Обучението по информационна сигурност в разработката на софтуер не е отделна глава в закона, а произтича от задължението за защита: задачата да се вземат подходящи технически и организационни мерки срещу рисковете за мреживи и информационни системи. Осъзнаването на служителите е една от мерките, които попадат в тази категория, тъй като голяма част от инцидентите начинат с човешка грешка: отворено фишинг съобщение, споделена парола, неправилно конфигуриран достъп, който никой не забелязва.
Освен това в директивата има второ, отделно задължение, което не е насочено към служителите, а към самото ръководство: то също трябва да се обучава и трябва да надзирава установяването на киберсигурност в организацията. Това е друго задължение от задачата за обучение на персонала, с друга цел и друг отговорен. За софтуерна фирма, която попада под задължението за защита, или която се сблъсква с NIS2 изисквания чрез клиент, разликата между тези два нива е точно където възниква много объркване.
Какво изисква задължението за защита от организацията
Задължението за защита не описва фиксирана програма за обучение с минимален брой часове или задължен доставчик. Какво директивата наистина изисква, е организацията да показва видимо внимание към информационната сигурност като част от управлението си на рисковете. На практика това означава: служители, които работят с код, данни на клиенти или производствени среди, трябва да знаят какво е социално инженерство, как да разпознаят подозрително искане и какво да направят, ако се усъмнят.
При софтуерна фирма акцентът често пада върху няколко специфични риска, които не се явяват във всяка малка и средна компания: достъп до изходния код, тайни в конфигурационни файлове и съблазъна да се обезопасят тестовите среди по-слабо от производството. Програма за осъзнаване, която само предупреждава за фишинг съобщения, но не казва нищо за споделяне на API ключ в чат съобщение, пропуска точно риска, който най-често се случва в разработвателската линия. Ако някой иска да документира това системно, ще намери в преглед на темите по сектор как други мерки от задължението за защита се свързват с това, като управление на достъпа и регистрирането на инциденти.
Отделното задължение за ръководството
Mellett задачата за обучение на персонала, директивата налага собствена отговорност на ръководството: то трябва да разполага с достатъчни познания, за да може да оцени предприетите мерки и да преценува рисковете, свързани с организацията. Това не е добавка към обучението на персонала, а самостоятелно задължение, насочено към човека, който е крайно отговорен.
Това разграничение е значимо, тъй като често се пропуска: компания организира електронно обучение за всички служители и мисли, че по този начин е изпълнила задачата на ръководството. Или директорът на софтуерна фирма смята, че собственият технически опит е достатъчен, без да е документирано нищо. И двете ситуации разкриват пропаст между това, което фактически се случва, и това, което е демонстрирано като организирано. За точното определение на това задължение и за това, което е установено специфично за страната чрез национално преобразуване, официалната версия на директивата е надлежащото начало; ние следим в базата на знания кои публикации сме видели и кога.
Какво това означава за софтуерна фирма на практика
Софтуерна компания, която сама попада под задължението за грижа, или която получава списък със въпроси за сигурност от клиент, който това прави, обикновено получава два вида въпроси едновременно: дали има програма за повишаване на осведомеността на служителите и дали самото управление е преминало или организирало обучителни дейности. Който може да докаже само първото, оставя на хартия задължение без отговор, което списъкът със въпроси наистина поставя.
За да определите дали и в каква роля това е релевантно за вашата организация, помага първо да се направи карта на сектора, размера и место в веригата. Това е точно къде безплатната NIS2-проверка почива: в няколко въпроса става ясно дали организацията сама е задължена, только чрез клиент е засегната, или нито един от двата случая.
Документирайте: доказателство и отговорник
Задължение за обучение, което съществува само в главите, не е доказуемо при проверка или списък със въпроси. Това, което работи, е за всяко задължение да се документира статус, доказателство и отговорник: когато е преминало обучение на коя група служители и дали е имало отделен момент, в който ръководството е получило информация за предприетите мерки и рисковете на организацията. И двете трябва да бъдат в досие, не в две отделни имейла.
Често срещаните съмнения относно точно това, което попада под задължението за обучение, и как се отнася към други мерки от задължението за грижа, са разработени в често задавани въпросиТам ще прочетете и как secria.eu поддържа източници и когато за последния път е проверена страница, достъпна чрез обяснението как се изграждат информациите.
Искате ли първо да разберете дали този предмет е релевантен за вашата организация, или само чрез клиент до вас пристига? Направете безплатната NIS2 проверка или прелистайте темите; и двата варианта могат да бъдат консултирани без акаунт и веднага дават конкретна следваща стъпка.