A biztonsági tudatosság képzés a szoftverfejlesztésben nem külön fejezet a jogszabályban, hanem a gondossági kötelezettségből fakad: a kötelezettség, hogy megfelelő technikai és szervezeti intézkedéseket tegyen a hálózati és információs rendszerek kockázataival szemben. Az alkalmazottak tudatosítása az egyik intézkedés, amely alá tartozik, mivel az incidensek nagy részét emberi hiba kezdi: egy adathalász e-mail, amelyet megnyitnak, egy jelszó, amelyet megosztanak, egy hibásan konfigurált hozzáférés, amelyre senki sem figyel fel.
Ezen túlmenően a direktívában egy második, külön kötelezettség szerepel, amely nem az alkalmazottakról szól, hanem magáról a vezetőről: ő maga is képzésben kell részt vegyen, és felügyelnie kell a szervezeten belüli kiberbiztonsági felépítésre. Ez más kötelezettség, mint a személyzet képzési kötelezettségeés más célja és más felelőse van. A gondossági kötelezettség alá tartozó, vagy NIS2-követelményeket tartalmazó ügyfélhez csatlakozó szoftvercég számára e két réteg közötti megkülönböztetés éppen az, ahol sok zavarodottság keletkezik.
Mit követel a gondossági kötelezettség a szervezettől
A gondossági kötelezettség nem ír elő rögzített képzési programot egy minimális óraszámmal vagy kötelező szállítóval. Amit a direktíva megkövetel, az az, hogy egy szervezet demonstrálhatóan felhívja a figyelmet a biztonsági tudatosságra mint kockázatkezelésének részére. A gyakorlatban ez azt jelenti: az olyan alkalmazottak, akik kóddal, ügyfélről szóló adatokkal vagy éles üzemi környezettel dolgoznak, tudniuk kell, mi az a szociális mérnöki tevékenység, hogyan ismerjenek fel egy gyanús kérelmet, és mit tegyenek, ha kétségei támadnak.
A szoftvercégnél a hangsúly gyakran néhány konkrét kockázatra esik, amely nem játszik szerepet minden MKB-cégnél: a forráskódhoz való hozzáférés, a titkok a konfigurációs fájlokban, és a kísértés, hogy a tesztkörnyezeteket lazábban biztosítsák az üzemi környezetnél. Egy tudatosítási program, amely csak adathalász e-mailekre figyelmezteti a felhasználókat, de semmit sem mond egy API-kulcs megosztásáról egy csevegőüzenetben, éppen azt a kockázatot veszi el, amely a fejlesztési szakaszban leggyakrabban fordul elő. Aki ezt szisztematikusan akarja rögzíteni, az alábbakban találja meg: szektoronkénti tematikus áttekintést hogy egyéb gondossági kötelezettség-intézkedések hogyan kapcsolódnak ehhez, például a hozzáférés-ellenőrzés és az incidens-nyilvántartás.
A vezetőre vonatkozó külön kötelezettség
A személyzet képzési kötelezetsége mellett a direktíva a vezetőnek egy saját felelősségét írja elő: annak kellő tudása kell, hogy legyen ahhoz, hogy értékelje a megtett intézkedéseket, és fel tudja mérni a szervezethez fűződő kockázatokat. Ez nem a személyzeti képzés kiegészítése, hanem egy önálló kötelezettség, amely a végső felelősséggel bíró személyre irányul.
Ez a megkülönböztetés azért lényeges, mert gyakran kihagyják: egy vállalat e-learninget szervez az összes alkalmazott számára, és azt gondolja, hogy ezzel a vezetői kötelezettségnek is eleget tett. Vagy egy szoftvercég igazgatója abból indul ki, hogy a saját technikai háttere elegendő, anélkül, hogy bármit is rögzítene. Mindkét helyzet egy szakadékot mutat az között, amit ténylegesen végeznek, és amit demonstrálhatóan szerveznek meg. Ennek a kötelezettségnek a pontos meghatározásához, valamint az országspecifikus nemzeti átültetésben rögzítettekhez a direktíva hivatalos szövege az ajánlott kiindulópont; a tudásbázisban nyomon követjük, mely publikációkat láttuk és mikor.
Mit jelent ez egy szoftvercég számára a gyakorlatban
Egy olyan szoftverszállító, amely maga is a gondossági kötelezettség alá tartozik, vagy biztonsági kérdőívet kap egy olyan megrendelőtől, aki az, általában egyszerre kap két típusú kérdést: van-e tudatosságnövelő program az alkalmazottak számára, és nyújtott-e a vezetés maga képzési tevékenységeket vagy szervezte-e ezeket. Aki csak az elsőt tudja igazolni, gyakorlatilag megválaszolatlanul hagyja azt a kötelezettséget, amelyet a kérdőív valóban feltesz.
Annak megállapításához, hogy ez az Ön szervezete számára releváns-e, és ha igen, milyen szerepben, hasznos először a szektort, a méreteket és a helyét az ellátási láncban feltérképezni. Pontosan ez az, ahol ingyenes NIS2-ellenőrzés kezdődik: néhány kérdésből kitűnik, hogy egy szervezet maga plichtig-e, csak egy ügyfél által érintett, vagy egyik sem.
Rögzítés: bizonyíték és felelős
Egy olyan képzési kötelezettség, amely csak fejekben létezik, ellenőrzés vagy kérdőív során nem igazolható. Ami működik, az az, hogy kötelezettségenként rögzítik az állapotot, a bizonyítékot és a felelőst: mikor, mely alkalmazottcsoport milyen képzésben vett részt, és volt-e külön alkalom arra, hogy a vezetők tájékoztatást kapjanak a meghozott intézkedésekről és a szervezet kockázatairól. Mindkettő egy dossziéban tartozik, nem két különálló e-mailban.
A képzési kötelezettség alá tartozó dolgok közül sok felbukkanó bizonytalanság, és hogyan viszonyul ez a gondossági kötelezettség egyéb intézkedéseihez, kidolgozva van az gyakran ismételt kérdésekbencímszöben. Azt is elolvashatja, hogyan tartja karban a secria.eu a forrásokat, és amikor egy oldalt utoljára ellenőriztek, visszavezethető az információ felépítésének magyarázata.
Először azt szeretné tudni, hogy ez a téma az Ön szervezete számára releváns-e, vagy csak egy ügyfél által ér-e önt? Végezze el az ingyenes NIS2-ellenőrzést, vagy böngéssze a témákat; mindkettő fiók nélkül elérhető, és azonnal konkrét következő lépést ad.