18 januari 2024 - Allmänt
En ISO27001-certifiering är en hedersbetygelse som visar hur mycket din organisation bryr sig om hanteringen och skyddet av känslig information.
Standarden beskriver ett ramverk för säkerhetshantering, inklusive ett åtagande om medvetenhet och utbildning av anställda.
Men det kan vara svårt att få en fullständig förståelse för exakt vad som förväntas av din organisation. ISO27001-direktivet består av en hel del text. Och även om du har läst det ett par gånger kan du fortfarande ha frågor.
I den här artikeln förklarar vi vad ISO27001 säger om security awareness och hur du kan implementera ISO27001 security awareness -utbildning i din organisation.
I ett nötskal: vad är ISO27001?
ISO27001 är en standard för ledningssystem för informationssäkerhet (ofta kallat ISMS). Målet med denna standard är att tillhandahålla en metod för att hantera och skydda känslig information.
De viktigaste komponenterna i ISO27001 är
- Riskbedömning
- Utveckling av politiken
- Tydliga roller och ansvarsområden
- Utbildning i medvetenhet
Organisationer som väljer att följa denna standard är ofta myndigheter, sjukvårdsorganisationer, finansinstitut och alla andra organisationer som hanterar känslig information.
Att bli certifierad är inte en dans på rosor. Det innebär en rigorös revisionsprocess för att kontrollera om din organisation uppfyller standarden.
Vad säger ISO27001-standarden om security awareness?
ISO27001-standarden nämner vikten av security awareness i flera klausuler.
- Avsnitt 7.2 - Kompetens: Standarden kräver att organisationer fastställer den nödvändiga kompetensen hos anställda som arbetar med informationssäkerhet.
- Klausul 7.3 - Medvetenhet: Organisationen måste säkerställa att de anställda är medvetna om policyn för informationssäkerhet, relevanta mål och deras roller och ansvar för att uppnå dessa mål.
- Klausul 8.2 - Kommunikation: ISO 27001 betonar vikten av intern kommunikation om ledningssystemet för informationssäkerhet, inklusive att främja medvetenheten om informationssäkerhet.
- Klausul 8.2.2 - Information Security Awareness, utbildning och träning: Organisationer måste säkerställa att personalen är medveten om policyn för informationssäkerhet och är kompetent inom de områden av deras arbete som rör informationssäkerhet.
Hur man implementerar ISO27001 security awareness utbildning
ISO27001 tillhandahåller ett tydligt ramverk som hjälper organisationer att hantera informationssäkerhet. Det anges dock inte uttryckligen hur dessa security awareness program ska implementeras i organisationen.
Så hur vet du om ditt utbildningsprogram för ISO27001 security awareness håller måttet?
Vi kan först ta en titt på vad ISO27001-revisorer tittar på. Under revisioner bedöms organisationens efterlevnad av kraven i ISO27001, inklusive de som rör security awareness.
Revisorer letar ofta efter följande:
- Dokumentation: Har ni dokumenterat er säkerhetspolicy, era mål, roller och specifika krav som rör medvetenhet och utbildning?
- Kommunikation: Kan du bevisa att dina anställda är medvetna om din säkerhetspolicy, dina mål och deras specifika roller för att uppnå dem?
- Utbildningsprogram: Kan du bevisa att din organisation har genomfört utbildningsprogram?
- Övervakning och mätning: Kan ni visa att ni övervakar och mäter effektiviteten i era security awareness program?
Du kan antingen välja att sätta upp ditt eget utbildningsprogram eller använda en security awareness utbildningsplattform som Guardey.
Med Guardey antar dina anställda veckovis cyber security utmaningar som tar upp till tre minuter att genomföra. Utmaningarna täcker alla relevanta ämnen som spear phishing, CEO-bedrägerier, lösenordssäkerhet och mycket mer. Genom att lära sig små bitar av information varje vecka bygger medarbetarna långsamt upp kunskap och security awareness toppar.
I rapporteringsavsnittet kan du övervaka hur medarbetarna presterar och vilka säkerhetsfrågor som kan behöva mer uppmärksamhet. Detta gör Guardey till den perfekta lösningen för security awareness utbildning i enlighet med ISO27001-standarden.
→ Planera en demo med en av Guardeys cyber security specialister.
Så här introducerar du ISO27001 security awareness -utbildning för dina anställda
När ni har bestämt er för en utbildningslösning för ISO27001 security awareness är det dags att introducera den för era medarbetare. Detta är inte alltid en lätt uppgift. Alla kanske inte omedelbart förstår vikten av security awareness utbildning, vilket är anledningen till att det kanske inte räcker med att bara skicka dem deras inloggningar.
Det är därför du behöver en stark introduktion. Nedan har vi lagt till två exempel.
EyeOn anordnade en cyber security vecka för att starta sin ISO27001-certifieringsprocess. Under denna vecka började de varje dag med en intervju på 15 minuter, som de kallade "safety catch-up". Varje dag hade ett specifikt cyber security -tema, och under utmaningarna (både i Guardey och i verkliga livet) kunde medarbetarna få poäng. I slutet av veckan belönades de medarbetare som presterat bäst med en trofé och en liten gåva.
Delta Wines arrangerade först en spjut phishing simulering. Under denna simulering fick anställda ett e-postmeddelande från phishing för att testa om de skulle klicka på länken och lämna personlig information. Och det visade sig att många av de anställda gjorde just det. IT-chefen delade med sig av de slutliga resultaten av phishing -testet under ett kvartalsmöte, vilket chockade en hel del av hans kollegor. Detta gjorde det mycket enklare att introducera Guardey som deras utbildningslösning för security awareness .
Hur Fendix får organisationer ISO27001-certifierade med hjälp av Guardey
Fendix hjälper företag att bli ISO27001-certifierade. Killian Houthuijzen, informationssäkerhetskonsult på Fendix, förklarar vilken roll Guardeys security awareness -lösning spelar i denna process: "En viktig del av att få en ISO27001-certifiering är att investera i security awareness för dina anställda. För ett tag sedan försökte vi skapa vår egen version av en security awareness -utbildning som förberedelse för detta. Men att skapa allt det nya innehållet skulle ha tagit oss minst 8 timmar varje månad. Det är helt enkelt inte effektivt."
Han fortsätter: "Med Guardey blir security awareness -utbildning prisvärd och du behöver inte investera någon tid i att sätta upp den. Allt du behöver göra är att övervaka ditt teams prestationer, vilket är enkelt i Guardeys Learning Management System. Det är därför vi ofta rekommenderar våra kunder att helt enkelt använda Guardey istället för att göra allt det tunga arbetet med att sätta upp sin egen utbildning."
Testa Guardeys utbildningslösning för ISO27001 security awareness
Security awareness spelar en viktig roll för att skydda er organisation mot cyberattacker och för att uppfylla kraven i ISO27001. Om du letar efter en utbildningslösning som implementeras inom några timmar kan du överväga att använda Guardey.
Med Guardeys spelbaserade inlärningsprocess kommer dina medarbetare att få 3-minuters mikroutbildningar varje vecka. Med tiden lär de sig att känna igen cyberhot och agera därefter.
