6.3 Świadomość, edukacja i szkolenia w zakresie bezpieczeństwa informacji
W skrócie: wszyscy pracownicy wiedzą, jak bezpiecznie pracować, a osoby w rolach technicznych i bezpieczeństwa mają szkolenia dopasowane do swoich zadań.
Cel: zapewnienie, że personel i odpowiednie strony zainteresowane znają swoje obowiązki w zakresie bezpieczeństwa informacji i potrafią je wypełniać.
Atrybuty
| Typ atrybutu | Wartości |
|---|---|
| Typ zabezpieczenia | #Preventive (prewencyjne) |
| Właściwości bezpieczeństwa informacji | #Confidentiality (poufność), #Integrity (integralność), #Availability (dostępność) |
| Koncepcje cyberbezpieczeństwa | #Protect (ochrona) |
| Zdolności operacyjne | #Human_resource_security (bezpieczeństwo zasobów ludzkich) |
| Domeny bezpieczeństwa | #Governance_and_Ecosystem (ład i ekosystem) |
Znaczenie atrybutów opisuje 4.2 Tematy i atrybuty.
Wytyczne
- Organizacja prowadzi program świadomości zgodny z polityką bezpieczeństwa, politykami tematycznymi i procedurami, uwzględniając informacje do ochrony i wdrożone zabezpieczenia.
- Program obejmuje działania uświadamiające (np. kampanie, biuletyny, strony internetowe) i jest regularnie aktualizowany, także o wnioski z incydentów (5.27).
- Treść obejmuje m.in.: zaangażowanie kierownictwa, potrzebę znajomości zasad i obowiązków, osobistą odpowiedzialność, podstawowe procedury (zgłaszanie zdarzeń — 6.8, hasła — 5.17, ochrona przed malware — 8.7, czyste biurko — 7.7), kontakty i źródła dodatkowej wiedzy.
- Edukacja i szkolenia są dopasowane do ról — np. dla zespołów technicznych obejmują konfigurację i utrzymanie bezpiecznych systemów. Organizacja ocenia, jakie umiejętności są potrzebne w danej roli.
- Szkolenia mogą mieć różne formy: kursy stacjonarne, e-learning, mentoring, konferencje.
- Organizacja ocenia zrozumienie przekazywanych treści — na zakończenie szkolenia i okresowo.
- Szkolenie odbywa się przy zatrudnieniu, przy zmianie roli i okresowo. Dotyczy też nowych pracowników zatrudnionych w środku cyklu szkoleniowego.
W praktyce
Przykłady i narzędzia poniżej to praktyka branżowa, nie treść normy.
- Krótkie, regularne moduły zamiast jednego długiego szkolenia raz w roku.
- Symulowane kampanie phishingowe z natychmiastową informacją zwrotną — mierzy się raczej odsetek zgłoszeń niż samą „klikalność”.
- Szkolenia z bezpiecznego programowania (zob. 8.28) dla zespołów deweloperskich.
Powiązania
- ISO/IEC 27001:2022: Załącznik A, A.6.3 — wykaz zabezpieczeń dotyczących ludzi; klauzula 7.2 Kompetencje; klauzula 7.3 Świadomość.
- Pokrewne zabezpieczenia: 5.4 Obowiązki kierownictwa, 5.27 Wyciąganie wniosków z incydentów bezpieczeństwa informacji, 6.8 Zgłaszanie zdarzeń bezpieczeństwa informacji, 7.7 Czyste biurko i czysty ekran.
- ISO/IEC 27002:2013: 7.2.2.