ISO 27001:2022 ja hallintakeino A.6.3: Mitä auditoija todella tarkastaa tietoturvakoulutuksestanne

ISO/IEC 27001 -sertifiointiauditointi lähestyy vauhdilla. Pääsynhallintakäytännöt, riskianalyysit ja riskienkäsittelysuunnitelmat ovat valmiina. Silti yksi kysymys mietityttää usein tietoturvajohtoa (CISO) ja johtoryhmää: mitä ulkoinen auditoija todella katsoo arvioidessaan ISMS-hallintajärjestelmän inhimillistä puolta? Liian moni organisaatio uskoo edelleen, että kerran vuodessa koko henkilöstölle pakotettu puuduttava verkkokurssi riittää kuittaamaan vaatimuksen.

Todellisuudessa ISO/IEC 27001:2022 -standardin hallintakeino A.6.3 (Tietoturvatietoisuus, -koulutus ja -valmennus) on muuttanut auditoijien odotuksia merkittävästi. Auditoijat eivät enää pelkästään kysy, onko koulutus olemassa, vaan he haluavat nähdä sen olevan jatkuvaa, organisaationne riskiprofiiliin sovitettua ja ajallisesti mitattavaa. Tässä on käytännön menetelmä, jolla rakennat ja dokumentoit toimintamallin ilman stressiä auditointipäivänä.

Mitä ISO 27001:2022 -standardin hallintakeino A.6.3 tarkalleen vaatii?#

Lyhyesti: Hallintakeino A.6.3 edellyttää, että organisaation henkilöstö ja sidosryhmät saavat asianmukaista tietoturvatietoisuutta, jatkuvaa valmennusta sekä säännöllisiä päivityksiä organisaation tietoturvakäytäntöihin, sovitettuna kunkin rooliin ja ajankohtaisiin uhkiin.

Vuoden 2022 standardiuudistuksessa inhimillisen tekijän operatiivinen maturiteetti korostuu entisestään. Otsikko yhdistää kolme erillistä tasoa: tietoisuuden (yleinen ymmärrys ja asenne), koulutuksen (toimintatapojen ja rutiinien omaksuminen) sekä valmennuksen (tehtäväkohtaiset tekniset taidot).

Ulkoinen auditoija tarkastaa, että ohjelmanne toteuttaa neljää perusperiaatetta:

• Roolipohjainen kohdentaminen: Ohjelmistokehittäjät, hankintatiimi ja HR käsittelevät täysin erilaisia tietoja ja kohtaavat erilaisia riskejä. Koulutussuunnitelmanne on heijastettava näitä erityispiirteitä.
• Kampanjoiden säännöllisyys: Yksi ainoa muistutus kahdentoista kuukauden välein katsotaan riittämättömäksi, kun kyberuhat kehittyvät viikoittain. Auditoija odottaa rytmitettyä toistuvuutta, esimerkiksi kuukausittain tai neljännesvuosittain.
• Uusien työntekijöiden perehdytys: Perehdytysprosessin on sisällettävä tietoturvan perushygienia heti työsuhteen ensimmäisten viikkojen aikana.
• Reagointi ajankohtaisiin uhkiin: Jos alallanne havaitaan laaja toimitusjohtajahuijausten tai puhelinkalastelun (vishing) aalto, pedagogisen sisällön on pystyttävä huomioimaan nämä havainnot viipymättä.

Miten ohjelma valmistellaan ja dokumentoidaan auditointia varten?#

Lyhyesti: ISO 27001 -auditoinnin läpäisemiseksi tarvitset muodollisen vuosisuunnitelman, osastokohtaiset suoritusraportit, todisteet materiaalien päivittämisestä uusien uhkien mukaan sekä arvioinnin suoritettujen moduulien operatiivisesta vaikuttavuudesta.

Auditointipäivänä pelkät hyvät aikomukset eivät merkitse mitään ilman konkreettisia todisteita (standardin kohdan 7.5 vaatimaa dokumentoitua tietoa). Auditoija pyytää avaamaan hallintapaneelit ja esittämään faktat.

4 välttämätöntä todistetta esitettäväksi auditoijalle

1. Dokumentoitu koulutussuunnitelma: Johdon vahvistama viitekehys, jossa kuvataan vuosikalenteri, käsiteltävät teemat (kuten kalastelu, salasanojen hallinta, sosiaalinen manipulointi, varjo-IT) ja valittu toistuvuus.

2. Henkilöstön kattavuusaste: Teidän on pystyttävä tuottamaan koontiraportti siitä, kuka on suorittanut minkäkin moduulin. Tavoitelkaa yli 85 prosentin suoritusastetta ja dokumentoikaa muistutusprosessit myöhästyneille.

3. Omaksutun osaamisen arviointi: Pelkkä "merkitse luetuksi" -painikkeen klikkaaminen ei todista oppimisesta. Auditoijat arvostavat tiedon omaksumisen todentamista, kuten interaktiivisia testejä tai realistisia simulaatioita.

4. Jatkuvan parantamisen malli: Osoittakaa, miten sisältöjä päivitetään organisaation omien poikkeamien tai vuoden aikana tehtyjen harjoitusten pohjalta.

