Skip to main content

6.3 Świadomość, szkolenia i edukacja z zakresu bezpieczeństwa informacji

Cel​

Zapewnienie, że personel organizacji oraz inne zainteresowane strony mają świadomość swoich obowiązków w zakresie bezpieczeństwa informacji i są odpowiednio przeszkoleni, aby skutecznie chronić zasoby informacyjne organizacji.

Wymagania​

Organizacja powinna:

  • Opracować i wdrożyć program świadomości, szkoleń i edukacji w zakresie bezpieczeństwa informacji, zgodny z polityką bezpieczeństwa organizacji oraz odpowiednimi procedurami.
  • Regularnie przeprowadzać szkolenia i aktualizować wiedzę personelu na temat polityki bezpieczeństwa, regulacji i wdrożonych zabezpieczeń.
  • Zapewnić ocenę poziomu zrozumienia przez pracowników przekazywanych treści poprzez testy lub inne metody weryfikacji wiedzy.

Wdrożenie​

Świadomość​

  • Program świadomości powinien obejmować:
    • zobowiązania kierownictwa do przestrzegania zasad bezpieczeństwa informacji,
    • zgodność z obowiązującymi politykami, standardami i regulacjami,
    • indywidualną odpowiedzialność za ochronę informacji,
    • podstawowe procedury bezpieczeństwa, takie jak zarządzanie hasłami (5.17) oraz zgłaszanie incydentów bezpieczeństwa (6.8),
    • kontakt do zespołów odpowiedzialnych za bezpieczeństwo informacji i dostęp do dodatkowych materiałów edukacyjnych.
  • Kampanie uświadamiające mogą być realizowane poprzez:
    • biuletyny informacyjne,
    • plakaty, ulotki i materiały online,
    • e-learning, webinary oraz spotkania informacyjne,
    • regularne powiadomienia e-mailowe i newslettery.

Szkolenia i edukacja​

  • Organizacja powinna identyfikować i wdrażać odpowiednie plany szkoleniowe dla zespołów technicznych oraz użytkowników końcowych.
  • Szkolenia powinny obejmować:
    • konfigurację i utrzymanie bezpiecznych systemów,
    • reagowanie na incydenty bezpieczeństwa,
    • procedury zarządzania dostępem i ochrony danych.
  • Organizacja powinna zapewnić różne metody szkoleń, takie jak:
    • zajęcia stacjonarne i e-learning,
    • mentoring i szkolenia on-the-job,
    • uczestnictwo w konferencjach i warsztatach branżowych.

Przegląd i aktualizacja​

  • Programy świadomości i szkoleń powinny być regularnie przeglądane i dostosowywane do zmieniających się zagrożeń oraz wymagań organizacyjnych.
  • Organizacja powinna analizować skuteczność szkoleń na podstawie testów, ankiet i oceny uczestników.
  • Powinna zostać zapewniona możliwość bieżącego doskonalenia personelu poprzez dostęp do aktualnych materiałów edukacyjnych i źródeł branżowych.

Świadomość i edukacja w zakresie bezpieczeństwa informacji mają kluczowe znaczenie dla minimalizacji ryzyka ludzkiego i skutecznego wdrażania zasad ochrony informacji w organizacji.