ISO 27001:2022 och kontroll A.6.3: Vad revisorn faktiskt granskar i er säkerhetsutbildning

Tidpunkten för er certifieringsrevision enligt ISO/IEC 27001 närmar sig. Åtkomstpolicyer, riskanalys och handlingsplaner är på plats. Ändå kvarstår ofta en kritisk fråga för CISO och ledningsgruppen: vad kommer den externa revisorn egentligen att granska när det gäller den mänskliga faktorn i ert ledningssystem för informationssäkerhet (LIS)? Alltför många verksamheter förlitar sig fortfarande på en obligatorisk e-learning en gång per år och tror att det räcker för att bocka av kravet.

I ISO/IEC 27001:2022 och kontroll A.6.3 (Medvetenhet om, utbildning i och träning för informationssäkerhet) har kraven skärpts markant. Revisorer nöjer sig inte längre med att verifiera att en utbildning existerar. De vill se att den är levande, anpassad efter er riskprofil och mätbar över tid. Här är metoden för att strukturera och dokumentera ert arbete utan stress inför revisionsdagen.

Vad kräver kontroll A.6.3 i ISO 27001:2022 i detalj?#

Kort sammanfattning: Kontroll A.6.3 kräver att personal och relevanta intressenter får adekvat medvetenhetsträning, kontinuerlig utbildning samt regelbundna uppdateringar om organisationens säkerhetspolicyer, anpassat efter deras roller och det aktuella hotlandskapet.

I 2022 års revision av standarden ställs högre krav på operativ mognad. Standarden delar upp området i tre distinkta nivåer: medvetenhet (övergripande riskförståelse), utbildning (systematiska metoder och reflexer) och träning (rollspecifik teknisk kompetens).

Revisorn kontrollerar att ert program uppfyller fyra grundläggande principer:

• Rollanpassning: Systemutvecklare, inköpsavdelningen och HR hanterar olika typer av information och möter skilda hotbilder. Er utbildningsplan måste spegla dessa skillnader.
• Regelbundna insatser: En engångsinsats var tolfte månad bedöms som otillräcklig med tanke på hur snabbt cyberhoten förändras. Revisorn förväntar sig en kontinuerlig kadens, till exempel månadsvis eller kvartalsvis.
• Onboarding för nyanställda: Introduktionsprocessen måste innehålla grundläggande digital hygien och säkerhetsrutiner redan under de första arbetsveckorna.
• Anpassning till det aktuella hotläget: Om er sektor drabbas av vd-bedrägerier, röstfiske (vishing) eller riktade nätfiskekampanjer måste ert utbildningsupplägg snabbt integrera dessa insikter, i linje med råd från MSB och CERT-SE.

Hur förbereder och dokumenterar ni ert program inför revisionen?#

Kort sammanfattning: För att klara en ISO 27001-revision krävs en formellt fastställd årsplan, aggregerade data över genomförandegrad per avdelning, bevis på innehållsuppdateringar mot nya cyberhot samt utvärdering av utbildningens faktiska effekt.

Under revisionen har goda avsikter inget värde utan konkreta bevis (dokumenterad information enligt klausul 7.5). Den externa revisorn kommer att be om insyn i era analysverktyg och kräva faktiska underlag.

De 4 viktigaste bevisen att visa upp på revisionsdagen

1. En formell utbildningsplan: Ett styrdokument godkänt av ledningsgruppen som beskriver årsplaneringen, prioriterade områden (nätfiske, lösenordshantering, social manipulation, skugg-IT) samt vald frekvens.

2. Täckningsgrad i organisationen: Ni behöver kunna exportera data som visar vilka medarbetare som slutfört respektive modul. Sikta på en genomförandegrad över 85 % och dokumentera era påminnelserutiner för eftersläntrare.

3. Mätning av kunskapsnivå: Att enbart klicka på "markera som läst" bevisar inte att medarbetaren har förstått budskapet. Revisorn värdesätter kunskapskontroller genom interaktiva quiz eller verklighetsnära scenarier.

