Školení informační bezpečnosti při vývoji softwaru není samostatnou kapitolou v právním předpisu, ale vyplývá z povinnosti péče: povinnosti přijmout vhodná technická a organizační opatření proti rizikům pro síťové a informační systémy. Vědomí zaměstnanců je jedním z opatření, která pod tuto povinnost spadají, protože velká část incidentů začíná chybou člověka: otevření phishingového e-mailu, sdílení hesla, nesprávně nakonfigurovaný přístup, který nikdo nepostřehne.
Kromě toho richtlinie stanoví druhou, samostatnou povinnost, která se neomezuje na zaměstnance, ale vztahuje se na samotného vedoucího pracovníka: ten musí být sám také proškolený a musí dohlížet na implementaci kybernetické bezpečnosti v organizaci. Jedná se o jinou povinnost než povinnost školení pro personál, s jiným cílem a jiným vlastníkem. Pro softwarovou společnost, která podléhá povinnosti péče, nebo která se setkává s požadavky NIS2 prostřednictvím svého klienta, je právě tento rozdíl mezi těmito dvěma úrovněmi místem, kde velmi často vzniká zmatek.
Co vyžaduje povinnost péče od organizace
Povinnost péče nepředstavuje pevný vzdělávací program s minimálním počtem hodin nebo povinným poskytovatelem. To, co richtlinie skutečně vyžaduje, je, aby organizace prokázala, že věnuje pozornost povědomí o bezpečnosti jako součásti svého řízení rizik. V praxi to znamená: zaměstnanci pracující s kódem, údaji o zákaznících nebo produkčním prostředím musí vědět, co je sociální inženýrství, jak rozpoznat podezřelou žádost a co dělat, když si nejsou jistí.
U softwarové společnosti je důraz často kladen na několik specifických rizik, která se neobjevují u každé malé a střední podnikatelské jednotky: přístup ke zdrojovému kódu, tajemství v konfiguračních souborech a pokušení používat testovací prostředí se nižší mírou zabezpečení než produkci. Program povědomí, který pouze upozorňuje na phishingové e-maily, ale neříká nic o sdílení klíče API ve zprávě v chatu, míjí se přesně s tím rizikem, které se v softwarovém procesu nejčastěji pokazí. Kdo chce toto systematicky zaznamenat, najde v přehledu témat pro jednotlivé sektory jak se ostatní opatření z povinnosti péče na tuto situaci navazují, jako je řízení přístupu a registrace incidentů.
Samostatná povinnost vedoucího pracovníka
Vedle povinnosti školení pro personál kladie richtlinie samostatnou odpovědnost na vedoucího pracovníka: ten musí mít sám dostatečné vědomosti, aby mohl posoudit přijatá opatření, a musí být schopen odhadnout rizika spojená s organizací. Nejedná se o doplněk školení personálu, ale o samostatnou povinnost cílící na osobu, která nese konečnou odpovědnost.
Tento rozdíl je relevantní, protože je velmi často opomíjen: společnost zařídí e-learning pro všechny zaměstnance a myslí si, že tím splnila povinnost vedoucího pracovníka. Nebo ředitel softwarové společnosti vychází z předpokladu, že jeho vlastní technické znalosti stačí, aniž by bylo cokoliv formálně zdokumentováno. Obě situace odhalují mezeru mezi tím, co se skutečně děje, a tím, co je prokazatelně organizováno. Pro přesné vyplnění této povinnosti a pro to, co je specifické pro danou zemi v národní implementaci, je oficiální text richtlinie správným výchozím bodem; v naší znalostní bázi sledujeme, které publikace jsme viděli a kdy.
Co to znamená pro softwarovou společnost v praxi
Softwarová společnost, která sama podléhá povinnostem péče, nebo která obdrží dotazník bezpečnosti od klienta, který je podroben těmto povinnostem, obvykle dostane najednou dva druhy otázek: zda existuje program povědomí o bezpečnosti pro zaměstnance a zda vedení samo absolvovalo nebo organizovalo školící aktivity. Kdo může prokázat pouze první, zanechá na papíře nesplněnou povinnost, kterou dotazník skutečně zjišťuje.
Aby se zjistilo, zda je to a v jaké roli relevantní pro vaši organizaci, pomáhá nejdříve mapovat sektor, velikost a postavení v dodavatelském řetězci. To je přesně místo, kde to bezplatná NIS2-kontrola začíná: v několika otázkách se objasní, zda je organizace sama povinna, je ohrožena pouze prostřednictvím klienta, nebo ani jedno.
Zaznamenání: důkaz a vlastník
Školící povinnost, která existuje pouze v hlavách, není ověřitelná při kontrole nebo dotazníku. Co funguje, je zaznamenání pro každou povinnost stav, důkaz a vlastníka: kdy která skupina zaměstnanců absolvovala jaké školení, a byl-li zvláštní moment, kdy vedení bylo informováno o přijatých opatřeních a rizicích organizace. Obojí patří do spisu, ne do dvou oddělených e-mailů.
Často se vyskytující pochybnosti o tom, co přesně spadá pod školící povinnost, a jak se to vztahuje k jiným opatřením z povinnosti péče, jsou rozpracovány v často kladené otázkyTam se také dočtete, jak secria.eu udržuje zdroje a kdy byla stránka naposledy zkontrolována, kterou najdete prostřednictvím vysvětlení toho, jak jsou informace strukturovány.
Chcete-li nejdříve vědět, zda je toto téma relevantní pro vaši organizaci, nebo pouze vám přichází prostřednictvím klienta? Proveďte bezplatnou kontrolu NIS2 nebo si prohlédněte témata; obojí je bez účtu k dispozici a poskytuje okamžitou konkrétní příští krok.