetschefen (om en annan person är ansvarig för denna roll).

Denna person bör ha en god förståelse för informationssäkerhet och kunna kommunicera med anställda om olika ämnen relaterade till bästa säkerhetspraxis. Denna person ska också kunna utveckla innehåll för dina utbildningsprogram och hålla regelbundna utbildningstillfällen för anställda.

Det är viktigt att förstå att informationssäkerhet inte bara är IT:s ansvar. Det är allas ansvar. Organisationer måste ha ett team av personer som ansvarar för säkerheten, men de måste också se till att alla förstår vikten av konfidentialitet och integritet.

Vad betyder dessa förändringar för dig?

Du behöver inte göra mycket eftersom ISO 27002: 2022 inte är en ny standard utan en revidering av 2013 års version. Det förväntas därför att de flesta organisationer inte kommer att behöva göra förändringar.

Men om du redan har implementerat 2013 års version av ISO 27002 måste du utvärdera om dessa ändringar är relevanta för din organisation. Du måste också se över dina säkerhetsprocesser om du är det planering för ISMS-certifiering. Detta kommer att säkerställa att dina processer är kompatibla med den granskade standarden.

Vår ISO 27002:2022-guide, tillgänglig för gratis nedladdning på vår webbplats, har ytterligare information om hur den nya ISO 27002 kan påverka din informationssäkerhetsverksamhet och ISO 27001 certifiering.

Hur ISMS.Online hjälper

ISMS.Online är en komplett lösning för implementering av ISO 27002. Det är ett webbaserat system som låter dig visa att ditt ledningssystem för informationssäkerhet (ISMS) är kompatibelt med de godkända standarderna med hjälp av genomtänkta processer, procedurer och checklistor.

Det är inte bara en lättanvänd plattform för att hantera din ISO 27002-implementering, utan också ett utmärkt verktyg för att utbilda din personal i bästa praxis och processer för informationssäkerhet, samt dokumentera alla dina ansträngningar.

Smakämnen Fördelar med att använda ISMS.Uppkopplad:

• Enkel att använda onlineplattform som kan nås från vilken enhet som helst.
• Det är helt anpassningsbart för att möta dina behov.
• Anpassningsbara arbetsflöden och processer för att passa dina affärsbehov.
• Utbildningsverktyg som hjälper nyanställda att komma igång snabbare.
• Ett bibliotek med mallar för dokument som policyer, procedurer, planer och checklistor.

ISMS.Online förenklar processen att implementera ISO 27002 genom att tillhandahålla alla nödvändiga resurser, information och verktyg på ett ställe. Det låter dig kontrollera att ditt ISMS uppfyller standarden med bara några få musklick, vilket annars skulle ta lång tid om det gjordes manuellt.

Vill du se den i aktion?

Hör av dig idag för att boka en demo.