4. Ständig förbättring: Visa hur ni reviderar era utbildningsmoduler baserat på interna incidenter, feedback eller genomförda praktiska övningar under året.

För att upprätthålla denna kontinuitet utan att överbelasta verksamheten erbjuder Cyber Journey en strukturerad väg med korta mikrolektioner utspridda över året. Formatet kombinerar snabba kapitel med integrerade arcade-quiz och ger tydliga framstegsrapporter som fungerar direkt som verifierbara underlag vid revisionen.

Vanliga fallgropar som leder till avvikelser#

De flesta avvikelser kopplade till kontroll A.6.3 beror inte på att organisationen helt saknar utbildning, utan på bristande uppföljning och struktur.

• Årliga engångsinsatser: Att samla hela personalen till en tvåtimmars presentation i januari och sedan lämna ämnet orört resten av året visar på bristande kontinuitet.
• Bortglömda konsulter och underleverantörer: Om externa konsulter har åtkomst till era verksamhetskritiska system granskar revisorn om dessa omfattas av er säkerhetsmedvetenhet.
• Föråldrat kursmaterial: Utbildningsmaterial som inte tar upp moderna angreppsmetoder, såsom AI-drivna påverkansförsök eller sofistikerad nätfiske, sänker förtroendet för ert LIS.
• Avsaknad av mätbara nyckeltal (KPI:er): Om ledningens genomgång saknar siffror på deltagande, kunskapsutveckling och svarstider blir det svårt att påvisa att åtgärderna haft avsedd effekt.

BRAIN SECURITY I PRAKTIKEN · Cyber Journey

Från administrativ bock i kanten till en stark säkerhetskultur#

Kontroll A.6.3 ska inte ses som en formaliaövning utan som ett kraftfullt verktyg för att förankra säkerhetsarbetet i ledningsgruppen och skapa förståelse i hela organisationen. Genom att bygga återkommande, engagerande och mätbara insatser förvandlas regelefterlevnad till ett praktiskt skydd för verksamheten.

Förbereder ni er organisation för certifiering eller omcertifiering enligt ISO 27001 och vill modernisera era metoder för utbildning och bevisföring? Boka en dialog med oss för att se hur ni etablerar ett modernt program för säkerhetskultur som möter standardens krav.

Läs vidare: relaterade artiklar och lösningar från Brain Security#

Relaterade artiklar inom detta ämne

• IMY-granskning och GDPR: Varför utbildning av personal är en obligatorisk säkerhetsåtgärd (Compliance (NIS 2, DORA, ISO)) : Vid en IMY-tillsyn ställer GDPR krav på kontinuerlig utbildning enligt artikel 32 och 39. Se hur ni dokumenterar era säkerhetsåtgärder effektivt.
• NIS 2 och styrelseansvar: Utbilda ledningsgruppen på 45 minuter (Compliance (NIS 2, DORA, ISO)) : Lär er hur ni uppfyller NIS 2-kraven på utbildning för styrelse och ledningsgrupp på 45 minuter med interaktiv krisövning och verkliga scenarier.
• SOC 2-revision: Sa strukturerar och sparar du sakerhetsutbildning under 12 manader (Compliance (NIS 2, DORA, ISO)) : Lar dig strukturera och dokumentera organisationens sakerhetsutbildning under 12 manader for att klara er SOC 2 Type II-revision utan friktion.
• Cybersäkerhetskultur för SMF: Bygg ett starkt skydd utan ett dedikerat säkerhetsteam (Industries & Roles) : Hur lyckas SMF med cybersäkerhetsutbildning utan eget säkerhetsteam? Upptäck konkreta och snabba åtgärder för att engagera medarbetarna direkt.

Utforska Brain Securitys lösningar på vår webbplats

• Relaterad lösning : Cyber Journey : Utbildningsresa som en interaktiv utvecklingskarta: korta kapitel och inbyggt arkadquiz utan krav på konto.
• Se användningsfall efter mål och bransch
• Jämför våra format för cybersäkerhet och AI-medvetenhet
• Utforska hela Brain Securitys interaktiva produktkatalog
• Prata om era behov med vårt team (demo och upplägg)