ISO 27001:2022 i Kontrola A.6.3: Co audytor weryfikuje w szkoleniach security awareness

Termin audytu certyfikacyjnego ISO/IEC 27001 zbliża się wielkimi krokami. Polityki kontroli dostępu zostały wdrożone, analiza ryzyka zaktualizowana, a plan postępowania z ryzykiem zatwierdzony. Jednak w wielu organizacjach na biurku CISO i zespołu IT pozostaje jedno kluczowe pytanie: na co tak naprawdę zwróci uwagę audytor wiodący, weryfikując czynnik ludzki w Państwa Systemie Zarządzania Bezpieczeństwem Informacji (SZBI)? Wciąż zbyt wiele firm zakłada, że pojedyncze, coroczne szkolenie e-learningowe odhaczone przez pracowników wystarczy, aby zamknąć temat świadomości bezpieczeństwa.

W rzeczywistości, po aktualizacji normy do wersji ISO/IEC 27001:2022 oraz zdefiniowaniu kontroli A.6.3 (Budowanie świadomości, edukacja i szkolenia w zakresie bezpieczeństwa informacji), podejście audytorów uległo zaostrzeniu. Nie wystarczy już samo wykazanie faktu istnienia prezentacji szkoleniowej. Audytor sprawdza, czy program żyje w organizacji, czy odpowiada realnemu profilowi ryzyka oraz czy jego skuteczność jest mierzona w czasie. Poniżej przedstawiamy praktyczne wytyczne, jak ustrukturyzować i udokumentować ten proces przed wizytą audytora.

Czego dokładnie wymaga kontrola A.6.3 normy ISO/IEC 27001:2022?#

W skrócie: Kontrola A.6.3 wymaga, aby pracownicy organizacji oraz odpowiednie strony trzecie przechodzili właściwe szkolenia budujące świadomość, regularną edukację oraz otrzymywali bieżące aktualizacje polityk bezpieczeństwa, dostosowane do ich ról zawodowych i aktualnego krajobrazu zagrożeń.

W rewizji normy z 2022 roku obszar czynnika ludzkiego zyskał większą dojrzałość operacyjną. Tytuł kontroli łączy trzy uzupełniające się filary: budowanie świadomości (zrozumienie ogólnych zasad), edukację (kształtowanie trwałych nawyków) oraz szkolenia specjalistyczne (rozwijanie konkretnych kompetencji technicznych w zależności od stanowiska).

Audytor weryfikuje zgodność programu z czterema głównymi zasadami:

• Dopasowanie do ról w organizacji: Zespół programistów, dział zakupów, księgowość oraz specjaliści HR przetwarzają inne dane i stykają się z odmiennymi wektorami ataków. Program musi odzwierciedlać te różnice.
• Cykliczność i regularność działań: Jednorazowe szkolenie co dwanaście miesięcy jest obecnie uznawane przez audytorów za niewystarczające w obliczu dynamiki cyberzagrożeń. Oczekuje się regularnych, krótszych interakcji (w cyklu miesięcznym lub kwartalnym).
• Procedura wdrażania nowych pracowników (onboarding): Nowo zatrudnione osoby muszą poznać zasady higieny cyfrowej oraz procedury zgłaszania incydentów już w pierwszych tygodniach pracy.
• Reakcja na aktualne incydenty i trendy: Jeżeli w polskim sektorze nasilają się kampanie vishingu, wyłudzenia płatności (BEC) lub ataki na łańcuch dostaw, program edukacyjny powinien bezzwłocznie zaadresować te scenariusze.

Jak przygotować i udokumentować program na potrzeby audytu?#

W skrócie: Aby pomyślnie przejść audyt ISO 27001, należy przygotować formalny harmonogram roczny, raporty wskaźników ukończenia w podziale na działy, dowody aktualizacji materiałów pod kątem nowych zagrożeń oraz ocenę realnej skuteczności modułów szkoleniowych.

Podczas audytu same deklaracje nie mają mocy dowodowej bez udokumentowanych informacji (wymaganych m.in. przez punkt 7.5 normy). Audytor poprosi o wgląd w rejestry, wskaźniki oraz twarde dane.

4 kluczowe dowody, które należy przedstawić podczas audytu

1. Sformalizowany plan budowania świadomości: Dokument zatwierdzony przez Zarząd lub kierownictwo IT, określający roczny harmonogram, tematykę (phishing, inżynieria społeczna, bezpieczeństwo haseł, Shadow IT) oraz częstotliwość kampanii.

2. Wskaźnik objęcia personelu szkoleniami: Zbiorcze raporty wykazujące, którzy pracownicy zrealizowali przypisane moduły. Warto utrzymywać wskaźnik ukończenia powyżej 85% oraz posiadać spisaną procedurę przypomnień dla osób opóźnionych.

3. Weryfikacja przyswojenia wiedzy: Zwykłe kliknięcie "oznacz jako przeczytane" nie stanowi potwierdzenia nabycia kompetencji. Audytorzy pozytywnie oceniają interaktywne quizy sprawdzające oraz realistyczne symulacje scenariuszowe.

