7.2 Kompetencje

W skrócie: ludzie, od których zależy bezpieczeństwo, muszą umieć to, czego wymaga ich rola — i trzeba mieć na to dowody.

Czego wymaga norma

Organizacja musi:

• określić kompetencje potrzebne osobom, których praca pod jej nadzorem wpływa na bezpieczeństwo informacji,
• zapewnić, że osoby te są kompetentne dzięki wykształceniu, szkoleniu lub doświadczeniu,
• gdy trzeba — podjąć działania, żeby zdobyły brakujące kompetencje, i ocenić skuteczność tych działań,
• zachować udokumentowaną informację jako dowód kompetencji.

Działaniami mogą być np. szkolenia, mentoring, zmiana przydziału zadań albo zatrudnienie lub zakontraktowanie kompetentnych osób.

W praktyce

• „Pod jej nadzorem” obejmuje też kontraktorów i dostawców pracujących na rzecz organizacji.
• Ocena skuteczności to coś więcej niż lista obecności — np. test po szkoleniu, ocena przełożonego, wynik ćwiczenia z obsługi incydentu.
• Wygodne narzędzie to matryca kompetencji: rola — wymagane kompetencje — osoba — stan — plan uzupełnienia.

Co pokazać audytorowi

• opis wymaganych kompetencji dla kluczowych ról,
• certyfikaty, dyplomy, zaświadczenia ze szkoleń, CV,
• dowody oceny skuteczności szkoleń.