#iso27002/2022/NL
---
Standard: ISO 27002:2022 NL
---

+------------------------+----------------------------------------------------+----------------------+----------------------------+---------------------+
| **Type**             | **Informatie-**                                  | **Cybersecurity-** | **Operationele**         | **Beveiligings-** |
|                      |                                                  |                    |                          |                   |
| **beheersmaatregel** | **beveiligings-**                                | **concepten**      | **capaciteiten**         | **domeinen**      |
|                        |                                                  |                      |                            |                     |
|                        | **eigenschappen**                                |                      |                            |                     |
+========================+====================================================+======================+============================+=====================+
| #Preventief          | #Vertrouwelijkheid #Integriteit #Beschikbaarheid | #Beschermen        | #Personeelsbeveili- ging | #Governance_en\_  |
|                        |                                                    |                      |                            |                   |
|                        |                                                    |                      |                            | Ecosysteem        |
+------------------------+----------------------------------------------------+----------------------+----------------------------+---------------------+

**Beheersmaatregel**

Personeel van de organisatie en relevante belanghebbenden behoren een passend(e) bewustwording van, opleiding, training en bijscholing in informatiebeveiliging en regelmatige updates over het informatiebeveiligingsbeleid, onderwerpspecifieke beleidsregels en procedures van de organisatie, voor zover relevant voor hun functie, te krijgen.

**Doel**

Ervoor zorgen dat personeel en relevante belanghebbenden zich bewust zijn van hun verantwoordelijkheden op het gebied van informatiebeveiliging en deze nakomen.

**Richtlijn**

<u>Algemeen</u>

Een bewustwordingsprogramma, -opleiding en -training voor informatiebeveiliging behoren te worden vastgesteld in overeenstemming met het informatiebeveiligingsbeleid, onderwerpspecifieke beleidsregels en relevante procedures inzake informatiebeveiliging van de organisatie, rekening houdend met de te beschermen informatie van de organisatie en de beheersmaatregelen voor informatiebeveiliging die zijn geïmplementeerd om de informatie te beschermen.

Opleiding en training voor bewustwording van informatiebeveiliging behoort periodiek plaats te vindenen basisbewustwordingsprogramma, -opleiding en -training kunnen van toepassing zijn op nieuw personeel en op personeel dat naar nieuwe functies of rollen met substantieel andere informatiebeveiligingseisen overstapt.

Om de kennisoverdracht en doeltreffendheid van het bewustwordings-, opleidings- of trainingsprogramma te testen behoort aan het eind van een bewustwordings-, opleidings- of trainingsactiviteit een beoordeling van het inzicht van het personeel te worden uitgevoerd.

<u>Bewustwording</u>

Een bewustwordingsprogramma voor informatiebeveiliging behoort erop gericht te zijn om personeel bewust te maken van hun verantwoordelijkheden voor informatiebeveiliging en de manieren waarop personeel zich van deze verantwoordelijkheden kan kwijten.

Bij het plannen van het bewustwordingsprogramma behoort rekening te worden gehouden met de rollen van het personeel binnen de organisatie, met inbegrip van intern en extern personeel (bijvxterne consultants, personeel van leveranciers)e activiteiten in het bewustwordingsprogramma behoren op zo'n manier te worden gespreid en bij voorkeur regelmatig te worden uitgevoerd dat de activiteiten worden herhaald en nieuw personeel deze ook meemakenr behoort te worden voortgebouwd op lering die is getrokken uit informatiebeveiligingsincidenten.

Het bewustwordingsprogramma behoort een aantal bewustwordingsactiviteiten te bevatten via passende fysieke of virtuele kanalen, zoals campagnes, boekjes, posters, nieuwsbrieven, websites, informatiesessies, briefings, e-learningmodules en e-mails.




Bewustwording van informatiebeveiliging behoort algemene aspecten te omvatten zoals:

a) de betrokkenheid van het management bij informatiebeveiliging in de gehele organisatie;

b) de noodzaak van bekend zijn met en het voldoen aan de van toepassing zijnde regels en verplichtingen met betrekking tot informatiebeveiliging, rekening houdend met informatiebeveiligingsbeleid en onderwerpspecifieke beleidsregels, normen, wetten, statuten, regelgeving, contracten en overeenkomsten;

c) persoonlijke verantwoordelijkheid voor eigen doen en laten, en algemene verantwoordelijkheden ten opzichte van het beveiligen of beschermen van informatie die eigendom is van de organisatie en belanghebbenden;

d) basisprocedures op informatiebeveiliging [zoals het melden van informatiebeveiligings-

gebeurtenissen (6] en basisbeheersmaatregelen [zoals wachtwoordbeveiliging (5)];

e) contactpunten en bronnen voor aanvullende informatie en advies over informatiebeveiligings- aangelegenheden, met inbegrip van aanvullende materialen voor het verhogen van bewustwording van informatiebeveiliging.

<u>Opleiding en training</u>

De organisatie behoort een passend trainingsplan vast te stellen, voor te bereiden en te implementeren voor technische teams met rollen die specifieke vaardigheden en deskundigheid vereisenechnische teams behoren te beschikken over de vaardigheden voor het configureren en in

stand houden van het vereiste beveiligingsniveau voor apparaten, systemen, toepassingen en dienstenndien er vaardigheden ontbreken, behoort de organisatie actie te ondernemen om deze vaardigheden te verwerven.

Voor het opleidings- en trainingsprogramma behoren verschillende vormen te worden overwogen [bijvessen of zelfstudie, begeleiding door deskundig personeel of consultants (training in de praktijk), het rouleren van personeelsleden om verschillende activiteiten te volgen, mensen met de juiste vaardigheden werven en consultants inhuren]it kan via verschillende middelen worden geleverd, bijvlassikaal, via afstandsonderwijs, via internet, in eigen tempoechnisch personeel behoort zijn kennis op peil te houden door zich te abonneren op nieuwsbrieven en tijdschriften of door conferenties en evenementen te bezoeken die zich richten op technische en professionele verbetering.

**Overige informatie**

Bij het opstellen van een bewustwordingsprogramma is het belangrijk niet alleen de aandacht te richten op het 'wat' en 'hoe', maar ook op het 'waarom', indien mogelijket is belangrijk dat personeel het doel van informatiebeveiliging en de mogelijke uitwerking, positief en negatief, van het eigen gedrag op de organisatie begrijpt.

Bewustwording van, opleiding en training in informatiebeveiliging kunnen onderdeel zijn van, of worden gegeven in combinatie met andere activiteiten, bijvoorbeeld algemene informatiemanagement-, ICT-, beveiligings-, privacy- of veiligheidstraining.
