Осведомлённость и обучение
Обеспечьте обучение персонала и его осведомлённость в области политик кибербезопасности.
Тема Осведомлённость и обучение определена результатами NIST CSF 2.0: PR.AT-01 (Personnel are provided with awareness and training so that they possess the knowledge and skills to perform general tasks with cybersecurity risks in mind); PR.AT-02 (Individuals in specialized roles are provided with awareness and training so that they possess the knowledge and skills to perform relevant tasks with cybersecurity risks in mind). Соответствия Сопоставлено по опубликованной таблице соответствия в ISO 27001, CIS v8.1, PCI DSS, CMMC, 800-53, HIPAA и NIS2. Редакционные материалы Сопоставлено редакторски в SOC 2, GDPR и DORA. Нет сопоставления в наших данных В наших данных нет сопоставления для Essential Eight, CPS 234 и Cyber Essentials.
| Стандарт | Требование | Название | Связь | Источник / основание |
|---|---|---|---|---|
| NIST CSF 2.0 | PR.AT-01PR.AT-02 | Personnel are provided with awareness and training so that they possess the knowledge and skills to perform general tasks with cybersecurity risks in mind; Individuals in specialized roles are provided with awareness and training so that they possess the knowledge and skills to perform relevant tasks with cybersecurity risks in mind | Определение темы | PR.AT-01 PR.AT-02 |
| ISO 27001 | A.6.3Clause 7.3 | Information security awareness, education and training; Awareness | Соответствия | A.6.3: via PR.AT-01; PR.AT-02; NIST 800-53 map: AT-2, AT-3 Clause 7.3: via PR.AT-01; PR.AT-02; NIST 800-53 map: AT-2 |
| CIS v8.1 | CIS 14.1CIS 14.9CIS 14.2CIS 14.3CIS 14.4CIS 14.5CIS 14.6CIS 14.7CIS 14.8 | Establish and Maintain a Security Awareness Program; Conduct Role-Specific Security Awareness and Skills Training; Train Workforce Members to Recognize Social Engineering Attacks… | Соответствия | CIS 14.1: via PR.AT-01 CIS 14.9: via PR.AT-02 CIS 14.2: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): training to recognise social engineering. CIS 14.3: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): training on authentication. CIS 14.4: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): training on data handling. CIS 14.5: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): training on causes of unintentional data exposure. CIS 14.6: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): training to recognise and report incidents. CIS 14.7: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): training to report missing security updates. CIS 14.8: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): training on the dangers of insecure networks. |
| SOC 2 | CC1.4CC2.2 | Commitment to attracting, developing and retaining competent people; Internal communication of objectives and responsibilities | Редакционные материалы | AICPA's TSC mappings are not openly licensed; ControlMapping editorial mapping (criterion summaries are ours, not AICPA text). |
| PCI DSS | 12.6.112.6.3 | Formal security awareness programme; Awareness training on hire and at least annually | Соответствия | 12.6.1: via PR.AT-01 12.6.3: via PR.AT-01 |
| CMMC | AT.L2-3.2.1AT.L2-3.2.2AT.L2-3.2.3 | Role-Based Risk Awareness; Role-Based Training; Insider Threat Awareness | Соответствия | AT.L2-3.2.1: via 800-171r3 03.02.01 → AT-2; 800-171r2 Appendix D → AT-2, AT-3 AT.L2-3.2.2: via 800-171r3 03.02.02 ↔ PR.AT-01, PR.AT-02 → AT-3; 800-171r2 Appendix D → AT-2, AT-3 AT.L2-3.2.3: via 800-171r3 03.02.01 → AT-2; 800-171r2 Appendix D → AT-2 |
| 800-53 | AT-2AT-3 | Literacy Training and Awareness; Role-based Training | Соответствия | AT-2: via PR.AT-01 AT-3: via PR.AT-01; PR.AT-02 |
| HIPAA | §164.308(a)(5)§164.308(a)(5)(ii)(A) | Security Awareness and Training; Security Reminders | Соответствия | §164.308(a)(5): via NIST HIPAA map: AT-2, AT-3 §164.308(a)(5)(ii)(A): via NIST HIPAA map: AT-2, AT-3 |
| GDPR | Art.39(1)(b) | Tasks of the data protection officer | Редакционные материалы | Art.39(1)(b): No official crosswalk exists for GDPR; ControlMapping editorial mapping. |
| NIS2 | 8.18.2 | Awareness raising and basic cyber hygiene practices; Security training | Соответствия | 8.1: via PR.AT-01; PR.AT-02; ENISA ISO map: Clause 7.3, A.6.3 8.2: via PR.AT-01; ENISA ISO map: A.6.3 |
| Essential Eight | — | Нет требования | Нет сопоставления в наших данных | В наших данных ни одно требование Essential Eight не сопоставлено с этой темой. |
| DORA | Art.13(6)Art.5(4) | Learning and evolving; Governance and organisation | Редакционные материалы | Art.13(6): Compulsory ICT security awareness programmes and digital operational resilience training for all staff and senior management. Art.5(4): Management body members keep their knowledge of ICT risk up to date, including through regular training. |
| CPS 234 | — | Нет требования | Нет сопоставления в наших данных | В наших данных ни одно требование CPS 234 не сопоставлено с этой темой. |
| Cyber Essentials | — | Нет требования | Нет сопоставления в наших данных | В наших данных ни одно требование Cyber Essentials не сопоставлено с этой темой. |
Определение темы Результаты CSF 2.0, определяющие эту тему · Соответствия как минимум один выбор, подтверждённый опубликованной таблицей соответствий · Редакционные материалы Суждение ControlMapping с указанием причины · не сопоставлено, есть только общие результаты CSF по этой теме · Нет сопоставления в наших данных в наших данных ничего не сопоставлено; часто это новая работа, но проверьте примечания о покрытии. Методология.
Идентификаторы и названия требований приведены так, как их публикует каждый фреймворк, на английском языке.
Ошибочное или отсутствующее сопоставление? Сообщить
О теме «Осведомлённость и обучение»
Обучение по вопросам безопасности является критически важным защитным уровнем, работающим на уровне человека: оно снижает риск социальной инженерии, фишинга и случайной утечки данных. Программы должны охватывать распознавание фишинговых попыток, безопасные практики работы в интернете, гигиену паролей, порядок сообщения об инцидентах и обязанности в области безопасности, специфичные для конкретных ролей. PCI DSS требует проводить обучение осведомлённости при приёме на работу и не реже одного раза в год, включая фишинг и социальную инженерию (12.6.3); большинство других стандартов оставляют периодичность на усмотрение организации. Имитация фишинговых атак является распространённым способом проверить, насколько эффективно работает обучение.