ISO 27001:2022 og Kontrol A.6.3: Hvad revisor reelt tjekker i jeres awareness-program

Datoen for jeres eksterne ISO 27001-audit nærmer sig, og I har fået styr på adgangsstyring, risikovurderinger og handlingsplaner. Alligevel opstår der ofte tvivl: Hvad kigger den eksterne auditor reelt efter, når det menneskelige element i jeres ISMS skal evalueres? Alt for mange organisationer tror stadig, at et standard e-learning-modul sendt ud en enkelt gang om året til samtlige medarbejdere er nok til at sætte flueben ved awareness.

Med opdateringen til ISO/IEC 27001:2022 og kontrol A.6.3 (Oplysning, uddannelse og træning i informationssikkerhed) har kravene fra auditorerne rykket sig markant. De vil ikke længere blot se, om der findes et kursus, men om træningen er levende, tilpasset organisationens risikoprofil og målbar over tid. Her er den konkrete metode til at opbygge og dokumentere jeres indsats uden stress på revisionsdagen.

Hvad kræver kontrol A.6.3 i ISO 27001:2022 helt præcist?#

Kort fortalt: Kontrol A.6.3 kræver, at medarbejdere og relevante eksterne parter modtager passende awareness, løbende uddannelse og regelmæssige opdateringer om organisationens sikkerhedspolitikker, tilpasset deres roller og det aktuelle trusselsbillede.

I 2022-versionen af standarden har det menneskelige aspekt fået en langt mere operationel vægt. Standarden opdeler indsatsen i tre niveauer: awareness (den generelle risikoforståelse), uddannelse (indlæring af gode digitale vaner) og træning (specifikke faglige kompetencer afhængigt af medarbejderens funktion).

Auditor kontrollerer typisk, om jeres program overholder fire grundlæggende principper:

• Rollebaseret tilpasning: Softwareudviklere, indkøb og HR behandler vidt forskellige data og møder forskellige trusler. Jeres uddannelsesplan skal afspejle disse forskelle.
• Løbende frekvens: En enkelt årlig gennemgang anses for utilstrækkelig i lyset af det hastigt skiftende cybertrusselsbillede, som blandt andet Center for Cybersikkerhed (CFCS) løbende rapporterer om. Auditor forventer en fast kadence, for eksempel månedligt eller kvartalsvist.
• Onboarding af nye kolleger: Sikkerhedskulturen skal etableres fra dag ét. Procedurer for IT-sikkerhed og databeskyttelse skal gennemgås i de første uger af ansættelsen.
• Reaktion på aktuelle trusler: Hvis jeres branche rammes af målrettet direktørsvindel (CEO fraud), vishing eller nye phishingmetoder, skal jeres undervisning hurtigt inddrage disse erfaringer.

Sådan forbereder og dokumenterer I programmet til jeres audit#

Kort fortalt: For at bestå revisionen af kontrol A.6.3 skal I kunne fremvise en ledelsesgodkendt årsplan, tal for gennemførelsesprocenter opdelt på afdelinger, dokumentation for tilpasning til nye trusler samt evaluering af træningens reelle effekt.

På selve revisionsdagen er gode hensigter intet værd uden dokumentation (de dokumenterede informationer, som kræves under ISO 27001 klausul 7.5). Auditor vil bede jer fremvise jeres dashboards og konkrete data.

De 4 afgørende beviser til auditdagen

1. Den formelle awareness-plan: Et styringsdokument godkendt af ledelsen, der fastlægger årets moduler, tidsplan og emner (herunder phishing, adgangskoder, social engineering og shadow IT).

2. Dækningsgrad i organisationen: I skal kunne trække data, der viser, hvem der har gennemført hvilke moduler. Sigt efter en gennemførelsesprocent over 85 %, og hav en fast procedure klar for opfølgning over for dem, der mangler.

3. Måling af reel læring: Et simpelt klik på "marker som læst" dokumenterer ingen reel viden. Revisor værdsætter mekanismer, der tester forståelsen, såsom interaktive quizzer og praktiske scenarier.

4. Løbende forbedring (PDCA): Vis, hvordan I justerer indholdet på baggrund af interne hændelser, observationer eller praktiske øvelser i årets løb.

