Politika ozaveščanja in usposabljanja za informacijsko varnost

Politika ozaveščanja in usposabljanja za informacijsko varnost (P08) vzpostavlja formalen, organizacijsko širok okvir, da vse osebje, pogodbeni izvajalci in zastopniki tretjih oseb razumejo svoje odgovornosti glede informacijske varnosti. Zahteva celovito usposabljanje, ki podpira skladnost z ISO/IEC 27001:2022 in drugimi vodilnimi globalnimi okviri. Dokument podrobno opisuje program ozaveščanja in usposabljanja na podlagi tveganj, ki zahteva, da se varnostna ozaveščenost stalno obravnava prek uvajanja, periodičnega osvežitvenega usposabljanja in taktik usposabljanja, sproženih z dogodki, prilagojenih razvijajočim se grožnjam in regulativnim zahtevam. Ta politika določa jasen obseg in zahteva, da vsi uporabniki z dostopom do informacijskih sistemov ali organizacijskih objektov – bodisi notranji uporabniki, začasni delavci, pogodbeni izvajalci ali dobavitelji – sodelujejo. Zahteve vključujejo uvodno usposabljanje za varnostno ozaveščanje, module usposabljanja na podlagi vlog za položaje, kot so razvijalci ali uporabniki z visokimi privilegiji, ter kampanje ozaveščanja. Mehanizmi dostave vključujejo e-učenje, osebne seznanitve, simulacije in multimedijska sredstva, z letnim obnovitvenim usposabljanjem ali dodatnim usposabljanjem, ki ga sprožijo incidenti ali večje pravne/tehnološke spremembe. Podrobne zahteve upravljanja zagotavljajo, da so vsi uporabniki vodeni z dostopno in vključujočo izobraževalno vsebino, ki pokriva ključne teme, kot so odpornost proti lažnemu predstavljanju, higiena gesel in regulativne obveznosti. Funkciji človeški viri (HR) in vodja informacijske varnosti (CISO) sta ključni za vzdrževanje zapisov o opravljenih usposabljanjih, zagotavljanje, da novozaposleni in osebe s spremembami vlog izpolnijo roke, ter sledenje dokončanju prek sistema za upravljanje učenja. Neskladnost vodi v progresivne disciplinske ukrepe, od samodejnih opomnikov do preklica dostopa in kadrovske eskalacije. Zahtevane so periodične simulacije spletnega ribarjenja in kampanje ozaveščanja; njihovi rezultati usmerjajo izboljšave vsebine in eskalacijsko usmerjeno ponovno usposabljanje, kjer so tveganja večkrat zaznana. Obravnava izjem je opredeljena prek dokumentiranega, na tveganjih temelječega postopka odobritve, politika pa močno poudarja redne preglede politike, posodobitve vsebine in pripravljenost na revizijo, s čimer zagotavlja stalno usklajenost z ISO/IEC 27001, 27002, NIST SP 800-53, GDPR, NIS2, DORA in COBIT 2019. Tako politika predstavlja merljivo, razvijajočo se obrambo pred ranljivostmi, povezanimi z ljudmi, ki je ključna za ohranjanje odpornosti organizacije.