ISO 27002:2022, valvonta 6.3 – Tietoturvatietoisuus, koulutus ja koulutus

Mikä on hallinnan tarkoitus 6.3?

Valvonta 6.3:n tarkoituksena on varmistaa, että henkilöstö ja asiaankuuluvat osapuolet ovat tietoisia tietoturvavelvollisuuksistaan ​​ja ovat asianmukaisesti koulutettuja täyttämään ne.

Valvonta 6.3 kattaa joukon toimintoja, jotka auttavat varmistamaan, että ihmisillä on tiedot ja taidot, joita tarvitaan toimiakseen organisaation sisällä. tietoturva puitteet. Pääpaino tässä Valvonta kohdistuu tietoturvan tärkeyttä koskevaan tietoisuuden lisäämiseen, kannustaa hyviä käytäntöjä ja edistää asiaankuuluvien käytäntöjen ja menettelyjen noudattamista.

Ohjaus 6.3 Selitetty

Tietoturvatietoisuus, koulutus ja koulutus ovat olennainen osa organisaation yleistä riskienhallintastrategiaa, ja niitä tulisi pitää kiinteänä osana organisaation turvallisuuspolitiikkaa.

Ohjaus 6.3 määrittelee, että organisaatioilla on oltava tietoturvatietoisuusohjelma, joka tarjoaa kaikille työntekijöille tarvittavat tiedot ja taidot suojata tietovarallisuutta. Se antaa ohjeita siitä, mitä tehokkaaseen tietoisuusohjelmaan tulisi sisällyttää.

Organisaatio saattaa esimerkiksi joutua järjestämään turvallisuustietoisuuskoulutuksen vähintään kerran vuodessa tai riskinarvioinnin edellyttämällä tavalla kaikille työntekijöille ja urakoitsijoille, joille on määrätty tehtäviä, joissa heillä on pääsy arkaluontoisiin tietoresursseihin tai muun tyyppiseen tietoon. järjestelmät, jotka tallentavat, käsittelevät tai siirtävät arkaluontoisia tietoja.

Mitä se sisältää ja kuinka vaatimukset täytetään

Valvonnan vaatimus 6.3 on, että organisaatiolla on oltava prosessi, jolla varmistetaan, että työntekijät ovat riittävästi koulutettuja suorittamaan työtehtävänsä turvallisesti ja turvallisesti siten, että ei vaaranna tietoturvaa. Tämä voidaan saavuttaa harjoitusten avulla. Se voidaan saavuttaa myös käyttämällä online-resursseja, kuten videoita tai webinaareja.

Tietoturvatietoisuus-, koulutus- ja koulutusohjelmia tulee kehittää organisaation tietoturvapolitiikan, aihekohtaisten linjausten ja asiaankuuluvien tietoturvamenettelyjen mukaisesti. Siinä tulee ottaa huomioon myös organisaation suojattavat tiedot ja niiden suojaamiseksi toteutetut tietoturvavalvontatoimenpiteet. Tämän pitäisi tapahtua säännöllisesti.

Johdantotietoisuus, koulutus ja koulutus voivat koskea uusia työntekijöitä sekä uusia tehtäviä tai tehtäviin siirtyviä vaativat merkittävästi erilaisia ​​tietoturvan tasoja.

Tietoisuuskampanjaan tulisi sisältyä erilaisia ​​tietoisuutta lisääviä toimintoja. Tämä sisältää kampanjat, kirjaset, julisteet, uutiskirjeet, verkkosivustot, tiedotustilaisuudet, tiedotustilaisuudet, e-oppimismoduulit ja sähköpostit.

Ohjauksen 6.3 mukaan tämän ohjelman tulisi kattaa:

• Johdon sitoutuminen tietoturvaan koko organisaatiossa;
• Sovellettavien tietoturvasääntöjen ja -velvoitteiden tuntemus ja noudattaminen, mukaan lukien tietoturvapolitiikka ja aihekohtaiset käytännöt, standardit, lait, säädökset, määräykset, sopimukset ja sopimukset;
• Henkilökohtainen vastuu omista teoistaan ​​ja toimimattomuudestaan, yleistä vastuuta organisaatiolle kuuluvien tietojen turvaamisesta tai suojaamisesta ja asianomaiset osapuolet;
• Perus tietoturvamenettelyt [esim. tietoturvatapahtumien raportointi (6.8)] sekä perusohjaukset [esimerkiksi salasanasuojaus];
• Muita yhteyspisteitä ja resursseja lisätietoihin ja tietoturvaan liittyviin neuvoihin asioita, mukaan lukien muut tietoturvatietoisuusmateriaalit.

Muutokset ja erot standardista ISO 27002:2013

ISO 27002: 2022 ei ole täysin uusi ohjaus. Tämä helmikuussa 27002 julkaistu ISO 2022 -versio on päivitys edelliseen versioon, joka julkaistiin vuonna 2013. Tästä johtuen ISO 6.3:27002:n ohjaus 2022 ei ole aivan uusi ohjaus. Se on hieman muokattu versio ohjausversiosta 7.2.2 ISO 27002:2013:ssa.

