ISO 27002:2022 – Controle 6.3 – Informatiebeveiligingsbewustzijn, onderwijs en training

Wat is Controle 6.3?

ISO 27002 :2022, Controle 6.3. Informatiebeveiligingsbewustzijn, onderwijs en training omvat de noodzaak voor medewerkers van een organisatie om het juiste bewustzijn, onderwijs en training op het gebied van informatiebeveiliging te ontvangen, plus regelmatige updates van het informatiebeveiligingsbeleid van de organisatie, vooral als dit van toepassing is op hun functie.

Informatiebeveiligingsbewustzijn, onderwijs en training uitgelegd

Bewustzijn van informatiebeveiliging, onderwijs en training (IT-beveiligingsbewustzijn) is het proces waarbij gebruikers worden geïnformeerd over het belang van informatiebeveiliging en hen wordt aangemoedigd hun eigen computerbeveiligingsgewoonten te verbeteren.

Gebruikers moeten op de hoogte worden gesteld van de beveiliging risico’s die uit hun activiteiten kunnen voortvloeien en hoe zij zich hiertegen kunnen beschermen.

Bewustzijn, opleiding en training op het gebied van informatiebeveiliging zijn cruciale componenten voor het succes van elke organisatie. Het is van cruciaal belang dat alle medewerkers het belang van informatiebeveiliging begrijpen en welke gevolgen dit voor iedereen heeft.

Hoe beter medewerkers begrijpen hoe ze zichzelf tegen cyberdreigingen kunnen beschermen, hoe veiliger uw organisatie zal zijn.

Attributen Controletabel 6.3

Besturingselementen kunnen worden gegroepeerd met behulp van attributen. Als u naar de kenmerken van het besturingselement kijkt, kunt u deze gemakkelijker in verband brengen met gevestigde branchevereisten en terminologie. De volgende attributen zijn bepalend 6.3.

Wat is het doel van controle 6.3?

Het doel van Controle 6.3 is ervoor te zorgen dat personeel en relevante belanghebbenden op de hoogte zijn van hun verantwoordelijkheden op het gebied van informatiebeveiliging en deze naar behoren hebben opgeleid.

Controle 6.3 omvat een reeks activiteiten die ervoor zorgen dat mensen over de kennis en vaardigheden beschikken die nodig zijn om binnen de organisatie te functioneren. informatiebeveiliging kader. De belangrijkste focus hiervan De controle ligt op bewustmakingsactiviteiten over het belang van informatiebeveiliging, het aanmoedigen van goede praktijken en het bevorderen van de naleving van relevant beleid en procedures.

Controle 6.3 Uitgelegd

Bewustzijn, opleiding en training op het gebied van informatiebeveiliging zijn een cruciaal onderdeel van de algehele risicobeheerstrategie van een organisatie en moeten worden beschouwd als een integraal onderdeel van het beveiligingsbeleid van de organisatie.

Controle 6.3 definieert de noodzaak voor organisaties om een ​​bewustmakingsprogramma voor informatiebeveiliging te hebben dat alle werknemers voorziet van de noodzakelijke kennis en vaardigheden om informatiemiddelen beschermen. Het biedt richtlijnen over wat er moet worden opgenomen in een effectief bewustmakingsprogramma.

Het kan bijvoorbeeld nodig zijn dat de organisatie ten minste jaarlijks, of zoals vereist door de risicobeoordeling, een training op het gebied van beveiligingsbewustzijn organiseert voor alle werknemers en contractanten aan wie rollen zijn toegewezen waarin zij toegang hebben tot gevoelige informatie of andere soorten informatie. systemen die gevoelige gegevens opslaan, verwerken of verzenden.

Wat komt erbij kijken en hoe kan aan de vereisten worden voldaan

De eis voor controle 6.3 is dat een organisatie een proces moet hebben om ervoor te zorgen dat werknemers adequaat worden opgeleid over hoe ze hun taken veilig en zeker kunnen uitvoeren op een manier die brengt de informatiebeveiliging niet in gevaar. Dit kan worden bereikt door middel van trainingen. Dit kan ook worden bereikt met behulp van online bronnen zoals video's of webinars.

De bewustzijns-, onderwijs- en trainingsprogramma's op het gebied van informatiebeveiliging moeten worden ontwikkeld in overeenstemming met het informatiebeveiligingsbeleid van de organisatie, het onderwerpspecifieke beleid en de relevante informatiebeveiligingsprocedures. Er moet ook rekening worden gehouden met de informatie van de organisatie die moet worden beschermd en met de informatiebeveiligingscontroles die zijn geïmplementeerd om deze te beschermen. Dit zou periodiek moeten gebeuren.

Inleidende bewustwording, opleiding en training kunnen van toepassing zijn op nieuwe werknemers, maar ook op degenen die overstappen naar nieuwe functies of taken vereisen aanzienlijk verschillende niveaus van informatiebeveiliging.

De bewustmakingscampagne moet een verscheidenheid aan activiteiten omvatten om het bewustzijn te vergroten. Denk hierbij aan campagnes, boekjes, posters, nieuwsbrieven, websites, informatiesessies, briefings, e-learningmodules en e-mails.

