ISO 27001: навчання з кібербезпеки

ISO 27001:2022 називає обізнаність з безпеки контролем Annex A 6.3 і прив’язує її до двох обов’язкових пунктів системи управління інформаційною безпекою (СУІБ) про компетентність та обізнаність. Органи сертифікації очікують доказів щодо кожного працівника з розбивкою за ролями протягом трирічного циклу, а найпоширеніша невідповідність у всьому стандарті припадає саме на цю сферу контролю.

Annex A 6.3 — це контроль ISO 27001:2022 під назвою «Обізнаність, освіта та навчання з інформаційної безпеки». Він вимагає від організації спланувати, створити, впровадити та підтримувати програму обізнаності, освіти й навчання для всіх працівників і регулярно оновлювати її відповідно до політики інформаційної безпеки та відповідних тематичних політик.

Він замінює контроль A.7.2.2 стандарту 2013 року, що містився в розділі «Безпека людських ресурсів». Контроль 2022 року входить до теми контролів «Люди» і підносить операційну програму з абзацу про кадрову безпеку до окремого контролю Annex A, який аудитують окремо.

Так, у трьох місцях. Пункт 7.3 (Обізнаність) вимагає, щоб кожна особа, яка працює під контролем організації, знала політику інформаційної безпеки, свій внесок у результативність СУІБ і наслідки недотримання вимог. Пункт 7.2 (Компетентність) вимагає задокументованої компетентності для ролей, чия робота впливає на результативність інформаційної безпеки. Annex A 6.3 — операційний контроль, який реалізує обидві вимоги.

Аудитор перевірить, що програма існує, що вона охоплює людей у сфері застосування СУІБ (включно з підрядниками та третіми сторонами, які мають облікові записи) і що докази щодо кожного працівника зберігаються. Відсутність будь-якого з трьох елементів означає невідповідність.

Стандарт не встановлює фіксованої періодичності. Текст контролю A.6.3 говорить, що програму потрібно оновлювати «регулярно», і аудитори тлумачать це з огляду на політику інформаційної безпеки, ландшафт загроз і тематичні політики, на які посилається SoA. На практиці органи сертифікації очікують щонайменше щорічного оновлення для всього персоналу плюс позапланових оновлень, коли нова загроза чи зміна політики робить наявний контент застарілим.

Найкращі програми працюють безперервно: щомісячні вправи за ролями та щоквартальні кампанії для всього персоналу. Безперервна модель дає свіжіші докази для кожного наглядового аудиту та знижує ризик невідповідності за формулюванням «оновлювати регулярно».

Аудитори вибірково перевіряють докази на рівні окремих працівників. Стандартний пакет містить план програми обізнаності, матрицю призначень за ролями, підписані підтвердження ознайомлення з політикою, записи про завершення щодо кожного працівника (ім’я, модуль, дата, результат оцінювання), результати фішингових симуляцій, матеріали кампаній з обізнаності (розсилки, плакати, слайди загальних зборів) та реєстр завершення онбордингу новачків і підрядників.

Пакет має охоплювати весь період аудиту: 12 місяців для наглядових аудитів і 36 місяців для ресертифікації. Сукупні показники завершення вимогу не задовольняють. Аудитор відбере конкретних осіб у сфері застосування СУІБ, включно з підрядниками, третіми сторонами та нещодавно придбаними компаніями, і запитає їхні записи.

Етап 1 — це перевірка документації. Аудитор підтверджує, що програма обізнаності задокументована, що вона охоплює Annex A 6.3 та пункти 7.2 і 7.3 і що матриця призначень за ролями існує. Зауваження на Етапі 1 зазвичай стосуються прогалин у документації, а не в доказах.

Етап 2 — це сертифікаційний аудит. Аудитор вибірково перевіряє записи щодо кожного працівника в усій сфері застосування СУІБ, тестує процес підтвердження ознайомлення з політикою та переконується, що програма працює так, як задокументовано. Саме тут виникає більшість невідповідностей, пов’язаних з обізнаністю.

Наглядові аудити на першому та другому році вибірково перевіряють частину контролів. A.6.3 включають майже завжди, бо це сфера контролю, за якою найчастіше фіксують невідповідності в усьому стандарті. Ресертифікація на третьому році — це знову повний аудит у тому самому обсязі, що й Етап 2.

У стандарті 2013 року обізнаність значилася як контроль A.7.2.2 у розділі «Безпека людських ресурсів». Стандарт 2022 року переніс її в A.6.3 у нову тему контролів «Люди» і переписав текст контролю так, щоб вимога до програми стала явною: спланована, створена, впроваджена, підтримувана й регулярно оновлювана відповідно до політики інформаційної безпеки та відповідних тематичних політик.

Строк переходу з 27001:2013 сплив 31 жовтня 2025 року. Організації, які після цієї дати працюють за старим сертифікатом, більше не вважаються сертифікованими за ISO 27001. SoA, документація програми та пакет доказів для аудиту мають посилатися на A.6.3, а не на застарілий A.7.2.2.

Так. Пункт 7.3 поширюється на «всіх осіб, які працюють під контролем організації», а це охоплює підрядників, персонал агентств і треті сторони, якщо вони мають обліковий запис або працюють з інформаційними активами у сфері застосування СУІБ. Форма договору не послаблює вимогу; за докази обізнаності відповідає організація.

На практиці кожному підряднику зазвичай призначають базовий модуль у перший день роботи разом із підписаним підтвердженням ознайомлення з політикою, а завершення відстежують у тій самій LMS чи GRC-системі, де зберігаються записи працівників. Аудитори перевіряють записи підрядників на тих самих засадах, що й працівників, тож відсутність одного підрядника — це та сама невідповідність, що й відсутність працівника.

Обидва стандарти вимагають задокументованої програми обізнаності за ролями з доказами щодо кожного працівника. Глибина доказів схожа, і та сама навчальна програма зазвичай закриває обидва зі спільним пакетом доказів. Відмінності в механіці аудиту: SOC 2 — це атестація американського AICPA з річними циклами Type 2, а ISO 27001 — міжнародний стандарт ISO з трирічними циклами сертифікації та акредитованими органами сертифікації.

Для організацій, які проходять обидва, практичний підхід такий: спроєктувати програму обізнаності під ISO 27001 A.6.3 (більш деталізований контроль) і зіставити пакет доказів із SOC 2 CC1.4 як додатковий зріз. Ті самі записи про навчання, призначення за ролями та підтвердження ознайомлення з політикою підходять для обох аудитів.