HR-03 Programm zur Sicherheitsausbildung und Sensibilisierung

Der Cloud-Anbieter betreibt ein zielgruppenorientiertes Sensibilisierungs- und Schulungsprogramm für Sicherheit.

Ergänzende Informationen

Die Zielgruppen können unter Berücksichtigung der Tätigkeit, der Position und der damit verbundenen Risikoklassifizierung definiert werden. Zielgruppen dienen der Vereinfachung und Systematisierung des Sensibilisierungs- und Schulungsprogramms für Sicherheit.

Das gesamte interne und externe Personal des Cloud-Anbieters durchläuft regelmäßig und bei Änderung der Tätigkeit ein rollenbasiertes Schulungsprogramm, wobei mindestens die Risikoklassifizierung und die technischen Verantwortlichkeiten der Position des jeweiligen Personals berücksichtigt werden.

Das Programm wird, ausgehend von Änderungen an Richtlinien und Verfahren sowie der aktuellen Bedrohungslage, regelmäßig aktualisiert und umfasst, soweit sie für die Rolle des jeweiligen Personals anwendbar sind, die folgenden Aspekte:

1. Umgang mit Systemkomponenten, die zur Bereitstellung des Cloud-Dienstes in der Produktionsumgebung verwendet werden, gemäß den anwendbaren Richtlinien und Verfahren;

2. Umgang mit Cloud-Kundendaten, abgeleiteten Cloud-Dienstdaten, Cloud-Anbieterdaten und Kontodaten gemäß den anwendbaren Richtlinien und Verfahren sowie den geltenden gesetzlichen und regulatorischen Anforderungen;

3. Information über die aktuelle Bedrohungslage;

4. Richtiges Verhalten bei Sicherheitsvorfällen;

5. Sicherheits-Best-Practices; und

6. Sichere Entwicklung.

Die durch das Sensibilisierungs- und Schulungsprogramm erzielten Lernerfolge werden gemessen und ausgewertet.

Der Cloud-Anbieter überwacht den Abschluss des Sensibilisierungs- und Schulungsprogramms für Sicherheit.

Zeitnahe und angemessene Maßnahmen zur Behebung aller während der Überwachung identifizierten Abweichungen.

Die durch das Sensibilisierungs- und Schulungsprogramm erzielten Lernerfolge werden zielgruppenbezogen gemessen und ausgewertet.

Ergänzende Informationen

Die Messung und Bewertung von Lernergebnissen auf zielgruppenbezogener Weise, wie durch das Zusatz-Unterkriterium festgelegt, erfordert keine Bewertung jedes einzelnen Mitglieds des Personals. Stattdessen können Bewertungen auf aggregierter Ebene durchgeführt werden, wobei der Schwerpunkt auf der Gesamteffektivität des Schulungsprogramms für bestimmte Zielgruppen liegt. Dieser Ansatz ermöglicht die Identifizierung von Trends und Verbesserungsbereichen innerhalb des Programms unter Wahrung der Datenschutzanforderungen des Personals.

Die Messungen umfassen quantitative und qualitative Aspekte.

Die Ergebnisse fließen in die Verbesserung des Sensibilisierungs- und Schulungsangebots ein.

Das gesamte interne und externe Personal des Cloud-Anbieters durchläuft mindestens jährlich und bei Änderung der Tätigkeit ein rollenbasiertes Schulungsprogramm, wobei mindestens die Risikoklassifizierung und die technischen Verantwortlichkeiten seiner Position berücksichtigt werden.