ISO 27001:2022 og kontroll A.6.3: Hva revisor faktisk ser etter i sikkerhetsopplæringen

Tidspunktet for sertifiseringsrevisjonen etter ISO/IEC 27001 nærmer seg med stormskritt. Virksomheten har etablert tilgangspolicyer, utført grundige risikovurderinger og utarbeidet solide tiltaksplaner. Likevel gjenstår ofte et avgjørende spørsmål for CISO og sikkerhetsansvarlige: Hva ser den eksterne revisoren egentlig etter når det menneskelige aspektet ved styringssystemet for informasjonssikkerhet (ISMS) skal etterprøves? Altfor mange norske virksomheter tror fortsatt at en passiv e-læringsmodul sendt ut på e-post en gang i året er nok til å krysse av for godkjent opplæring.

I den oppdaterte standarden ISO/IEC 27001:2022, spesifikt kontroll A.6.3 (Bevissthet, opplæring og trening innen informasjonssikkerhet), har revisorenes forventninger modnet betraktelig. I tråd med anbefalinger fra NSM (Nasjonal sikkerhetsmyndighet) og prinsipper i Digitalsikkerhetsloven (NIS 2) ser revisor ikke lenger bare etter om opplæring eksisterer. De undersøker om programmet er levende, tilpasset virksomhetens faktiske trusselbilde og kontinuerlig målbart over tid. Her er den konkrete oppskriften for å strukturere og dokumentere tiltakene uten stress på revisjonsdagen.

Hva krever kontroll A.6.3 i ISO 27001:2022 i praksis?#

Kort oppsummert: Kontroll A.6.3 krever at personell og relevante eksterne parter mottar formålstjenlig bevisstgjøring, kontinuerlig kompetanseheving og jevnlige oppdateringer om virksomhetens sikkerhetspolicyer, tilpasset deres spesifikke roller og det aktuelle trusselbildet.

I 2022-revisjonen av standarden deles kravene inn i tre distinkte dimensjoner: bevisstgjøring (grunnleggende risikoforståelse), utdanning (etablering av trygge arbeidsrutiner) og trening (spesifikk ferdighetsbygging basert på stilling og privilegier).

Revisor vil vurdere om sikkerhetsprogrammet oppfyller fire sentrale prinsipper:

• Rollebasert tilpasning: Utviklere, innkjøpsavdelingen, økonomiteamet og HR behandler vidt forskjellige data og utsettes for ulik risiko. Sikkerhetsplanen må gjenspeile disse nyansene i stedet for å tvinge alle gjennom nøyaktig samme pensum.
• Jevnlig frekvens: En årlig gjennomgang anses i dag som utilstrekkelig med tanke på hvor raskt truslene endrer seg. Revisor forventer en forutsigbar og kontinuerlig kadens gjennom året (for eksempel månedlig eller kvartalsvis mikrolæring).
• Strukturert onboarding: Sikkerhetsrutiner må forankres fra dag én. Nyansatte må gjennomgå opplæring i digital hygiene og virksomhetens retningslinjer i løpet av sine første arbeidsuker.
• Relevans mot trusselbildet: Dersom sektoren opplever målrettede vishing-angrep, direktørsvindel eller nye trusler fra kunstig intelligens, må opplæringsprogrammet raskt oppdateres for å reflektere disse erfaringene.

Hvordan dokumentere sikkerhetsopplæringen for å bestå revisjonen?#

Kort oppsummert: For å bestå revisjon på kontroll A.6.3 må du fremvise en godkjent årsplan, fullføringsgrad per avdeling over 85 prosent, dokumentert kunnskapstesting samt bevis på at innholdet oppdateres basert på nye trusler og interne hendelser.

Under revisjonen har gode intensjoner ingen verdi uten skriftlig dokumentasjon (jf. kravene til dokumentert informasjon i klausul 7.5). Den eksterne revisoren vil be om innsyn i rapporteringsverktøy og konkrete nøkkeltall.

4 uunnværlige bevis virksomheten må legge frem

1. En formalisert opplæringsplan: Et strategisk dokument forankret i ledergruppen som beskriver årets tidslinje, metodikk og tematiske fokusområder (for eksempel phishing, passordsikkerhet, sosial manipulering og skygge-IT).

2. Reell dekningsgrad blant de ansatte: Virksomheten må kunne trekke ut aggregerte data som viser hvem som har gjennomført hvilke moduler. Sikt mot en fullføringsgrad over 85 prosent, og dokumenter tydelige oppfølgingsrutiner for etternølere.

3. Måling av faktisk læringsutbytte: Å klikke seg gjennom lysbilder uten verifisering beviser ingen reell kompetanseheving. Revisor ser etter interaktive tester, situasjonsbaserte dilemmaer eller praktiske øvelser som dokumenterer forståelse.

