Informationssäkerhetsmedvetenhets- och utbildningspolicy

Informationssäkerhetsmedvetenhets- och utbildningspolicy (P08) fastställer ett formellt, organisationsomfattande medvetenhets- och utbildningsramverk för att säkerställa att all personal, uppdragstagare och tredjepartsombud förstår sitt ansvar för informationssäkerhet. Den kräver omfattande utbildning som stödjer regelefterlevnad med ISO/IEC 27001:2022 och andra ledande globala ramverk. Dokumentet beskriver ett riskbaserat medvetenhets- och utbildningsprogram som kräver att säkerhetsmedvetenhet hanteras kontinuerligt genom introduktion, återkommande repetitionsutbildning och händelsestyrda utbildningstaktiker anpassade till föränderliga hot och regulatoriska krav. Denna policy anger en tydlig ISMS-omfattning och fastslår att alla användare med åtkomst till informationssystem eller organisationens lokaler, oavsett om de är interna användare, tillfälliga arbetstagare, uppdragstagare eller leverantörer, måste delta. Kraven specificerar introduktionsutbildning i säkerhetsmedvetenhet, rollspecifik utbildning för befattningar som utvecklare eller privilegierade användare samt medvetenhetskampanjer. Leveransmekanismer omfattar e-lärande, virtuella instruktörsledda sessioner, simuleringar och multimediaresurser, med årlig repetitionsutbildning eller ytterligare utbildning som utlöses av informationssäkerhetsincidenter eller större rättsliga/teknologiska förändringar. Detaljerade styrningskrav säkerställer att alla användare vägleds av tillgängligt och inkluderande utbildningsinnehåll som täcker centrala teman såsom motståndskraft mot nätfiske, lösenordshygien och regulatoriska skyldigheter. HR och informationssäkerhetschef (CISO) är centrala för att upprätthålla register över genomförda utbildningar, säkerställa att nyanställda och personer med rolländringar uppfyller förfallodagar samt följa upp loggat slutförande via lärplattform. Bristande efterlevnad leder till disciplinära åtgärder med eskalering, från automatiserade påminnelser upp till behörighetsindragning och HR-hänvisning. Periodiska phishing-simuleringar och medvetenhetskampanjer är obligatoriska; deras resultat styr förfining av innehåll och eskalering av riktad omträning där risker upprepade gånger noteras. Undantagshantering definieras genom en dokumenterad, riskbaserad godkännandeprocess, och policyn lägger stor vikt vid krav på översyn och uppdatering, innehållsuppdateringar och revisionsberedskap, vilket säkerställer fortsatt anpassning till ISO/IEC 27001, 27002, NIST SP 800-53, GDPR, NIS2, DORA och COBIT 2019. Därmed utgör policyn ett mätbart och utvecklande försvar mot människorelaterade sårbarheter som är avgörande för att upprätthålla organisationens motståndskraft.