Volgens controlepunt 6.3 zou dit programma het volgende moeten omvatten:

• De toewijding van het management aan informatiebeveiliging in de hele organisatie;
• Bekendheid met en naleving van toepasselijke regels en verplichtingen op het gebied van informatiebeveiliging, inclusief informatiebeveiligingsbeleid en onderwerpspecifiek beleid, normen, wetten, statuten, voorschriften, contracten en overeenkomsten;
• Persoonlijke verantwoordelijkheid voor het eigen handelen en nalaten, algemeen verantwoordelijkheden met betrekking tot het beveiligen of beschermen van informatie die toebehoort aan de organisatie en geïnteresseerden;
• Basic informatiebeveiligingsprocedures [bijvoorbeeld rapportage van informatiebeveiligingsgebeurtenissen (6.8)] en basiscontroles [bijvoorbeeld wachtwoordbeveiliging];
• Extra contactpunten en bronnen voor aanvullende informatie en advies over informatiebeveiliging zaken, waaronder verder voorlichtingsmateriaal over informatiebeveiliging.

Wijzigingen en verschillen ten opzichte van ISO 27002:2013

ISO 27002:2022 is geen geheel nieuwe controle. Deze versie van ISO 27002, die in februari 2022 is gepubliceerd, is een update van de vorige versie, die in 2013 is gepubliceerd. Daarmee is controle 6.3 in ISO 27002:2022 geen geheel nieuwe controle. Het is een licht gewijzigde versie van controle 7.2.2 in ISO 27002:2013.

Controle 7.2.2 in ISO 27002:2013 heeft geen attributentabel of een doelverklaring, die zijn opgenomen in controle 6.3 van de ISO 27002:2022-versie.

Dat gezegd hebbende, is er, afgezien van de verandering in het controlenummer, geen ander waarneembaar verschil tussen de twee controles. Ondanks het feit dat de formulering van de twee controles verschilt, zijn de inhoud en context van de twee controles in essentie hetzelfde.

De taal in control 6.3 is gebruiksvriendelijker gemaakt, zodat mensen die de standaard gaan gebruiken zich beter in de inhoud ervan kunnen herkennen.

Wie is verantwoordelijk voor dit proces?

Het antwoord op deze vraag is afhankelijk van uw organisatie. In veel organisaties worden de bewustzijns-, opleidings- en trainingsprogramma's op het gebied van informatiebeveiliging beheerd door het beveiligingsteam. In andere organisaties wordt dit afgehandeld door de HR-afdeling of een andere functie.

Het belangrijkste is om ervoor te zorgen dat iemand verantwoordelijk is voor het opzetten en implementeren van het beveiligingsbewustzijnsprogramma van uw organisatie. Deze persoon of afdeling moet ook onder toezicht staan ​​van de informatiebeveiligingsmanager (als een andere persoon verantwoordelijk is voor deze rol).

Deze persoon moet een goed inzicht hebben in informatiebeveiliging en met werknemers kunnen communiceren over verschillende onderwerpen die verband houden met best practices op het gebied van beveiliging. Deze persoon moet ook inhoud voor uw trainingsprogramma's kunnen ontwikkelen en regelmatig trainingen voor medewerkers kunnen verzorgen.

Het is belangrijk om te begrijpen dat informatiebeveiliging niet alleen de verantwoordelijkheid van IT is. Het is ieders verantwoordelijkheid. Organisaties moeten een team hebben van mensen die verantwoordelijk zijn voor de beveiliging, maar ze moeten er ook voor zorgen dat iedereen het belang van vertrouwelijkheid en integriteit begrijpt.

Wat betekenen deze veranderingen voor u?

U hoeft niet veel te doen want ISO 27002:2022 is geen nieuwe norm maar een herziening van de versie uit 2013. De verwachting is dan ook dat de meeste organisaties geen veranderingen hoeven door te voeren.

Heeft u echter de 2013-versie van ISO 27002 al geïmplementeerd, dan zult u moeten beoordelen of deze wijzigingen relevant zijn voor uw organisatie. Als u dat doet, moet u ook uw beveiligingsprocessen herzien planning voor ISMS-certificering. Dit zorgt ervoor dat uw processen voldoen aan de herziene norm.

Onze ISO 27002:2022-gids, die gratis kan worden gedownload op onze website, bevat meer informatie over hoe de nieuwe ISO 27002 uw informatiebeveiligingsactiviteiten kan beïnvloeden en ISO 27001 certificering.

Nieuwe ISO 27002-controles

Hoe ISMS.Online helpt

ISMS.Online is een complete oplossing voor ISO 27002-implementatie. Het is een webgebaseerd systeem waarmee u dat kunt doen laat zien dat uw informatiebeveiligingsbeheersysteem (ISMS) compliant is met de goedgekeurde normen en met behulp van goed doordachte processen, procedures en checklists.

Het is niet alleen een eenvoudig te gebruiken platform voor het beheren van uw ISO 27002-implementatie, maar ook een uitstekend hulpmiddel om uw personeel te trainen in best practices en processen op het gebied van informatiebeveiliging, en om al uw inspanningen te documenteren.

Uw partner voor Voordelen van het gebruik van ISMS.Online:

• Eenvoudig te gebruiken online platform dat vanaf elk apparaat toegankelijk is.
• Het is volledig aanpasbaar om aan uw behoeften te voldoen.
• Aanpasbare workflows en processen om aan uw zakelijke behoeften te voldoen.
• Trainingstools waarmee nieuwe medewerkers sneller aan de slag kunnen.
• Een bibliotheek met sjablonen voor documenten zoals beleid, procedures, plannen en checklists.

ISMS.Online vereenvoudigt het implementatieproces van ISO 27002 door alle benodigde bronnen, informatie en hulpmiddelen op één plek aan te bieden. Hiermee kunt u met slechts een paar muisklikken controleren of uw ISMS aan de norm voldoet, wat anders lang zou duren als u dit handmatig doet.

Wil je het in actie zien?

Neem vandaag nog contact op met boek een demo.