ГОСТ Р ИСО/МЭК 27002-2012
игнорированию безопасности или возможному нецелевому использованию активов
организации.
8.2.2 Осведомленность, обучение итренинг в области информационной
безопасности
Мера и средство контроля и управления
Все сотрудники организации и, где необходимо, подрядчики и представители
третьей стороны, должны пройти соответствующее обучение и получать на регулярной
основе обновленные варианты политик и процедур, принятых в организации и
необходимых для выполнения их рабочих функций.
Рекомендация по реализации
Обучение, обеспечивающее осведомленность, следует начинать с формального
вводного процесса, предназначенного для ознакомления с политиками и ожиданиями
организации в области безопасности прежде, чем будет предоставлен доступ к
информации или услугам.
Постоянное обучение должно охватывать требования безопасности, правовую
ответственность, управление бизнесом, а также обучение правильному использованию
средств обработки информации, например процедуре начала сеанса, использованию
пакетов программ и информации о дисциплинарном процессе (см. 8.2.3).
Дополнительная информация
Деятельность, связанная с обеспечением осведомленности, обучения и тренинга в
отношении безопасности должна быть адекватной и соответствовать роли, обязанностям
и квалификации лица, и должна включать информацию об известных угрозах, о
контактном лице для получения дополнительной консультации по безопасности, а также
осоответствующихканалахдлясообщенияобинцидентахинформационной
безопасности (см. 13.1).
Обучение с целью повышения осведомленности направлено на то, чтобы дать
возможность отдельным лицам распознавать проблемы и инциденты информационной
безопасности, и реагировать в соответствии с потребностями их рабочей функции.
8.2.3 Дисциплинарный процесс
Мера и средство контроля и управления
Должен существовать формальный дисциплинарный процесс, применяемый в
отношении сотрудников, совершивших нарушение безопасности.
40