7.3 Świadomość

W skrócie: każdy, kto pracuje dla organizacji, ma wiedzieć, że polityka istnieje, jaka jest jego rola w bezpieczeństwie i co się stanie, jeśli zasad nie przestrzega.

Czego wymaga norma

Osoby wykonujące pracę pod nadzorem organizacji muszą być świadome:

• polityki bezpieczeństwa informacji,
• swojego wkładu w skuteczność SZBI, w tym korzyści z lepszego bezpieczeństwa,
• konsekwencji niezgodności z wymaganiami SZBI.

W praktyce

• Kompetencje (7.2) dotyczą osób w określonych rolach i umiejętności. Świadomość (7.3) dotyczy wszystkich i wiedzy o zasadach.
• Audytor sprawdza to zwykle rozmową z losowym pracownikiem: „gdzie jest polityka?”, „komu zgłosisz podejrzanego maila?”.
• Powiązane zabezpieczenie: A 6.3 (świadomość, edukacja i szkolenia).

Co pokazać audytorowi

• program szkoleń wstępnych i okresowych,
• potwierdzenia zapoznania się z polityką,
• wyniki testów phishingowych lub quizów.