Jotta tämä säännöllisyyden vaatimus voidaan täyttää kuormittamatta henkilöstön kalentereita, mikrosisältöihin perustuva polku, kuten Cyber Journey, jakaa oppimisen hallittaviin osiin pitkin vuotta. Tällainen lyhytkestoinen, pelillisillä kisoilla rytmitetty malli tuottaa selkeät etenemisraportit, jotka toimivat suoraan virallisina auditointitodisteina.

Yleiset sudenkuopat, jotka johtavat poikkeamiin#

Suurin osa hallintakeinoa A.6.3 koskevista poikkeamista ei johdu koulutuksen täydellisestä puuttumisesta, vaan seurannan ja ylläpidon puutteista.

• Kerran vuodessa -ajattelu: Yhden kahden tunnin kalvosulkeisen järjestäminen tammikuussa ja aiheen unohtaminen loppuvuodeksi osoittaa auditoijalle jatkuvuuden puutetta.
• Ulkopuolisten toimijoiden unohtaminen: Jos alihankkijoilla tai vuokratyöntekijöillä on pääsy kriittisiin järjestelmiinne, auditoija tarkastaa, kuuluvatko he koulutuksen piiriin.
• Vanhentuneet oppimateriaalit: Jos esitätte koulutusmateriaalia, jossa viitataan vuosien takaisiin käytäntöihin eikä käsitellä tekoälyavusteisia huijauksia tai nykyaikaisia hyökkäysvektoreita, ISMS-järjestelmän uskottavuus kärsii välittömästi.
• Mittareiden (KPI) puuttuminen: Jos johdon katselmuksessa ei esitetä selkeitä mittareita (osallistumisasteet, pisteytysten kehitys, suoritusaikataulut), toiminnan todellista vaikuttavuutta on mahdotonta osoittaa.

BRAIN SECURITY KÄYTÄNNÖSSÄ · Cyber Journey

Kohti elävää ja mitattavaa tietoturvakulttuuria#

Hallintakeinoa A.6.3 ei kannata nähdä pelkkänä hallinnollisena pakkona, vaan erinomaisena työkaluna johdon sitouttamiseen ja tietoturvasääntöjen perustelemiseen arjessa. Rakentamalla säännöllisiä, osallistavia ja helposti todennettavia harjoituksia muotoilette vaatimustenmukaisuudesta kestävän yhteisen puolustuslinjan.

Valmisteletko organisaatiotasi ISO 27001 -sertifiointi- tai uudelleenauditointiin ja haluat automatisoida koulutustodisteiden raportoinnin? Keskustele tarpeistasi asiantuntijamme kanssa ja tutustu tapaan rakentaa vaikuttava, standardien mukainen tietoturvakulttuuri.

Lue lisää: aiheeseen liittyvät artikkelit ja Brain Securityn ratkaisut#

Aiheeseen liittyvät artikkelit

• Tietosuojavaltuutetun tarkastus ja GDPR: Miksi henkilöstön tietoturvakoulutus on lakisääteinen vaatimus (Compliance (NIS 2, DORA, ISO)) : Tietosuojavaltuutetun tarkastuksessa henkilöstön koulutus on GDPR artiklojen 32 ja 39 ydinedellytys. Opi dokumentoimaan toimenpiteet oikein.
• NIS 2 ja johdon vastuu: Miten kouluttaa johtoryhmä 45 minuutissa? (Compliance (NIS 2, DORA, ISO)) : Opi toteuttamaan NIS 2 -direktiivin vaatima johdon kyberturvallisuuskoulutus 45 minuutissa interaktiivisen kriisisimulaation ja tosielämän skenaarioiden avulla.
• SOC 2 auditointi: Tietoturvakoulutuksen seuranta ja todentaminen 12 kuukauden ajalta (Compliance (NIS 2, DORA, ISO)) : Opi rakentamaan ja dokumentoimaan henkilöstön tietoturvakoulutus 12 kuukauden ajalle läpäistäksesi SOC 2 Type II auditoinnin sujuvasti ja luotettavasti.
• Kyberturvallisuuskoulutuksen vuosikello: Miten ylläpitää henkilöstön valppautta ilman koulutusväsymystä (Gamification) : Rakenna toimiva kyberturvallisuuden vuosikello. Yhdistä yhteiset kampanjat, jatkuva mikrioppiminen ja täsmäkoulutukset ilman koulutusväsymystä.

Tutustu Brain Securityn ratkaisuihin verkkosivuillamme

• Liittyvä ratkaisu : Cyber Journey : Oppimispolku etenemiskarttana: lyhyet luvut ja sisäänrakennettu arcade-visa ilman tilin luomista.
• Tutustu käyttötapauksiin tavoitteen ja toimialan mukaan
• Vertaa kyberturvallisuus- ja tekoälykoulutusmuotojamme
• Tutustu koko Brain Securityn interaktiiviseen tuotevalikoimaan
• Keskustele tarpeistasi tiimimme kanssa (demo ja käyttöönotto)