Ohjauksella 7.2.2 ISO 27002:2013:ssa ei ole attribuuttitaulukkoa tai tarkoitusta, jotka sisältyvät ISO 6.3:27002 -version ohjaukseen 2022.

Tästä huolimatta kontrollinumeron muutosta lukuun ottamatta näiden kahden kontrollin välillä ei ole muuta havaittavaa eroa. Huolimatta siitä, että näiden kahden kontrollin fraseologia eroaa, näiden kahden kontrollin sisältö ja konteksti ovat olennaisesti samat.

Control 6.3:n kieli tehtiin käyttäjäystävällisemmäksi, jotta standardia käyttävät ihmiset pystyvät paremmin samaistumaan sen sisältöön.

Kuka on vastuussa tästä prosessista?

Vastaus tähän kysymykseen riippuu organisaatiostasi. Monissa organisaatioissa tietoturvatietoisuus-, koulutus- ja koulutusohjelmia johtaa tietoturvatiimi. Muissa organisaatioissa sen hoitaa henkilöstöosasto tai jokin muu toiminto.

Tärkeintä on varmistaa, että joku on vastuussa organisaatiosi turvallisuustietoisuusohjelman luomisesta ja toteuttamisesta. Tietoturvapäällikön tulee myös valvoa tätä henkilöä tai osastoa (jos tästä roolista vastaa eri henkilö).

Tällä henkilöllä tulee olla hyvä ymmärrys tietoturvasta ja kyettävä kommunikoimaan työntekijöiden kanssa erilaisista turvallisuuden parhaisiin käytäntöihin liittyvistä aiheista. Tämän henkilön tulisi myös pystyä kehittämään sisältöä koulutusohjelmiisi ja pitämään säännöllisiä koulutustilaisuuksia työntekijöille.

On tärkeää ymmärtää, että tietoturva ei ole vain IT:n vastuulla. Se on jokaisen vastuulla. Organisaatioilla on oltava turvallisuudesta vastuussa olevien ihmisten tiimi, mutta niiden on myös varmistettava, että kaikki ymmärtävät luottamuksellisuuden ja eheyden tärkeyden.

Mitä nämä muutokset merkitsevät sinulle?

Sinun ei tarvitse tehdä paljon, koska ISO 27002: 2022 ei ole uusi standardi, vaan versio 2013-versiosta. Siksi odotetaan, että useimpien organisaatioiden ei tarvitse tehdä muutoksia.

Jos olet kuitenkin jo ottanut käyttöön vuoden 2013 ISO 27002 -version, sinun on arvioitava, ovatko nämä muutokset olennaisia ​​organisaatiollesi. Sinun on myös tarkistettava tietoturvaprosessisi, jos olet ISMS-sertifioinnin suunnittelu. Tämä varmistaa, että prosessisi ovat tarkistetun standardin mukaisia.

Verkkosivustoltamme ilmaiseksi ladattavissa oleva ISO 27002:2022 -opas sisältää lisätietoja siitä, kuinka uusi ISO 27002 voi vaikuttaa tietoturvatoimintoihisi ja ISO 27001 sertifioinnin.

Miten ISMS.Online auttaa

ISMS.Online on täydellinen ratkaisu ISO 27002 -toteutukseen. Se on verkkopohjainen järjestelmä, jonka avulla voit osoittaa, että tietoturvan hallintajärjestelmäsi (ISMS) on yhteensopiva hyväksyttyjen standardien kanssa käyttämällä hyvin harkittuja prosesseja, menettelyjä ja tarkistuslistoja.

Se ei ole vain helppokäyttöinen alusta ISO 27002 -toteutuksen hallintaan, vaan myös erinomainen työkalu henkilöstösi kouluttamiseen tietoturvan parhaista käytännöistä ja prosesseista sekä kaikkien ponnistelujesi dokumentoimiseen.

- ISMS:n käytön edut.Online:

• Helppokäyttöinen verkkoalusta, jota voi käyttää miltä tahansa laitteelta.
• Se on täysin muokattavissa tarpeidesi mukaan.
• Mukautettavat työnkulut ja prosessit yrityksesi tarpeiden mukaan.
• Koulutustyökalut, joiden avulla uudet työntekijät pääsevät vauhtiin nopeammin.
• Kirjasto malleja asiakirjoille, kuten käytännöille, menettelyille, suunnitelmille ja tarkistuslistoille.

ISMS.Online yksinkertaistaa ISO 27002:n käyttöönottoa tarjoamalla kaikki tarvittavat resurssit, tiedot ja työkalut yhdessä paikassa. Sen avulla voit tarkistaa, että ISMS täyttää standardin muutamalla hiiren napsautuksella, mikä muuten kestäisi kauan, jos se tehdään manuaalisesti.

Haluatko nähdä sen toiminnassa?

Ota yhteyttä jo tänään varaa esittely.