Η κατάρτιση ενημέρωσης ασφάλειας στην ανάπτυξη λογισμικού δεν είναι ξεχωριστό κεφάλαιο του νόμου, αλλά προκύπτει από την υπευθυνότητα: την υποχρέωση λήψης κατάλληλων τεχνικών και οργανωτικών μέτρων κατά των κινδύνων για δίκτυα και πληροφοριακά συστήματα. Η ενημέρωση του προσωπικού είναι ένα από τα μέτρα που εμπίπτουν σε αυτήν, επειδή ένα μεγάλο μέρος των περιστατικών ξεκινά με ανθρώπινο σφάλμα: ένα μήνυμα φλόγας που ανοίγεται, ένας κωδικός πρόσβασης που κοινοποιείται, μια εσφαλμένη διαμόρφωση πρόσβασης που κανείς δεν παρατηρεί.
Επιπλέον, υπάρχει στην οδηγία μια δεύτερη, ξεχωριστή υποχρέωση που δεν αφορά τους υπαλλήλους αλλά τον ίδιο τον διευθυντή: πρέπει να εκπαιδευτεί και ο ίδιος, και πρέπει να επιβλέψει την εγκατάσταση της κυβερνοασφάλειας στην οργάνωση. Αυτή είναι μια διαφορετική υποχρέωση από την υποχρέωση κατάρτισης του προσωπικού, με διαφορετικό σκοπό και διαφορετικό ιδιοκτήτη. Για μια εταιρεία λογισμικού που εμπίπτει στην υπευθυνότητα ή που αντιμετωπίζει απαιτήσεις NIS2 μέσω ενός πελάτη, η διάκριση μεταξύ αυτών των δύο επιπέδων είναι ακριβώς όπου προκύπτει πολλή σύγχυση.
Τι απαιτεί η υπευθυνότητα από την οργάνωση
Η υπευθυνότητα δεν περιγράφει ένα σταθερό πρόγραμμα κατάρτισης με ελάχιστο αριθμό ωρών ή υποχρεωτικό προμηθευτή. Αυτό που απαιτεί η οδηγία είναι ότι μια οργάνωση έχει αποδεικτικά προσοχή στην ενημέρωση ασφάλειας ως μέρος της διαχείρισης κινδύνου. Στην πράξη, αυτό σημαίνει: υπάλληλοι που εργάζονται με κώδικα, δεδομένα πελατών ή περιβάλλοντα παραγωγής, πρέπει να γνωρίζουν τι είναι η κοινωνική μηχανική, πώς αναγνωρίζουν ένα ύποπτο αίτημα, και τι κάνουν αν αμφιβάλλουν.
Σε μια εταιρεία λογισμικού, η έμφαση συχνά βρίσκεται σε μερικούς συγκεκριμένους κινδύνους που δεν παίζουν ρόλο σε κάθε μικρό και μεσαίο επιχειρηματικό περιβάλλον: πρόσβαση στον πηγαίο κώδικα, μυστικά σε αρχεία διαμόρφωσης, και η πειρασμός να διασφαλίσει περιβάλλοντα δοκιμών χαλαρότερα από την παραγωγή. Ένα πρόγραμμα ενημέρωσης που προειδοποιεί μόνο για μηνύματα φλόγας, αλλά δεν λέει τίποτα για την κοινοποίηση ενός API-key σε ένα μήνυμα συνομιλίας, χάνει ακριβώς τον κίνδυνο που συμβαίνει πιο συχνά στη γραμμή ανάπτυξης. Όποιος θέλει να το κάνει αυτό συστηματικά, βρίσκει σε την επισκόπηση των θεμάτων ανά τομέα πώς άλλα μέτρα από την υπευθυνότητα συνδέονται με αυτό, όπως ο έλεγχος πρόσβασης και η καταγραφή περιστατικών.
Η ξεχωριστή υποχρέωση του διευθυντή
Εκτός από την υποχρέωση κατάρτισης του προσωπικού, η οδηγία επιβάλλει μια δική του ευθύνη στον διευθυντή: πρέπει να έχει επαρκή γνώσεις για να μπορεί να αξιολογεί τα λαμβανόμενα μέτρα, και πρέπει να μπορεί να εκτιμά τους κινδύνους που συνδέονται με την οργάνωση. Αυτή δεν είναι συμπλήρωση της κατάρτισης του προσωπικού αλλά μια αυτόνομη υποχρέωση, κατευθυνόμενη σε αυτόν που είναι τελικά υπεύθυνος.
