Политика за осведоменост и обучение по информационна сигурност

Политика за осведоменост и обучение по информационна сигурност (P08) установява формална, организационно-широка рамка, за да гарантира, че целият персонал, изпълнители и агенти на трети страни разбират своите отговорности по информационна сигурност. Тя изисква всеобхватно обучение, което подпомага съответствието с ISO/IEC 27001:2022 и други водещи глобални рамки. Документът описва подход, базиран на риска, като изисква осведомеността по сигурността да се адресира непрекъснато чрез въвеждане, периодични опреснявания и обучение, задействано от събития, адаптирано към развиващите се заплахи и регулаторни изисквания. Тази политика предоставя ясен обхват, като определя, че всички потребители с достъп до информационни системи или съоръжения на организацията — независимо дали са вътрешни служители, временни работници, изпълнители или доставчици — трябва да участват. Изискванията включват въвеждащо обучение за осведоменост по сигурността при постъпване, ролево-специфични модули за позиции като разработчици или привилегировани потребители и кампании за повишаване на осведомеността. Механизми за предоставяне включват електронно обучение, присъствени инструктажи, симулации и мултимедийни активи, със задължителни ежегодни опреснявания или допълнително обучение, задействано от инциденти или значими правни/технологични промени. Подробните изисквания за управление гарантират, че всички потребители са насочвани чрез достъпно и приобщаващо образователно съдържание, покриващо ключови теми като устойчивост на фишинг, хигиена на паролите и регулаторни задължения. Функциите на отдел „Човешки ресурси“ и директор по информационна сигурност (CISO) са централни за поддържането на записи за завършено обучение, гарантирането, че новоназначените и лицата с промяна на ролята спазват крайните срокове, и проследяването на завършването чрез система за управление на обучението. Неспазването води до прогресивни дисциплинарни мерки — от автоматизирани напомняния до отнемане на достъп и ескалация към Човешки ресурси (ЧР). Изискват се фишинг симулации и кампании за повишаване на осведомеността; резултатите им насочват усъвършенстването на съдържанието и ескалацията на целенасочено повторно обучение при повторно установени рискове. Обработката на изключения е дефинирана чрез документирани изключения и процес на одобрение, базиран на риска, а политиката поставя силен акцент върху редовни прегледи на политиката, актуализации на съдържанието и одитна готовност, осигурявайки продължаващо съгласуване с ISO/IEC 27001, 27002, NIST SP 800-53, GDPR, NIS2, DORA и COBIT 2019. По този начин политиката подкрепя измерима, развиваща се защита срещу човешки свързани уязвимости, жизненоважна за поддържане на устойчивостта на организацията.