Turvateooria koolitused tarkvara arenduses ei ole seaduse eraldi peatükk, vaid tulenevad korralduslikust kohustusest: kohustus võtta asjakohaseid tehislikke ja organisatoorlikke meetmeid võrgu- ja infosüsteemide riskidega seoses. Töötajate teadlikkus on üks neist meetmetest, sest suurel osal intsidentidest algus inimese veaga: phishingu-e-kiri, mis avatakse, salasõna, mis jagatakse, vale seadistatav juurdepääs, mida keegi ei märka.
Lisaks sellele on richtlinis teine, eraldi kohustus, mis ei puuduta töötajaid, vaid juhtkonda ennast: ta peab ise ka koolitus läbi tegema ja jälgima küberkindlustuse seadistamist organisatsiooni piires. See on erinev kohustus kui personali koolituskohustus, erineva eesmärgiga ja erineva vastutajaga. Tarkvara ettevõtte jaoks, mis kuulub korralduslikule kohustusele või saab teada NIS2-i nõuetest kliendi kaudu, on kahe tasandi erinevus just see, kus tekib palju segadust.
Mida nõuab korralduslik kohustus organisatsioonilt
Korralduslik kohustus ei kirjelda fikseeritud koolitusprogrammi, mille miinimumtundide arv või kohustuslik pakkuja. Mida richtlin nõuab, on see, et organisatsiooni saab tõendada, et ta pöördub turvateooria arengule tähelepanu riskijuhtimise osana. Praktikas tähendab see: töötajaid, kes koodiga, kliendiandmetega või tootmiskeskkonnaga tegelevad, peavad teadma, mis on sotsiaalteaduslik pärast, kuidas nad kahtlast taotlust tunnevad ja mida nad teevad, kui nad kahtlevad.
Tarkvara ettevõtte puhul on rõhk sageli mõned konkreetsed riskid, mis muude KMU-ettevõtetega ei suhtle: juurdepääs lähtekoodile, saladused konfiguratsiooni failides ja kiusatus testmise keskkonda loosemalt kaitsta kui tootmine. Teadlikkuse programm, mis ainult hoiatab phishingu-e-kirjade eest, kuid ei ütle midagi API-võtme jagamisest vestlusõigsuses, kaotab täpselt riski, mis arendusreas kõige sagedamini valesti läheb. Kes seda süstemaatiliselt soovib fikseerida, leiab: sektori teemade ülevaate kuidas muud korralduslikud kohustused nendega ühenduvad, nagu juurdepääsukontroll ja insidentide registreerimine.
Juhtaja eraldi kohustus
Lisaks personali koolituskohustusele seab richtlin juhtkonnale enda vastutuse: tal peab olema piisav teadus võetud meetmete hindamiseks ja ta peab suutma hinnata organisatsiooniga seotud riske. See ei ole personali koolituse täiendus, vaid iseseisev kohustus, mis on suunatud inimesele, kes vastutab lõpus.
See erinevus on oluline, kuna seda jäetakse sageli tähelepanuta: ettevõte korraldab kõigile töötajatele e-õppe ja arvab, et ta on täitnud ka juhtaja kohustuse. Või tarkvara ettevõtte direktor eeldab, et omale tehnilised kogemused on piisavad, ilma et miski oleks fikseeritud. Mõlemad olukorrad näitavad lünka selle vahel, mis tegelikult juhtub ja mis on tõendatavalt organiseeritud. Selle kohustuse täpseks täitmiseks ja selle jaoks, mis on riigi tasemel rahvusliikus ümberahastuses fikseeritud, on richtlini ametlik tekst asjakohane alguspunkt; me peame teadmisandmebaasis üles, millised avaldused me näitsime ja millal.
Mida see tähendab tarkvara ettevõtte jaoks praktikas
Tarkvara ettevõte, mis ise kuulub kohustuslike tegevuste regulatsiooni või saab turvalisuse küsimustikku klient, kelle suhtes see kohaldub, seisab tavaliselt silmitsi kahte liiki küsimustega: kas on olemas teadlikkuse programm töötajatele ja kas juht on ise osalenud koolituses või seda korraldanud. Kui saab tõestada ainult esimest, jääb paberil vastamata kohustus, mille küsimustik kindlasti esitab.
Et selgitada, kas ja mis rollis on see teie organisatsiooni jaoks asjakohaslik, aitab kõigepealt kaardistada sektor, maht ja positsioon ahelus. Täpselt siin tasuta NIS2-kontroll alustatakse: mõne küsimuse abil saab selgeks, kas organisatsioon ise kuulub kohustuste alla, puutub sellega kokku ainult kliendi kaudu või ei kumbagi.
Dokumenteerimine: tõendusmaterjal ja vastutav isik
Kohustus, mis eksisteerib ainult inimeste peas, ei ole kontrolli või küsimustiku ajal tõendatav. Mis töötab, on iga kohustuse jaoks fikseerida olek, tõendusmaterjal ja vastutav isik: millal on milline töötajate rühm läbinud koolituse ja kas on eraldi aeg olnud, mil juhatus on saanud teabe võetud meetmetest ja organisatsiooni riskidest. Mõlemad kuuluvad dossieesse, mitte kahte eraldi e-kirjasse.
Levinud kahtlused selle kohta, mis täpselt kuulub kohustusesse koolituse osas ja kuidas see seostub muude kohustuste meetmetega, on välja töötatud korduma kippuvad küsimused. Seal näete ka seda, kuidas secria.eu allikaid ajakohasena hoiab ja millal leht viimati kontrolliti, mille leiate selgituste kaudu, kuidas teavet koostatakse.
Soovite kõigepealt teada, kas see teema on teie organisatsiooni jaoks asjakohaslik või jõuab teile ainult kliendi kaudu? Teostage tasuta NIS2-kontroll või sirvi teemasid; mõlemad on ilma kontota kasutatavad ja annavad kohe konkreetse järgneva sammu.