Αυτή η διάκριση είναι σχετική επειδή συχνά παραλείπεται: μια εταιρεία διατάσσει ηλεκτρονική μάθηση για όλους τους υπαλλήλους και νομίζει ότι έχει ανταποκριθεί και στην υποχρέωση του διευθυντή. Ή ο διευθυντής μιας εταιρείας λογισμικού υποθέτει ότι το δικό του τεχνικό υπόβαθρο είναι αρκετό, χωρίς κάτι να έχει τεκμηριωθεί. Και οι δύο καταστάσεις αποκαλύπτουν ένα κενό μεταξύ αυτού που συμβαίνει στην πράξη και αυτού που έχει αποδεικτικά οργανωθεί. Για την ακριβή υλοποίηση αυτής της υποχρέωσης, και για το τι έχει καθοριστεί ως ειδικό της χώρας στην εθνική υλοποίηση, το επίσημο κείμενο της οδηγίας είναι το κατάλληλο σημείο εκκίνησης· παρακολουθούμε στη βάση γνώσης ποιες δημοσιεύσεις έχουμε δει και πότε.
Τι σημαίνει αυτό για μια εταιρεία λογισμικού στην πράξη
Μια εταιρεία λογισμικού που αυτή η ίδια υπόκειται στην υποχρέωση φροντίδας, ή που λαμβάνει ένα ερωτηματολόγιο ασφάλειας από έναν πελάτη που το κάνει, συνήθως λαμβάνει δύο είδη ερωτήσεων ταυτόχρονα: εάν υπάρχει ένα πρόγραμμα ευαισθητοποίησης για τους υπαλλήλους, και εάν η ηγεσία έχει αυτή η ίδια συμμετάσχει ή οργανώσει δραστηριότητες κατάρτισης. Όποιος μπορεί να αποδείξει μόνο το πρώτο, αφήνει χωρίς απάντηση στο χαρτί μια υποχρέωση που το ερωτηματολόγιο πράγματι ζητάει.
Για να προσδιορίσετε εάν, και σε ποιο ρόλο, αυτό είναι σχετικό για την οργάνωσή σας, βοηθά να χαρτογραφήσετε πρώτα τον τομέα, το μέγεθος και τη θέση στην αλυσίδα εφοδιασμού. Αυτό είναι ακριβώς που ο δωρεάν έλεγχος NIS2 ξεκινά με: σε μερικές ερωτήσεις γίνεται σαφές εάν μια οργάνωση αυτή η ίδια υπόκειται σε υποχρεώσεις, επηρεάζεται μόνο μέσω ενός πελάτη, ή κανένα από τα δύο.
Τεκμηρίωση: απόδεικτικό στοιχείο και υπεύθυνος
Μια υποχρέωση κατάρτισης που υπάρχει μόνο στις σκέψεις, δεν είναι αποδεικτέα σε έναν έλεγχο ή ένα ερωτηματολόγιο. Αυτό που λειτουργεί, είναι να καταγραφεί ανά υποχρέωση μια κατάσταση, ένα απόδεικτικό στοιχείο και ένας υπεύθυνος: πότε ποια ομάδα υπαλλήλων ακολούθησε ποια κατάρτιση, και υπήρξε μια ξεχωριστή στιγμή στην οποία ο διευθυντής ενημερώθηκε σχετικά με τα μέτρα που λήφθησαν και τους κινδύνους της οργάνωσης. Και τα δύο ανήκουν σε ένα δοσιέ, όχι σε δύο χαλαρά email.
Συχνές αμφιβολίες σχετικά με το τι ακριβώς εμπίπτει στην υποχρέωση κατάρτισης και πώς σχετίζεται με άλλα μέτρα από την υποχρέωση φροντίδας, εξηγούνται λεπτομερώς στο συχνές ερωτήσεις. Εκεί διαβάζετε επίσης πώς η secria.eu διατηρεί πηγές και πότε μια σελίδα ελέγχθηκε τελευταία, η οποία μπορεί να βρεθεί μέσω η επεξήγηση για το πώς δημιουργούνται οι πληροφορίες.
Θέλετε πρώτα να μάθετε εάν αυτό το θέμα είναι σχετικό για την οργάνωσή σας, ή μόνο μέσω ενός πελάτη προς το σκάφος σας; Κάντε τον δωρεάν έλεγχο NIS2 ή περιηγηθείτε στα θέματα· και τα δύο μπορούν να συμβουλευθούν χωρίς λογαριασμό και δίνουν αμέσως ένα συγκεκριμένο επόμενο βήμα.