4. Pętla ciągłego doskonalenia: Dowody na to, że program jest modyfikowany w odpowiedzi na wnioski z audytów wewnętrznych, zgłoszone incydenty lub zalecenia jednostek takich jak CERT Polska.

Aby wdrożyć cykliczny model bez paraliżowania codziennych obowiązków personelu, warto wykorzystać modułowe mikrolekcje, takie jak Cyber Journey. Umożliwiają one rozłożenie nauki na regularne, kilkuminutowe etapy wzbogacone o quizy, a generowane raporty postępów stanowią gotowy pakiet dowodowy dla audytora.

Najczęstsze pułapki prowadzące do niezgodności#

Większość uwag i niezgodności związanych z kontrolą A.6.3 nie wynika z zupełnego braku szkoleń, lecz z braku dyscypliny w monitorowaniu ich rezultatów.

• Syndrom jednorazowego zrywu: Przeprowadzenie jednej długiej sesji na początku roku i brak jakichkolwiek działań przez kolejne jedenaście miesięcy wskazuje na brak ciągłości procesu.
• Pominięcie współpracowników zewnętrznych (B2B): Jeżeli kontrahenci lub pracownicy tymczasowi mają dostęp do kluczowych zasobów informacyjnych organizacji, audytor sprawdzi, czy objęto ich adekwatnymi instrukcjami bezpieczeństwa.
• Nieaktualne materiały dydaktyczne: Szkolenia wspominające o regułach sprzed kilku lat, bez uwzględnienia nowoczesnych zagrożeń (np. deepfake czy ataków socjotechnicznych wspieranych przez sztuczną inteligencję), podważają wiarygodność SZBI.
• Brak wskaźników efektywności (KPI): Bez danych prezentowanych podczas przeglądu zarządzania (poziom ukończenia, dynamika wyników testów, wskaźniki podatności na symulacje) trudno wykazać realną skuteczność podjętych działań.

INTERFEJS I DOŚWIADCZENIE BRAIN SECURITY · Cyber Journey

W stronę dojrzałej i mierzalnej kultury cyberbezpieczeństwa#

Wymagania kontroli A.6.3 nie powinny być postrzegane jako biurokratyczny obowiązek, ale jako narzędzie do budowania realnej odporności organizacji. Zapewnienie angażujących, regularnych i mierzalnych modułów szkoleniowych pozwala przekształcić formalny wymóg normy w trwałą linię obrony przed cyberzagrożeniami.

Przygotowują się Państwo do audytu certyfikacyjnego lub odnowieniowego ISO/IEC 27001 i poszukują sposobu na automatyzację raportowania oraz podniesienie zaangażowania zespołów? Zapraszamy do kontaktu z naszym zespołem, aby wspólnie zaprojektować program budowania świadomości spełniający wymagania norm audytowych.

Przeczytaj również: powiązane artykuły i rozwiązania Brain Security#

Powiązane artykuły na ten temat

• Kontrola UODO i RODO: Dlaczego szkolenie pracownikow to obowiazkowy srodek bezpieczenstwa (Compliance (NIS 2, DORA, ISO)) : Kontrola UODO a szkolenia RODO pracownikow. Artykuly 32 i 39 wymagaja realnej edukacji zespolu. Sprawdz, jak skutecznie dokumentowac budowanie swiadomosci cyber.
• NIS 2 i odpowiedzialnosc zarzadu: Jak przeszkolic Zarzad w 45 minut? (Compliance (NIS 2, DORA, ISO)) : Sprawdz, jak przeprowadzic obowiazkowe szkolenie cyberbezpieczenstwa dla Zarzadu wedlug NIS 2 w 45 minut dzieki symulacji kryzysowej i realnym dylematom.
• Audyt SOC 2: Jak zaplanowac i raportowac szkolenia cyberbezpieczenstwa przez 12 miesiecy (Compliance (NIS 2, DORA, ISO)) : Dowiedz sie, jak zorganizowac i udokumentowac szkolenia security awareness, aby bez problemu uzyskac raport z audytu SOC 2 Type II.
• Micro-learning w cyberbezpieczeństwie: Dlaczego 3 minuty są lepsze niż godzinne szkolenie (Gamification) : Dowiedz się, dlaczego micro-learning w cyberbezpieczeństwie przewyższa coroczne e-learningi. Zmniejsz obciążenie poznawcze i chroń firmę.

Poznaj rozwiązania Brain Security na naszej stronie

• Powiązane rozwiązanie : Cyber Journey : Ścieżka edukacyjna w formie mapy postępów: krótkie rozdziały i wbudowany quiz arcade bez konieczności zakładania konta.
• Sprawdź przypadki użycia według celów i branż
• Porównaj nasze formaty budowania świadomości cyber i AI
• Zobacz pełny interaktywny katalog Brain Security
• Porozmawiaj o swoich potrzebach z naszym zespołem (demo i wdrożenie)