La formazione sulla consapevolezza della sicurezza nello sviluppo software non è un capitolo separato nella direttiva, ma discende dall'obbligo di dovuta diligenza: l'obbligo di adottare misure tecniche e organizzative appropriate contro i rischi per i sistemi informatici e di rete. La consapevolezza dei dipendenti è una delle misure che rientra in questo obbligo, perché una gran parte degli incidenti inizia con un errore umano: un'e-mail di phishing che viene aperta, una password che viene condivisa, un accesso configurato erroneamente che nessuno nota.
Inoltre, nella direttiva è presente un secondo obbligo separato che non riguarda i dipendenti ma il dirigente stesso: questi deve anche formarsi personalmente e deve supervisionare l'attuazione della sicurezza informatica all'interno dell'organizzazione. Questo è un obbligo diverso dall'obbligo di formazione per il personale, con uno scopo diverso e un responsabile diverso. Per un'azienda di software che rientra nell'obbligo di dovuta diligenza, o che affronta i requisiti della NIS2 tramite un cliente, la distinzione tra questi due livelli è esattamente dove nasce molta confusione.
Cosa richiede l'obbligo di dovuta diligenza all'organizzazione
L'obbligo di dovuta diligenza non descrive un programma di formazione fisso con un numero minimo di ore o un fornitore obbligatorio. Ciò che la direttiva richiede è che un'organizzazione dimostri di prestare attenzione alla consapevolezza della sicurezza come parte della sua gestione del rischio. In pratica, questo significa: i dipendenti che lavorano con codice, dati dei clienti o ambienti di produzione devono sapere cosa sia l'ingegneria sociale, come riconoscere una richiesta sospetta e cosa fare se hanno dubbi.
In un'azienda di software, l'enfasi è spesso su alcuni rischi specifici che non si verificano in ogni azienda di medie dimensioni: accesso al codice sorgente, segreti nei file di configurazione, e la tentazione di proteggere gli ambienti di test in modo meno rigoroso rispetto alla produzione. Un programma di consapevolezza che avverte solo dei pishing, ma non dice nulla sulla condivisione di una chiave API in un messaggio di chat, manca esattamente del rischio che più spesso va storto nella catena di sviluppo. Chi vuole documentare questo sistematicamente, trova in la panoramica dei temi per settore come altri provvedimenti dell'obbligo di dovuta diligenza si collegano a questo, come il controllo degli accessi e la registrazione degli incidenti.
L'obbligo separato per il dirigente
Oltre all'obbligo di formazione per il personale, la direttiva impone una responsabilità propria al dirigente: questi deve avere una conoscenza sufficiente per poter valutare le misure adottate, e deve essere in grado di stimare i rischi associati all'organizzazione. Non è un'integrazione della formazione del personale, ma un obbligo autonomo, rivolto a colui che è responsabile in ultima istanza.
Questa distinzione è rilevante perché spesso viene tralasciata: un'azienda organizza un e-learning per tutti i dipendenti e pensa di aver così assolto anche l'obbligo del dirigente. Oppure il direttore di un'azienda di software presume che il proprio background tecnico sia sufficiente, senza che nulla sia stato documentato. Entrambe le situazioni mostrano un divario tra ciò che accade effettivamente e ciò che è organizzato in modo dimostrabile. Per la definizione precisa di questo obbligo, e per ciò che è stato stabilito in modo specifico per il paese nella trasposizione nazionale, il testo ufficiale della direttiva è il punto di partenza appropriato; nella nostra base di conoscenze teniamo traccia di quali pubblicazioni abbiamo visto e quando.
Cosa significa questo nella pratica per un'azienda di software
Un'azienda di software che ricade essa stessa sotto l'obbligo di diligenza, oppure che riceve un questionario sulla sicurezza da un cliente che lo fa, riceve solitamente due tipi di domande contemporaneamente: se esiste un programma di consapevolezza per i dipendenti, e se la dirigenza stessa ha seguito o organizzato attività di formazione. Chi può dimostrare solo la prima cosa, lascia sulla carta un obbligo a cui il questionario effettivamente chiede risposta.
Per determinare se, e in quale ruolo, questa materia è rilevante per la vostra organizzazione, è utile innanzitutto individuare il settore, la dimensione e la posizione nella catena di fornitura. È esattamente il punto da cui controllo NIS2 gratuito inizia: in poche domande diventa chiaro se un'organizzazione ricade essa stessa sotto gli obblighi, viene coinvolta solo attraverso un cliente, o nessuna delle due cose.
Documentare: evidenza e responsabile
Un obbligo di formazione che esiste solo nelle intenzioni non è dimostrabile in caso di controllo o di questionario. Ciò che funziona è documentare per ogni obbligo uno stato, un'evidenza e un responsabile: quando quale gruppo di dipendenti ha seguito quale formazione, e c'è stato un momento separato in cui il responsabile è stato informato sulle misure adottate e sui rischi dell'organizzazione. Entrambi devono stare in un dossier, non in due messaggi di posta separati.
I dubbi frequenti su cosa esattamente rientra nell'obbligo di formazione, e come si relaziona ad altre misure dell'obbligo di diligenza, sono affrontati in dettaglio nella domande frequenti. Qui leggete anche come secria.eu mantiene aggiornate le fonti e quando una pagina è stata controllata l'ultima volta, reperibile tramite la spiegazione di come viene costruita l'informazione.
Volete prima sapere se questo argomento è rilevante per la vostra organizzazione, oppure vi arriva solo attraverso un cliente? Fate il controllo NIS2 gratuito oppure scorrete gli argomenti; entrambi sono consultabili senza account e forniscono subito un passo concreto successivo.