7.2任用中

7.2任用中

7.2.1管理責任

控制
管理層宜要求所有員工和合同方按照組織已建立的策略和規程應用信息安全。
實現指南
管理責任宜包括確保員工和合同方：
a) 在被允許訪問保密信息或信息系統前了解其信息安全角色和責任；
b) 獲取了聲明其組織角色的信息安全期望的指南；
c) 受到激勵以實現組織的信息安全策略；
d) 對于他們在組織內的角色和責任相關的信息安全意識達到一定程度（見7.2.2）；
e) 遵守任用的條款和條件，包括組織的信息安全策略和適當的工作方法；
f) 保持適當的技能和資質，并定期接受教育；
g) 提供違反信息安全策略或規程的匿名報告通道（“舉報”）。
管理層宜展示出對信息安全策略、規程和控制的支持，并以身作則。
其他信息
如果不使員工和合同方了解他們的信息安全責任，他們就可能組織造成相當大的破壞。得到激勵的人員可能是更可靠的并能減少信息安全事件的發生。

7.2.2信息安全意識、教育和培訓

控制
組織所有員工和相關的合同方，宜按其工作職能，接受適當的意識教育和培訓，及組織策略及規程的定期更新的信息。
實現指南
信息安全意識培訓方案旨在使員工，適當時，包括合同方，了解他們的信息安全責任以及免責的方法。
信息安全意識方案宜按照組織的信息安全策略和相關規程建立，考慮組織要保護的信息以及為保護這些信息所實現的控制。意識方案宜包括一些意識提升活動，像組織宣傳活動（例如“信息安全日”）、發行宣傳冊或制作簡報等。
宜考慮組織中的員工角色，相關時還需考慮組織對合同方意識的期望來規劃意識方案。宜隨時間安排，最好定期安排意識方案中的活動，以便活動可以重復并覆蓋新的員工和合同方。意識方案宜根據組織的策略和規程定期更新，并宜汲取信息安全事件的經驗教訓。
意識培訓宜按照組織的信息安全意識培訓方案的要求執行。意識培訓可使用不同的交付媒介，包括課堂教學、遠程學習、網絡教學、自學及其他。
信息安全教育和培訓宜覆蓋一般方面，例如：
a) 在整個組織范圍內說明管理層對信息安全的承諾；
b) 熟悉并遵從適用的信息安全規則和義務的要求，正如策略、標準、法律、法規、合同和協議中所定義的；
c) 對個人作為和不作為的問責制度，以及確保或保護組織和外部方的信息的安全的一般責任；
d) 基本的信息安全規程（例如信息安全事件報告）和基線控制（例如口令安全、惡意軟件控制和清空桌面）；
e) 可得到關于信息安全問題的更多信息和建議的聯絡點和資源，包括進一步的信息安全教育和培訓材料。
信息安全教育和培訓宜定期進行。初始的教育和培訓不僅適用于新員工，也適用于那些調配到對信息安全要求完全不同的新崗位或角色的員工，且宜在其開展工作前進行培訓。
為有效進行教育和培訓，組織宜制定信息安全意識培訓方案。該方案宜與組織的信息安全策略和相關規程保持一致，并考慮組織要予保護的信息以及為保護這些信息已實現的控制。該方案宜考慮教育和培訓的不同形式，例如講座或自學。
其他信息
當編制意識方案時，重要的是，不僅要關注“做什么”和“怎么做”，還要關注“為什么”。員工要理解信息安全的目標以及他們自己行為對組織的潛在影響，包括正面的和負面的，也很重要。
意識、教育和培訓可以是其他培訓活動的一部分，或與之協同開展，例如通用信息技術或通用安全培訓。意識、教育和培訓活動宜適于并與個人的角色、責任和技能相關。

7.2.3違規處理過程

控制
宜有正式的、且已被傳達的違規處理過程以對信息安全違規的員工采取措施。
實現指南
在沒有驗證信息安全違規已經發生之前（見16.1.7），不能開始該違規處理過程。
正式的違規處理過程宜確保對被懷疑信息安全違規的員工，給予了正確和公平的對待。無論違規是第一次或是已發生過，無論違規者是否經過適當地培訓，正式的違規處理過程宜規定一個處理程度的響應，要考慮例如違規的性質、重要性及對于業務的影響等因素，相關法律、業務合同和其他因素等。
違規處理過程也可用于對員工的一種威懾，防止他們違反組織的信息安全策略和規程及其他信息安全違規。故意的違規可能需要立刻采取相應的措施。
其他信息