Saugumo žinijimas programinės įrangos kūrime nėra atskiras įstatymo skyrius, bet išplaukia iš priežiūros pareigos: pareigos imtis tinkamų techninių ir organizacinių priemonių, skirtos tinklų ir informacinių sistemų rizikai mažinti. Darbuotojų saugumo žinijimas yra viena iš priemonių, kurios patenka į šią pareigą, nes didžioji dalis incidentų prasideda nuo žmonių klaidos: atidarytas phishing laiškas, išdalijamas slaptažodis, neteisingai sukonfigūruota prieiga, kurią niekas nepastebėjo.
Be to, richtlyje nustatyta antra, atskira pareiga, kuri nėra apie darbuotojus, bet apie patį vadovą: jis pats turi mokytis ir stebėti kibernetinio saugumo diegimą organizacijoje. Tai kita pareiga nei darbuotojų mokymo pareiga, su kitu tikslu ir kitu atsakingu asmeniu. Programinės įrangos įmonei, kuri patenka į priežiūros pareigą arba per klientą susiduria su NIS2 reikalavimais, šitų dviejų lygių skirtumas yra tiksliai tai, kur atsiranda daug painiavos.
Ką priežiūros pareiga reikalauja iš organizacijos
Priežiūros pareiga neapibūdina fiksuoto mokymo programos su mažiausiu valandų skaičiumi ar privaloma paslaugų teikėja. Ką richtlynė reikalauja, tai kad organizacija aiškai parodytų dėmesį saugumo žinijimui kaip rizikos valdymo daliai. Praktikoje tai reiškia: darbuotojai, dirbantys su kodu, kliento duomenimis ar gamybos aplinkomis, turi žinoti, kas yra socialinė inžinerija, kaip atpažinti įtariamą prašymą ir ką daryti, jei abejoja.
Programinės įrangos įmonėje dėmesys dažnai sutelkiamas į kelis konkrečius rizikus, kurie ne visose MKB įmonėse yra: prieiga prie šaltinio kodo, paslaptys konfigūracijos failuose ir pagunda testinius aplinkus apsaugoti mažiau nei produkciją. Žinijimo programa, kuri tik įspėja apie phishing laiškus, bet nieko nesako apie API raktą bendrinantį pokalbio žinutę, praleido tiksliai tas riziką, kuri plėtros eilutėje dažniausiai nepavyksta. Kas nori tai sistemingai fiksuoti, rasitoje temų apžvalgą pagal sektorių kaip kitos priežiūros pareigos priemonės čia yra susijusios, pavyzdžiui prieigos kontrolė ir incidentų registracija.
Atskira vadovo pareiga
Be darbuotojų mokymo pareigos, richtlynė nustato atskirą vadovo atsakomybę: jis pats turi turėti pakankamai žinių, kad galėtų įvertinti priimtas priemones, ir turi gebėti nustatyti rizikas, susijusias su organizacija. Tai ne papildymas prie darbuotojų mokymo, bet savarankiška pareiga, skirta tam, kuris yra galutinai atsakingas.
Šis skirtumas yra svarbus, nes dažnai praleidžiamas: įmonė suorganizuoja e-mokymą visiems darbuotojams ir mano, kad tuo būdu taip pat atsiskaityno ir vadovo pareigą. Arba programinės įrangos įmonės direktorius mano, kad jo paties techninis išsilavinimas pakanka, nereikalavęs nieko fiksuoti. Abi situacijos parodo spragas tarp to, kas iš tiesų vyksta, ir to, kas aiškai yra organizuota. Tiksliam šios pareigos įpildymui ir tam, kas konkrečiai nustatyta nacionalinėje transpozicijoje, richtlynės oficiali tekstas yra tinklas pradėti; žinijimo banke sekame, kurias publikacijas matėme ir kada.
Ką tai reiškia programinės įrangos įmonei praktikoje
Programinės įrangos bendrovė, kuri pati patenka į pareigų sritį arba gauna saugumo klausimyną iš užsakovo, kuris tai daro, paprastai gauna dvi rūšies klausimus vienu metu: ar yra darbuotojų informavimo programa, ir ar vadovybė pati lankė ar suorganizavo mokymo veiklą. Kas gali parodyti tik pirmą, paliekančia dokumentuose neatssakytą pareigą, kurią klausimynas iš tikrųjų klausia.
Norint nustatyti, ar ir kokiame vaidmenyje tai yra aktualus jūsų organizacijai, naudingas žingsnis – pirmiausia sumatyti sektorių, organizacijos dydį ir vietą grandinėje. Būtent čia pradeda nemokama NIS2-patikra paskyti pradeda: keliuose klausimuose paaiškėja, ar organizacija pati yra įpareigota, tik per klientą yra paveikta, ar nė viena iš šių.
Dokumentavimas: įrodymas ir atsakingas asmuo
Mokymo pareiga, kuri egzistuoja tik žmonių galvose, nėra įrodoma atliekant kontrolę ar klausimyną. Kas tikrai veikia – per kiekvieną pareigą fiksuoti statusą, įrodymą ir atsakingą asmenį: kada kuri darbuotojų grupė absolvavo kokį mokymo kursą, ir ar buvo atskiras momentas, kai vadovybė buvo informuota apie priimtas priemones ir organizacijos riziką. Abu turėtų būti dossier, ne dvi atskiros el. laiškai.
Dažniausiai pasitaikantys ginčai dėl to, kas tiksliai patenka į mokymo pareigą, ir kaip ji susijusi su kitomis priemonėmis iš pareigų srities, yra išsamiai aprašyti dažniausiai užduodamuose klausimuosejame. Ten taip pat perskaitysite, kaip secria.eu palaiko šaltinius ir kada puslapis paskutinį kartą buvo patikrintas, kurį galite rasti per paaiškinimas apie tai, kaip informacija sudaroma.
Norite pirmiausia sužinoti, ar šis klausimas yra aktualus jūsų organizacijai, ar tik per klientą į jus pasiekia? Atlikite nemokamą NIS2-patikrą arba naršykite per temas; abi gali būti naudojamos be paskyros ir iš karto suteikia konkrečią tolesnę veiklą.