ISO 27001 awareness training: maatregel A.6.3 aantonen met een phishingtest

ISO 27001 schrijft geen vorm voor: een e-learning, een klassikale sessie en een oefening in de eigen inbox kunnen er alle drie onder vallen. Wat telt, is dat u plant, uitvoert, vastlegt en nagaat of het effect heeft. Voor dat laatste is een presentielijst niet genoeg. Een phishingtest van BSM, gevolgd door de herkenningsbrief phishing en een eindrapport van onze specialisten, maakt ISO 27001 awareness training meetbaar.

Wat ISO 27001 vraagt over bewustwording, in gewone taal

ISO 27001 is de internationale norm voor een managementsysteem voor informatiebeveiliging. In Nederland verschijnt de versie uit 2022 als NEN-EN-ISO/IEC 27001:2023. Bewustwording komt in die norm op twee plekken terug.

Het eerste deel is de norm zelf, in het hoofdstuk over ondersteuning. Daar staat dat u bepaalt welke kennis medewerkers nodig hebben voor hun werk, dat u zorgt dat zij die kennis krijgen, en dat u nagaat of uw acties effect hadden. Wat u daarvoor doet, legt u vast. Ook moeten medewerkers het informatiebeveiligingsbeleid kennen, weten wat hun eigen bijdrage is en begrijpen wat er gebeurt als zij de regels niet volgen.

Het tweede deel is bijlage A, de lijst met beheersmaatregelen. Maatregel A.6.3 gaat over bewustwording, opleiding en training. In gewone taal: iedereen die voor uw organisatie werkt, krijgt de kennis die bij zijn functie past, en die kennis wordt regelmatig bijgewerkt. In de oude versie uit 2013 heette dit maatregel A.7.2.2.

U kiest de vorm die past bij de risico's uit uw risicoanalyse en legt die keuze vast, bijvoorbeeld in uw Verklaring van Toepasselijkheid.

Wat een auditor wil zien bij ISO 27001 awareness training

Een auditor toetst of bewustwording bij u een vast proces is. Dat komt meestal neer op vier vragen.

• Is er een plan: wie krijgt welke bewustwording, hoe vaak, en waarom
• Is het plan uitgevoerd: wanneer, met welke groepen en met welke inhoud
• Weet u of het werkt: herkennen en melden medewerkers phishing
• Doet u iets met de uitkomsten: wat is verbeterd, en wanneer meet u opnieuw

Bij de eerste twee vragen helpt elke vorm van training. Bij de laatste twee heeft u een meting nodig. Of medewerkers een phishingmail herkennen en op de juiste plek melden, blijkt pas als zij er een in hun eigen inbox krijgen.

Wat een phishingtest aan uw ISO 27001-dossier toevoegt

Een phishingtest is stap 1 van ons programma Oefenen, Leren, Bewust blijven. Samen kiezen wij een scenario dat past bij het niveau van uw organisatie. Wij richten de test in, doen al het werk en begeleiden u tot en met het eindrapport. Na afloop heeft u drie stukken:

• De test: wanneer hij liep, hoeveel medewerkers meededen en welk scenario u goedkeurde
• De herkenningsbrief phishing: de uitleg die iedereen kreeg, met de datum waarop u hem deelde
• Het eindrapport: wat er per route gebeurde, met risicomatrix en advies van onze specialisten

De herkenningsbrief sluit aan op wat de norm over bijdrage zegt: een verdachte mail direct melden is de bijdrage van elke medewerker. Het eindrapport beschrijft het effect van de oefening op de phishingpagina, in de hackermailbox en bij melden en navraag. Route 3 houdt uw organisatie zelf bij; de routes staan uitgewerkt in het artikel over het phishingprotocol. Het eindrapport noemt geen namen. Lees welke onderdelen een phishingtest heeft, of hoe u een phishingtest laat uitvoeren.

Herhalen laat zien dat bewustwording regelmatig wordt bijgewerkt

Maatregel A.6.3 vraagt om regelmaat. Eén test laat zien waar u nu staat; een volgende test laat zien of het beter gaat. Omdat wij elke test met hetzelfde risicomodel beoordelen, legt u de eindrapporten naast elkaar, telkens met een nieuw scenario. Hoe vaak u test, bepaalt u zelf; wat onderzoek over herhalen zegt, leest u in hoe vaak een phishingtest. Wilt u dit als vast ritme, dan voeren wij het uit als phishing as a service.

Een phishingtest is één onderdeel van uw bewustwordingsprogramma

Uw bewustwordingsprogramma bestaat meestal uit meer: het beleid zelf, uitleg bij indiensttreding en training voor groepen met een hoger risico. Na een test kunt u een training laten geven door onze eigen trainers; hoe die verloopt, leest u op de pagina over phishing training. Een certificaat voor ISO 27001 verleent de certificerende instelling op basis van uw hele managementsysteem.

Zo bereidt u de phishingtest voor uw ISO 27001-audit voor

Plan de test ruim voor de audit, zodat het eindrapport klaar is en u de opvolging kunt laten zien. De doorlooptijd is gemiddeld twee tot vier weken. Is de audit dichtbij, bespreek dat dan in de intake: de test zelf kan binnen een dag draaien, en in overleg kan de doorlooptijd een week zijn, als wij de reacties korter opvangen.

Van u hebben wij vier dingen nodig: een contactpersoon die met ons meedenkt, een deelnemerslijst, uw akkoord op de testmail en een IT-beheerder die de testmail met onze instructies doorlaat. Alle gegevens van de test blijven in Europa, op onze eigen servers in Duitsland.

Zo ziet een phishingtest van BSM eruit. Wat een volledige phishing simulatie van BSM omvat, leest u op de productpagina. Vragen over training en de audit in het algemeen staan in telt een phishingtest als awareness training.

Bronnen

• ISO, ISO/IEC 27001:2022 Information security management systems