Politika povědomí o bezpečnosti informací a školení

Politika povědomí o bezpečnosti informací a školení (P08) stanovuje formální, celopodnikový rámec, který zajišťuje, aby veškerý personál, dodavatelé a poskytovatelé služeb třetích stran rozuměli svým povinnostem v oblasti bezpečnosti informací. Vyžaduje komplexní školení, které podporuje soulad s ISO/IEC 27001:2022 a dalšími předními globálními rámci. Dokument popisuje program povědomí a školení založený na rizicích a vyžaduje, aby školení bezpečnostního povědomí bylo průběžně řešeno prostřednictvím procesu onboardingu, pravidelného opakovacího školení a školení řízeného událostmi přizpůsobeného vyvíjejícím se hrozbám a regulačním požadavkům. Tato politika poskytuje jasný rozsah a stanovuje, že všichni uživatelé s přístupem k informačním systémům nebo k objektům organizace, ať už interní uživatelé, dočasní pracovníci, dodavatelé nebo dodavatelé třetích stran, se musí účastnit. Požadavky specifikují nástupní školení bezpečnostního povědomí, školení podle rolí pro pozice jako vývojáři nebo uživatelé s vysokými oprávněními a průběžné kampaně na zvyšování povědomí. Doručovací mechanismy zahrnují e-learning, prezenční brífinky, simulace a multimediální materiály, s každoročním opakovacím školením nebo dodatečným školením spouštěným bezpečnostními incidenty nebo zásadními právními/technologickými změnami. Podrobné požadavky správy a řízení zajišťují, že všichni uživatelé jsou vedeni přístupným a inkluzivním vzdělávacím obsahem pokrývajícím klíčová témata, jako je odolnost vůči phishingu, hygiena hesel a regulační povinnosti. Funkce Lidských zdrojů (HR) a ředitel informační bezpečnosti (CISO) jsou klíčové pro vedení záznamů o absolvování školení, zajištění, že noví zaměstnanci a osoby se změnou role dodrží termíny splnění, a sledování dokončení prostřednictvím systému pro řízení výuky. Nesoulad vede k progresivním disciplinárním opatřením, od automatických připomínek až po odebrání přístupu a eskalaci na HR. Pravidelné phishingové simulace a kampaně na zvyšování povědomí jsou povinné; jejich výsledky řídí zpřesňování obsahu a eskalaci cíleného přeškolení tam, kde jsou rizika opakovaně zjišťována. Ošetření výjimek je definováno prostřednictvím dokumentovaného schvalovacího procesu školení na základě rizik a politika klade silný důraz na požadavky na přezkoumávání a aktualizaci, aktualizace obsahu a připravenost na audit, čímž zajišťuje trvalé sladění s ISO/IEC 27001, 27002, NIST SP 800-53, GDPR, NIS2, DORA a COBIT 2019. Politika tak podporuje měřitelnou, vyvíjející se obranu proti vnitřním hrozbám a lidsky podmíněným zranitelnostem, které jsou zásadní pro udržení odolnosti organizace.