Politika podizanja svijesti i osposobljavanja o informacijskoj sigurnosti

Politika podizanja svijesti i osposobljavanja o informacijskoj sigurnosti (P08) uspostavlja formalni, organizacijski okvir kako bi svo osoblje, izvođači i agenti trećih strana razumjeli svoje odgovornosti u području informacijske sigurnosti. Propisuje sveobuhvatnu obuku koja podržava usklađenost s ISO/IEC 27001:2022 i drugim vodećim globalnim okvirima. Dokument opisuje pristup temeljen na riziku, zahtijevajući da se obuka o sigurnosnoj svijesti kontinuirano provodi kroz uvođenje u posao, periodičnu obnovnu obuku i taktike obuke potaknute događajima, prilagođene promjenjivim prijetnjama i regulatornim obvezama. Ova politika daje jasan opseg, navodeći da svi korisnici s pristupom informacijskim sustavima ili organizacijskim objektima, bilo da su interni korisnici, privremeni radnici, izvođači ili dobavljači, moraju sudjelovati. Zahtjevi uključuju inicijalnu obuku o sigurnosnoj svijesti pri zapošljavanju, module osposobljavanja specifične za ulogu za pozicije poput razvijatelja ili korisnika s visokim ovlastima te kampanje podizanja svijesti. Mehanizmi isporuke obuhvaćaju e-učenje, brifinge licem u lice, simulacije i multimedijske sadržaje, uz godišnju obnovnu obuku ili dodatnu obuku pokrenutu incidentima ili većim pravnim/tehnološkim promjenama. Detaljni zahtjevi upravljanja osiguravaju da su svi korisnici vođeni pristupačnim i uključivim edukativnim sadržajem koji pokriva ključne teme kao što su otpornost na phishing, higijena lozinki i regulatorne obveze. Funkcije ljudskih resursa (HR) i glavni službenik za informacijsku sigurnost (CISO) ključne su za održavanje zapisa o završetku obuke, osiguravanje da novi zaposlenici i osobe s promjenama uloga poštuju krajnje rokove te praćenje dovršetka putem sustava za upravljanje učenjem. Neusklađenost dovodi do disciplinskih mjera koje se postupno pojačavaju, od automatiziranih podsjetnika do opoziva pristupa i eskalacije prema ljudskim resursima (HR). Periodične simulacije phishinga i kampanje podizanja svijesti obvezne su; njihovi rezultati usmjeravaju doradu sadržaja i eskalaciju ciljano ponovnog osposobljavanja kada se rizici ponavljano uočavaju. Postupanje s iznimkama definirano je kroz dokumentirane iznimke i proces odobravanja temeljen na riziku, a politika snažno naglašava redovite izmjene politika, ažuriranja sadržaja i spremnost za reviziju, osiguravajući kontinuirano usklađivanje s ISO/IEC 27001, 27002, NIST SP 800-53, GDPR, NIS2, DORA i COBIT 2019. Time politika podupire mjerljivu, evoluirajuću obranu od ranjivosti povezanih s ljudskim faktorom, ključnu za održavanje otpornosti organizacije.