Obuka o sigurnosti u razvoju softvera nije odvojeno poglavlje u zakonu, već proizlazi iz dužnosti njege: obaveze da se poduzmu primjerene tehničke i organizacijske mjere protiv rizika za mrežne i informacijske sustave. Osvijest zaposlenika je jedna od mjera koja spada pod to, jer veliki dio incidenata počinje ljudskom greškom: email s phishingom koji se otvori, lozinka koja se dijeli, pogrešno konfiguriran pristup koji nitko ne primijeti.
Osim toga, u smjernici postoji druga, odvojena obaveza koja se ne bavi zaposlenicima već samim direktorom: on mora sam biti obučen, i mora nadzirati postavljanje sigurnosti kibernetike unutar organizacije. To je drugačija dužnost od dužnosti obuke za osoblje, s drugačijom svrhom i drugim vlasником. Za softversku tvrtku koja spada pod dužnost njege, ili koja se susreće s NIS2-zahtjevima putem klijenta, upravo je razlika između ta dva sloja mjesto gdje nastaje mnoga zbunjenost.
Što dužnost njege traži od organizacije
Dužnost njege ne opisuje fiksni program obuke s minimalnim brojem sati ili obveznim davateljem. Ono što smjernica zaista traži jest da organizacija demonstrabilno pazi na svijest o sigurnosti kao dio svoga upravljanja rizicima. U praksi to znači: zaposlenici koji rade s kodom, podacima klijenata ili proizvodnim okruženjima moraju znati što je socijalno inženjerstvo, kako prepoznati sumnjiv zahtjev, i što učiniti ako sumnjaju.
Za softversku tvrtku, naglasak je često na nekoliko specifičnih rizika koji ne igraju ulogu u svakoj MKB-tvrtki: pristup izvornom kodu, tajnama u datotekama konfiguracije, i iskušenju da testna okruženja osigura manje strogo nego produkciju. Program osvijesti koji samo upozorava na phishing emaile, ali ništa ne govori o dijeljenju API-ključa u poruki chata, propušta upravo rizik koji se najčešće dogodi u razvojnoj liniji. Tko to sustavno želi zabilježiti, nalazi u pregledu tema po sektoru kako se druga mjerenja iz dužnosti njege na to vežu, kao što su kontrola pristupa i registracija incidenata.
Odvojena dužnost za direktora
Pored dužnosti obuke za osoblje, smjernica postavlja vlastitu odgovornost za direktora: on mora sam imati dovoljno znanja da može ocijeniti poduzete mjere, i mora moći procijeniti rizike koji su vezani uz organizaciju. Ovo nije dopuna obuki osoblja već samostalna obaveza, usmjerena na onoga koji je konačno odgovoran.
To razlikovanje je relevantno jer se često zanemaruje: tvrtka organizira e-učenje za sve zaposlenike i misli da je time zadovoljila i dužnost direktora. Ili direktor softverske tvrtke pretpostavlja da vlastitim tehnička pozadina dovoljna, bez da je nešto zabilježeno. Obje situacije pokazuju razmak između onoga što se zapravo dogodi i onoga što je demonstrabilno organizirano. Za precizno određenje ove obaveze, i za ono što je specifično državi u nacionalnoj primjeni, službeni tekst smjernice je pravo polazište; pratimo u svojoj bazi znanja koje publikacije smo vidjeli i kada.
Što to znači za softversku tvrtku u praksi
Softversko poduzeće koje samo pada pod obvezu zbog pažnje, ili koje prima sigurnosni upitnik od nalogodavca koji je tome podložan, obično dobiva dva vrste pitanja istovremeno: postoji li program svijesti zaposlenika o sigurnosti i je li rukovodstvo samo pratilo ili organiziralo edukativne aktivnosti. Tko može dokazati samo prvi dio, ostavlja na papiru obvezu koju je upitnik doista postavio bez odgovora.
Kako bi se utvrdilo je li, i u kojoj ulozi, ovo relevantno za vašu organizaciju, korisno je prvo mapirati sektor, veličinu i mjesto u lancu opskrbe. Upravo je to gdje besplatnu NIS2-provjeru počinje: u nekoliko pitanja postaje jasno je li organizacija sama obavezna, pogođena je samo preko kupca, ili nije ni jedno ni drugo.
Dokumentiranje: dokaz i vlasnik
Edukativnu obvezu koja postoji samo u glavama nije moguće dokazati tijekom provjere ili upitnika. Ono što doista funkcionira je dokumentiranje po obavezi statusa, dokaza i vlasnika: kada je koja grupa zaposlenika pratila koju obuku, i je li postojao poseban trenutak u kojem je rukovodstvo bilo informirano o poduzetim mjerama i rizicima organizacije. Oboje mora biti u dosijeu, ne u dva odvojena e-maila.
Česta pitanja o tome što točno pada pod obvezu edukacije i kako se to odnosi na druge mjere obveze zbog pažnje, detaljno su razrađena na često postavljanim pitanjimastranici. Tu također čitate kako secria.eu prati izvore i kada je stranica zadnji put provjerena, dostupno preko objašnjenja kako se informacije strukturiraju.
Želite li prvo znati je li ova tema relevantna za vašu organizaciju, ili samo dolazi do vas preko kupca? Napravite besplatnu NIS2-provjeru ili pretražite teme; oboje je dostupno bez računa i odmah daje konkretne sljedeće korake.