Organisaation tietoturvallisuuskoulutusohjelman olisi katettava tietoturvallisuutta tukeva henkilöstö, joka osallistuu esimerkiksi riskienhallintaan ja järjestelmien ylläpitoon. Näiden henkilöiden olisi saatava koulutusta heidän tehtäviensä kannalta olennaisista turvallisuustavoitteista ja teollisista toiminnoista. Koulutuksen olisi katettava vaadittavat taidot, politiikat ja menettelyt.

Organisaatio varmistaa, että kaikki organisaation laitteistot tarkistetaan säännöllisesti tietoturvaominaisuuksien ja korjausten, päivitysten ja/tai päivitysten hankkimistarpeen osalta. Varmistetaan laitteiston turvallinen käsittely huollon aikana rajoittamalla pääsy vain valtuutettuun henkilöstöön ja ottamalla käyttöön valvontajärjestelmät, jotka estävät peukaloinnin tai luvattoman käytön.

Lisäksi määritetään ja toteutetaan suunnitelmat laitteiston elinkaaren päättymistä varten, mukaan luettuna huoltotuki ja vanhentumisen hallinta, ja varmistetaan, että vanhentunut laitteisto ei aiheuta turvallisuusriskejä.

Laitteistoja olisi huollettava toimittajan suosittelemin aikavälein sekä toimittajan antamia määrittelyjä noudattaen.

Organisaatiossa on tarpeeksi koulutettua, valvottua ja tarvittaessa asianmukaisesti turvallisuusselvitettyä henkilöstöä, jotka toimivat tietoturvan avainrooleissa suorittaen tietoturvallisuuden hallintajärjestelmään liittyviä hallintatehtäviä.

Organisaatio on määritellyt:

• millainen pätevyys tällä henkilöstöllä tulee olla
• kuinka pätevyys hankitaan ja varmistetaan (esim. soveltuvan koulutuksen ja koulutuksen seurannan avulla)
• kuinka pätevyys voidaan osoittaa dokumentaation avulla

Tehtävän omistaja katselmoi turvallisuushenkilöstön määrää ja osaamistasoa säännöllisesti.