4. Den kontinuerlige forbedringssløyfen: Vis hvordan programmet justeres i tråd med interne avvik, nasjonale advarsler fra NorCERT eller resultater fra praktiske øvelser gjennomført i løpet av året.

For å innfri disse kravene uten å stjele unødig tid fra kjernevirksomheten, fungerer progressive læringsløp basert på mikrolæring, slik som Cyber Journey, svært godt. Korte kapitler med innebygde arkade-quizer gir detaljerte fremdriftsrapporter som fungerer direkte som revisjonsbevis for kontroll A.6.3.

Vanlige fallgruver som fører til avvik#

Erfaring viser at avvik på kontroll A.6.3 sjelden skyldes at virksomheten mangler opplæring helt, men heller at oppfølgingen og dokumentasjonen er for svak.

• Kuldoktormetoden (et årlig skippertak): Å samle organisasjonen til et to timers langt foredrag i januar for så å tie frem til neste år viser mangel på kontinuerlig oppfølging.
• Manglende oversikt over konsulenter og innleide: Hvis innleide konsulenter, vikarer eller tredjeparter har tilgang til kritiske systemer, vil revisor kreve bevis på at også disse har gjennomgått påkrevd sikkerhetsopplæring.
• Utdatert kursmateriell: Presentasjoner som ikke har vært revidert på flere år og som overser moderne utfordringer som AI-drevet svindel eller sofistikert spoofing, svekker tilliten til styringssystemet umiddelbart.
• Fravær av KPI-er for ledelsen: Dersom ledelsen ikke jevnlig mottar statusrapporter med nøkkeltall om deltakelse, fullføringstid og risikoutvikling, vil det være vanskelig å bevise ledelsens forankring og gjennomgang (ledelsens evaluering).

BRAIN SECURITY I PRAKSIS · Cyber Journey

Fra sjekkliste til en reell og målbar sikkerhetskultur#

Kontroll A.6.3 handler ikke om å samle papirer for revisors skyld, men om å bygge en robust forsvarslinje i hele organisasjonen. Ved å etablere engasjerende, jevnlige og sporbare læringsaktiviteter gjør dere samsvarsarbeidet om til et effektivt vern mot reelle cyberangrep, uansett om dere forholder dere til ISO 27001, Digitalsikkerhetsloven, Datatilsynets krav eller Finanstilsynets DORA-krav.

Planlegger dere sertifisering eller resertifisering etter ISO 27001, og ønsker å modernisere sikkerhetsopplæringen med automatisert dokumentasjon? Ta kontakt med oss for en samtale for å se hvordan dere kan etablere et engasjerende program fullt tilpasset gjeldende standarder.

Les videre: relaterte artikler og løsninger fra Brain Security#

Relaterte artikler om dette temaet

• Datatilsynet og GDPR: Hvorfor opplæring av ansatte er et ufravikelig sikkerhetstiltak (Compliance (NIS 2, DORA, ISO)) : Ved tilsyn fra Datatilsynet krever GDPR artikkel 32 og 39 dokumentert opplæring av ansatte. Se hvordan IT-ledelsen sikrer etterlevelse.
• NIS 2 og styreansvar: Hvordan kurse ledergruppen på 45 minutter? (Compliance (NIS 2, DORA, ISO)) : Lær hvordan du gjennomfører cybersikkerhetsopplæring for ledergruppen under NIS 2 og digitalsikkerhetsloven på 45 minutter med krisesimulering.
• SOC 2 Type II revisjon: Slik strukturerer og dokumenterer du sikkerhetsopplæring over 12 måneder (Compliance (NIS 2, DORA, ISO)) : Lær hvordan du dokumenterer kontinuerlig sikkerhetsbevissthet over 12 måneder for å bestå SOC 2 Type II revisjonen uten friksjon.
• Hvorfor et felles e-læringskurs i cybersikkerhet ikke lenger fungerer for hele virksomheten (Gamification) : Oppdag hvorfor generisk e-læring feiler, og hvordan dere bygger målrettet sikkerhetsopplæring tilpasset ulike roller og trusler.

Utforsk Brain Securitys løsninger på nettstedet vårt

• Tilknyttet løsning : Cyber Journey : Læringsreise som et interaktivt fremdriftskart: korte kapitler og innebygd arkadequiz uten krav om brukerkonto.
• Se bruksområder etter mål og bransje
• Sammenlign våre formater for cyber- og AI-bevissthet
• Utforsk hele den interaktive katalogen fra Brain Security
• Snakk med teamet vårt om deres behov (demo og oppsett)