Nauczanie zarządzania bezpieczeństwem informacji: standardy i sposoby nauczania

Pracownicy są najważniejszym ogniwem w ochronie informacji wewnątrz organizacji, gdyż to właśnie oni posiadają regularny dostęp do jej zasobów informacyjnych. Fakt ten jest dobrze rozpoznany przez krajowe oraz międzynarodowe instytucje standaryzujące, które w publikowanych normach zalecają kształcenie, szkolenia i podnoszenie świadomości pracowników jako kluczowy element strategii ochrony informacji przedsiębiorstw. W artykule przedstawiono obowiązujące standardy zarządzania bezpieczeństwem informacji i wskazano miejsca, gdzie definiowane są właściwe polityki, role, odpowiedzialności i działania związane z kształceniem i podnoszeniem świadomości. Następnie zaprezentowano przykład realizacji tych zaleceń w postaci włączenia do programu nauczania Wydziału Zarządzania i Ekonomii Politechniki Gdańskiej przedmiotu „Zarządzanie bezpieczeństwem informacji”. Opisano też doświadczenia i obserwacje wynikające z prowadzenia przedmiotu.

Security experts agree that people are the critical factor in protection of organisations’ cyber assets. The end-users access the assets on a regular basis and in most cases either they lack the security knowledge necessary to protect them or they know how to avoid protection mechanisms – in both cases the result is the same, namely the exposure of the cyber assets to threats. At the same time the majority of organisations concentrate their information security budget on technical solutions. This is because technical methods are well-defined (thus – comprehensible) and give an illusion that when applied all security issues will be solved. Acquire a “box” – an anti-virus, a firewall or an anti-malware – install it, and consider the problem solved. This approach tends however to be ineffective. Surveys show that despite the gradually increasing investments in technical controls the number of intrusions reported annually also continues to rise. Interestingly, there are reports claiming that the majority of breaches were caused by insiders. Technical solutions cannot make a network more secure than activities of people who use it, because poor user practices overcome the even the most carefully planned security system. Educating and raising security awareness among personnel is like expanding the information security department into the whole organisation. Instead of few security experts trying to protect the network, security manager has at his/her support each employee of the organisation taking care of the security interests of the company. This establishes some sort of a “human firewall” that will be very likely more efficient than a technical solution, and in contrast to it, able to recognise unknown, previously undetected threats. The importance of Security Education, Training and Awareness (SETA) is today widely recognised in the cybersecurity domain. The relevant security requirements and controls are described in majority if not all of security standards. The number of SETA initiatives continues to grow. In this paper security requirements and controls in the information security management standards are presented, followed by the description of an example of their realisation: teaching information security management at the Faculty of Management and Economics of Gdańsk University of Technology.