Tietoturvakoulutus ohjelmistokehityksessä ei ole lain erillinen luku, vaan se johtuu huolellisuusvelvoitteesta: velvoitteesta toteuttaa asianmukaisia teknisiä ja organisatorisia toimenpiteitä verkon ja tietojärjestelmien riskejä vastaan. Työntekijöiden tietoisuus on yksi näistä toimenpiteistä, koska suuri osa poikkeamista alkaa ihmisen virheestä: avatusta kalasteluviestistä, jaetusta salasanasta, huonosti määritetystä käyttöoikeudesta, jota kukaan ei huomaa.
Lisäksi direktiivissä on toinen, erillinen velvoite, joka ei koske työntekijöitä vaan johtajaa itseään: hänen on myös itse koulutettava itsensä ja valvottava kyberturvallisuuden asettamista organisaatioon. Se on eri velvoite kuin henkilöstölle asetettu koulutusvelvoite, ja sillä on eri tarkoitus ja eri vastuuhenkilö. Ohjelmistoyrityksen kannalta, joka joutuu huolellisuusvelvoitteen piiriin tai kohtaa NIS2-vaatimuksia asiakkaansa kautta, ero näiden kahden tason välillä on täsmälleen se paikka, jossa syntyy paljon sekaannusta.
Mitä huolellisuusvelvoite vaatii organisaatiolta
Huolellisuusvelvoite ei määritä kiinteää koulutusohjelmaakaan, jossa olisi vähimmäistuntimäärä tai pakollinen palveluntarjoaja. Direktiivi vaatii, että organisaatio osoitettavasti kiinnittää huomiota tietoturvakoulutusten huomioon riskienhallintansa osana. Käytännössä se tarkoittaa: työntekijöiden, jotka työskentelevät koodin, asiakastietojen tai tuotantoympäristöjen parissa, on tiedettävä, mikä sosiaalinen suunnittelu on, kuinka he tunnistavat epäilyttävän pyynnön ja mitä he tekevät, jos he epäröivät.
Ohjelmistoyrityksessä painopiste usein keskittyy muutamaan erityisriskiin, jotka eivät koske kaikkia pk-yrityksiä: pääsynoikeus lähdekoodiin, salaisuudet määritystiedostoissa ja houkutus tuotantoympäristön turvaamisen löyhentämiseen testausympäristöissä. Tietoisuusohjelma, joka vain varoittaa kalasteluviesteistä mutta ei kerro API-avaimen jakamisesta pikaviestin kautta, missaa täsmälleen sen riskin, joka kehitystyössä tapahtuu useimmin. Jokainen, joka haluaa dokumentoida tämän järjestelmällisesti, löytää aiheittaisen yhteenvedon sektoreittain kuinka muut huolellisuusvelvoitteen velvoitteet liittyvät tähän, kuten pääsynhallinta ja poikkeamien kirjaaminen.
Erillinen velvoite johdolle
Henkilöstölle asetettavan koulutusvelvoitteen lisäksi direktiivi asettaa johdolle oman vastuun: hänen on oltava riittävän pätevä arvioidakseen toteutetut toimenpiteet, ja hänen on pystyttävä arvioimaan riskit, jotka liittyvät organisaatioon. Tämä ei ole henkilöstökoulutuksen lisä vaan itsenäinen velvoite, joka kohdistuu siihen, joka on viime kädessä vastuussa.
Ero on merkityksellinen, koska se usein sivuutetaan: yritys järjestää sähköisen koulutuksen kaikille työntekijöille ja kuvittelee näin täyttävänsä myös johtajille asetetun velvoitteen. Tai ohjelmistoyrityksen johtaja olettaa, että oma tekninen tausta riittää ilman, että mitään on dokumentoitu. Molemmat tilanteet osoittavat aukon sen välille, mitä tosiasiassa tapahtuu ja mitä on osoitettavasti järjestetty. Tämän velvoitteen tarkan sisällön ja maakohtaisen säännösten osalta kansallisessa täytäntöönpanossa direktiivin virallinen teksti on asianmukainen lähtökohta; seuraamme tietokannassa, mitä julkaisuja olemme nähneet ja milloin.
Mitä se merkitsee ohjelmistoyritykselle käytännössä
Ohjelmistoyritys, joka joko itse kuuluu turvallisuusvelvoitteen piiriin tai vastaanottaa tietoturvakyselylomakkeen asiakkaalta, joka on velvollinen, kohtaa yleensä kahdenlaisia kysymyksiä samanaikaisesti: onko olemassa henkilöstön tietoisuusohjelmaa, ja onko johdolla itsellään todisteet osallistumisesta tai koulutustoimintojen järjestämisestä. Jos voi osoittaa vain ensimmäisen, jättää paperilla avoimeksi velvoitteen, jonka kyselylomake todellakin sisältää.
Jotta voit määrittää, ovatko nämä velvoitteet relevantteja organisaatioillesi ja missä roolissa, on hyödyllistä kartoittaa ensin sektori, koko ja asema arvoketjussa. Juuri siinä avustaa ilmainen NIS2-tarkistus : muutamalla kysymyksellä selviää, onko organisaatio itse velvollinen, vai koskettaako se vain asiakkaan kautta, vai kumpaakaan.
Dokumentointi: todiste ja vastuuhenkilö
Koulutusvelvoite, joka on vain ihmisten päissä, ei ole todennettavissa tarkastuksen tai kyselylomakkeen yhteydessä. Mikä toimii, on dokumentoida jokaisen velvoitteen osalta status, todiste ja vastuuhenkilö: milloin mitkä henkilöstöryhmät ovat suorittaneet koulutuksen, ja onko ollut erillinen hetki, jolloin johtaja on saanut tietoa organisaation toteuttamista toimenpiteistä ja riskienhallinnasta. Molemmat kuuluvat dossieriin, eivät kahteen erilliseen sähköpostiin.
Yleisiä epäselvyyksiä siitä, mitä tarkalleen ottaen koulutusvelvoitteeseen sisältyy ja miten se suhteutuu muihin turvallisuusvelvoitteen toimenpiteisiin, käsitellään yksityiskohtaisesti osiossa usein kysytyt kysymykset''. Siellä luet myös sen, miten secria.eu ylläpitää lähteitä ja milloin sivua on viimeksi tarkastettu; tiedot löytyvät kautta tietojen kokoamista koskevasta selityksestä.
Haluatko ensin tietää, onko tämä aihe relevantti organisaatioillesi vai koskettaako se sinua vain asiakkaan kautta? Suorita ilmainen NIS2-tarkistus tai selaa aiheita; molemmat ovat saatavilla ilman tiliä ja antavat välittömästi konkreettisen seuraavan askelen.