Informacijos saugos sąmoningumo ir mokymų politika

Informacijos saugos sąmoningumo ir mokymų politika (P08) nustato formalią, visoje organizacijoje taikomą sistemą, užtikrinančią, kad visas personalas, rangovai ir trečiųjų šalių paslaugų teikėjai suprastų savo informacijos saugumo atsakomybes. Ji nustato išsamius mokymus, kurie padeda laikytis ISO/IEC 27001:2022 ir kitų pirmaujančių pasaulinių sistemų. Dokumente aprašomas rizika grindžiamas požiūris, reikalaujantis, kad saugumo sąmoningumas būtų nuolat užtikrinamas per įvedimą į darbą, periodinius pakartotinius mokymus ir įvykiais grindžiamas mokymo taktikas, pritaikytas kintančioms grėsmėms ir reglamentavimo reikalavimams. Ši politika aiškiai apibrėžia taikymo sritį, nustatydama, kad visi naudotojai, turintys prieigą prie informacinių sistemų ar organizacijos patalpų, nesvarbu, ar tai vidiniai darbuotojai, laikini darbuotojai, rangovai ar tiekėjai, privalo dalyvauti. Reikalavimai apima pradinius saugumo sąmoningumo mokymus įvedimo į darbą metu, konkretiems vaidmenims skirtus modulius pareigoms, tokioms kaip kūrėjai ar aukštų privilegijų naudotojai, ir nuolatines informuotumo kampanijas. Teikimo mechanizmai apima elektroninį mokymą, instruktoriaus vedamas sesijas, simuliacijas ir multimedijos priemones, su privalomais metiniais pakartotiniais mokymais arba papildomais mokymais, kuriuos sukelia incidentai ar reikšmingi teisiniai / technologiniai pokyčiai. Išsamūs valdysenos reikalavimai užtikrina, kad visi naudotojai būtų mokomi naudojant prieinamą, įtraukiantį mokomąjį turinį, apimantį esmines temas, tokias kaip atsparumas fišingui, slaptažodžių higiena ir reglamentavimo įpareigojimai. Žmogiškieji ištekliai ir vyriausiasis informacijos saugumo pareigūnas (CISO) yra pagrindinės funkcijos, atsakingos už mokymų įrašų palaikymą, užtikrinimą, kad nauji darbuotojai ir pareigų keitėjai laikytųsi terminų, ir užbaigimo sekimą per mokymosi valdymo sistemą. Neatitiktis lemia progresines drausmines priemones – nuo automatinių priminimų iki prieigos teisių atšaukimo ir eskalavimo į Personalo skyrių. Nustatomos periodinės fišingo simuliacijos ir informuotumo kampanijos; jų rezultatai naudojami turinio tobulinimui ir tikslinio permokymo eskalavimui, kai rizikos kartojasi. Išimčių tvarkymas apibrėžiamas per dokumentuotą, rizika grindžiamą patvirtinimo procesą, o politika pabrėžia reguliarias politikos peržiūras, turinio atnaujinimus ir pasirengimą auditui, užtikrinant nuolatinį suderinamumą su ISO/IEC 27001, 27002, NIST SP 800-53, BDAR, NIS2, DORA ir COBIT 2019. Taip politika sudaro išmatuojamą, besikeičiančią apsaugą nuo su žmonėmis susijusių pažeidžiamumų, būtiną organizacijos atsparumui palaikyti.