Навчання для комплаєнсу з прив’язкою до кожного стандарту
Що 14 стандартів, від SOC 2 та ISO 27001 до NIS2, DORA, CMMC і Закону ЄС про ШІ, вимагають від навчання з кібербезпеки.
Оберіть стандарт
- SOC 2 У SOC 2 немає окремого правила про навчання. Аудитори виводять його з CC1.4 і CC2.2, а потім вибірково перевіряють записи про проходження за весь період Type II. Читати посібник
- ISO 27001 ISO/IEC 27001:2022 розподіляє обізнаність між пунктом 7.2 «Компетентність», пунктом 7.3 «Обізнаність» і контролем Annex A 6.3, і сертифікаційний аудитор перевіряє всі три. Читати посібник
- HIPAA 45 CFR §164.308(a)(5) називає обізнаність і навчання з безпеки адміністративним заходом захисту з чотирма специфікаціями впровадження, про кожну з яких OCR питає окремо. Читати посібник
- GDPR GDPR ніде не каже «щорічне навчання». Він вкладає навчання в завдання DPO за статтею 39 і в заходи безпеки статті 32, а потім вимагає довести обидва за статтею 5(2). Читати посібник
- PCI DSS PCI DSS v4.0.1 розбиває вимогу 12.6 на п’ять частин, які перевіряють окремо, і дві з них, обізнаність про фішинг і прийнятне використання, стали обов’язковими 31 березня 2025 року. Читати посібник
- NIS2 NIS2 робить навчання справою правління: стаття 20 вимагає навчання керівних органів і встановлює їхню персональну відповідальність, а стаття 21(2)(g) поширює навчання з кібергігієни на всіх інших. Читати посібник
- Закон ЄС про штучний інтелект Стаття 4 Закону ЄС про ШІ застосовується з 2 лютого 2025 року. Після Digital Omnibus вона вимагає від кожного постачальника й розгортача вживати заходів, що підтримують грамотність персоналу у сфері ШІ. Читати посібник
- DORA Article 13(6) DORA робить навчання з безпеки ІКТ та операційної стійкості обов’язковим для кожного працівника фінансової установи в ЄС, а Article 5(4) додає регулярне навчання для керівного органу. Читати посібник
- NIST CSF NIST CSF 2.0 добровільний, але категорія PR.AT очікує навчання для всього персоналу і для спеціалізованих ролей, а клієнти, страховики й держоргани регулярно питають, як ви це виконуєте. Читати посібник
- ISO/IEC 42001 ISO/IEC 42001 — стандарт системи менеджменту ШІ, за яким можна сертифікуватися. Пункти 7.2 і 7.3 вимагають довести, що люди, які створюють і експлуатують ваш ШІ, знають свою справу. Читати посібник
- CMMC CMMC Level 1 вимагає від оборонних підрядників щороку підтверджувати, що 15 базових запобіжників захищають Federal Contract Information. Серед них немає вимоги про навчання, але більшість із них ламається, коли людина діє неправильно. Читати посібник
- HITRUST HITRUST CSF — це фреймворк із сертифікацією, який зводить HIPAA, NIST, ISO та десятки інших джерел в один набір контролів. Навчання персоналу належить до домену Education, Training and Awareness, і його перевіряють на кожному рівні оцінки. Читати посібник
- CCPA Навчання за CCPA — це окреме правило, а не побажання. Регламент §7100 вимагає, щоб кожен, хто відповідає на запитання споживачів про приватність, знав вимоги закону й куди спрямувати запит. Читати посібник
- ISO 27701 ISO/IEC 27701:2025 — система управління приватністю, яку можна сертифікувати окремо. Пункти 7.2 і 7.3 вимагають довести, що люди, які працюють з персональними даними, знають політику приватності й уміють її виконувати. Читати посібник
Як ми вибудовуємо послідовність стандартів
Бібліотека стандартів вибудувана за емпіричною картиною попиту покупців, а не за алфавітом. SOC 2 іде першим, бо це домінантна атестація довіри в процесі купівлі SaaS. Далі ISO 27001, бо це міжнародний стандарт ISMS, за яким сертифікуються у 70+ країнах і якого договірно вимагають корпоративні клієнти. HIPAA, PCI DSS та GDPR стоять поруч, бо це три режими, які запроваджують регулятори і які вже рік за роком дають публічні штрафи з задокументованими зауваженнями щодо провалів навчання.
NIS2 та Закон ЄС про штучний інтелект новіші, але юридично обов’язкові для суб’єктів у Європейському Союзі, що підпадають під їхню дію. NIS2 набула чинності в жовтні 2024 року з персональною відповідальністю керівних органів за статтею 20 та обов’язковим контролем кібергігієни й навчання за статтею 21(2)(g). Вимога щодо грамотності у сфері ШІ за статтею 4 Закону ЄС про ШІ діє з лютого 2025 року, поширюється на постачальників і суб’єктів розгортання незалежно від рівня ризику й підпадає під загальний режим штрафів регламенту. Ми виносимо обидва окремо, бо контролі вже написані, дедлайни реальні, а більшість компаній досі не має задокументованої програми навчання, прив’язаної до будь-якого з них.
Кожен посібник має однакову структуру: визначення та сфера дії, вимоги до навчання за конкретним стандартом із посиланнями на контролі (наприклад, SOC 2 CC1.4, HIPAA §164.308(a)(5), PCI DSS 12.6.3, NIS2 ст. 21(2)(g), Закон ЄС про ШІ ст. 4), типові причини зауважень на аудиті з названих випадків правозастосування, вісім захисних контролів, які закривають стандарт, рольова послідовність вправ із каталогу 200+ вправ, що відпрацьовує людську сторону, та перелік першоджерел. Аудитори можуть посилатися на ті самі першоджерела, що й сторінка.
Перетворіть навчання на докази для аудиту
Одна програма з прив’язкою до кожного стандарту й експортами, які приймає аудитор.