For at overholde kravet om kontinuerlig læring uden at overbelaste medarbejdernes arbejdsdag kan et forløb med mikrolæring som Cyber Journey opdele pensum i korte, faste bidder over året. Denne form for korte moduler kombineret med løbende quizzer genererer detaljerede statusrapporter, som kan fremlægges direkte som revisionsbevis.

Typiske faldgruber, der udløser afvigelser#

Erfaringen viser, at afvigelser i forbindelse med kontrol A.6.3 sjældent skyldes en komplet mangel på undervisning, men derimod manglende systematik og opfølgning.

• Det årlige "One-Shot": Et to-timers seminar i januar, hvorefter emnet glemmes resten af året, dokumenterer ikke en vedvarende sikkerhedskultur.
• Manglende inddragelse af eksterne konsulenter: Hvis eksterne konsulenter eller vikarer har adgang til jeres kritiske IT-systemer, vil auditor undersøge, om de også er omfattet af jeres awareness-krav.
• Forældet undervisningsmateriale: Træningsmateriale, der ikke forholder sig til moderne trusler som kunstig intelligens, deepfakes eller ændrede krav fra Datatilsynet og GDPR, svækker troværdigheden af jeres samlede ISMS.
• Mangel på nøgletal (KPI'er): Hvis I ikke kan fremvise klare nøgletal på ledelsens evaluering (gennemførelsesprocent, tidsforbrug, testresultater), bliver det svært at bevise indsatsens effekt over for direktionen og bestyrelsen.

BRAIN SECURITY I PRAKSIS · Cyber Journey

Fra administrativ pligt til en målbar sikkerhedskultur#

Kontrol A.6.3 bør ikke anskues som en ren compliance-øvelse, men som et stærkt redskab til at engagere organisationen og give sikkerhedsreglerne praktisk mening. Gennem strukturerede, involverende forløb, der er lette at dokumentere, forvandler I et revisionskrav til et reelt operationelt værn for virksomheden.

Skal I til ISO 27001-audit, eller ønsker I at styrke jeres dokumentation og awareness-indsats? Kontakt vores team for en gennemgang af, hvordan I opbygger et engagerende læringsforløb, der lever op til standardens krav.

Læs videre: relaterede artikler og løsninger fra Brain Security#

Relaterede artikler om dette emne

• Tilsyn fra Datatilsynet og GDPR: Hvorfor medarbejdertræning er et afgørende sikkerhedskrav (Compliance (NIS 2, DORA, ISO)) : Ved tilsyn fra Datatilsynet er GDPR-træning et centralt krav i artikel 32 og 39. Se hvordan jeres organisation dokumenterer jeres sikkerhedsindsats.
• NIS 2 og ledelsens personlige ansvar: Sådan træner du direktionen på 45 minutter (Compliance (NIS 2, DORA, ISO)) : Opfyld NIS 2-kravene til ledertræning på 45 minutter. Styrk direktion og bestyrelse med realistisk krisesimulering og strategiske dilemmaer.
• SOC 2-audit: Sådan strukturerer og dokumenterer I awareness-træning over 12 måneder (Compliance (NIS 2, DORA, ISO)) : Lær hvordan jeres organisation dokumenterer kontinuerlig sikkerhedstræning over 12 måneder for at bestå en SOC 2 Type II-audit uden friktion.
• Cybersikkerhedstræning i SMV'er: Skab en stærk sikkerhedskultur uden et dedikeret team (Industries & Roles) : Hvordan lykkes SMV'er med cybersikkerhedstræning uden et internt sikkerhedsteam? Opdag konkrete metoder og hurtige indsatser til jeres organisation.

Udforsk Brain Securitys løsninger på vores hjemmeside

• Relateret løsning : Cyber Journey : Læringsforløb som et interaktivt progressionskort: korte kapitler og indbygget arkadequiz uden kontooprettelse.
• Se use cases efter sikkerhedsmål og branche
• Sammenlign vores formater til cyber- og AI-bevidsthed
• Udforsk hele det interaktive katalog fra Brain Security
• Tal med vores team om jeres behov (demo og opsætning)