Informatiebeveiligingsbewustzijns- en opleidingsbeleid

Het Informatiebeveiligingsbewustzijns- en opleidingsbeleid (P08) stelt een formeel, organisatiebreed kader vast om te waarborgen dat al het personeel, contractanten en derde-partijagenten hun verantwoordelijkheden voor informatiebeveiliging begrijpen. Het verplicht uitgebreide training ter ondersteuning van naleving van ISO/IEC 27001:2022 en andere toonaangevende wereldwijde raamwerken. Het document beschrijft een risicogeïnformeerde aanpak, waarbij beveiligingsbewustzijn continu wordt behandeld via onboarding, periodieke opfristraining en event-gedreven trainingstactieken die zijn afgestemd op veranderende dreigingen en wettelijke verplichtingen. Dit beleid biedt een duidelijke scope en bepaalt dat alle gebruikers met toegang tot informatiesystemen of faciliteiten van de organisatie—of het nu interne gebruikers, tijdelijke medewerkers, contractanten of derde-partijleveranciers zijn—moeten deelnemen. De eisen specificeren initiële bewustwordingstraining informatiebeveiliging bij indiensttreding, rolspecifieke training voor functies zoals ontwikkelaars of gebruikers met hoge bevoegdheden, en bewustwordingscampagnes. Leveringsmechanismen omvatten e-learning, briefings in persoon, simulaties en multimedia-assets, met een jaarlijkse opfriscursus of aanvullende training die wordt geactiveerd door beveiligingsincidenten of belangrijke juridische/technologische wijzigingen. Gedetailleerde governance-eisen zorgen ervoor dat alle gebruikers worden ondersteund met toegankelijke, inclusieve educatieve inhoud over essentiële thema's zoals phishingweerbaarheid, wachtwoordhygiëne en wettelijke verplichtingen. De HR-afdeling en de Chief Information Security Officer (CISO) zijn centraal voor het bijhouden van registraties van voltooide opleidingen, het borgen dat nieuwe medewerkers en rolwisselaars vervaldatums halen, en het volgen van voltooiing via een leermanagementsysteem. Niet-naleving leidt tot oplopende disciplinaire maatregelen, van geautomatiseerde herinneringen tot intrekking van toegangsrechten en escalatie naar HR. Periodieke phishingsimulaties en bewustwordingscampagnes zijn verplicht; de resultaten sturen de verfijning van de inhoud en de escalatie van gerichte hertraining wanneer risico's herhaaldelijk worden vastgesteld. Afhandeling van uitzonderingen is gedefinieerd via gedocumenteerde uitzonderingen en een risicogebaseerd goedkeuringsproces, en het beleid legt sterke nadruk op eisen voor herziening en bijwerking, contentupdates en auditgereedheid, om voortdurende afstemming met ISO/IEC 27001, 27002, NIST SP 800-53, GDPR, NIS2, DORA en COBIT 2019 te waarborgen. Daarmee ondersteunt het beleid een meetbare, evoluerende verdediging tegen dreigingen van binnenuit en andere mensgerelateerde kwetsbaarheden die essentieel zijn voor het behouden van organisatorische veerkracht.