kodėl man reikalingas dalyvaujančiojo pažymėjimas apie kibernetinio saugumo mokymus

Įrodymas, kad kibernetinė higiena ir mokymas yra užtikrinti

Dalyvavimo sertifikat darbinė kaip įrodymas, kad personalo mokymas iš tikrųjų įvyko, ir tai yra būtent tai, ko prašo tiek savų administracijos, tiek kliento saugumo klausimyno. Kibernetinis saugumas sukasi ne tik aplink techniką, bet ir apie žmones, kurie žino, kaip atpažinti phishing, valdyti slaptažodžius ir pranešti apie incidentus. Mokymas yra todėl vienas iš pasikartojančių elementų atsargumo pareigoje, o dalyvavimo sertifikat yra apčiuopus rezultatas, kuriuo šis mokymas gali būti patvirtintas – ne tik prieš priežiūros institucją, bet ir prieš užsakovą, kuris prašo pagrindimo.

Atsakingoms organizacijoms dalyvavimo sertifikat turėtų būti įrodymas, kuris turi būti pateiktas pagal kiekvieną saugumo priemonę: ne pati priemonė ("mes mokiname personalą"), o konkretus įrodymas, kad tai buvo padaryta, su pavarde, data ir tema. Tiekimo grandinėje paveiktiems MVĮ tiekėjams, kurie patys nepatenka po įstatymą, tai yra lygiai taip pat svarbu: kurie turi užpildyti kliento saugumo klausimyną dažnai gali susidurti su šiuo klausimu, nes užsakovas turi galėti įrodyti, kad ir grandinė yra pakankamai atspari. Be dalyvavimo sertifikato "mes mokiname savo personalą" lieka teiginiu be pagrindimo, ir tai paprastai nėra pakanku.

Kur tai iš atsakomybės pareigos kyla

NIS2 direktyvos 21 straipsnio 2 dalyje iš dešimties privalomų priemonių aiškiai paminėtos pagrindinė kibernetinė higiena ir kibernetinio saugumo mokymas kaip atsargumo pareigos dalis, kurią Kibernetinio saugumo įstatymas perima kaip Nyderlandų transpoziciją. ISO/IEC 27001 tai išplečia A priede kaip valdymo priemonę, susijusią su darbuotojų sąmoningumu ir mokymu, kai sekumas – tai yra, žurnalas apie tai, kas kada ir kokį mokymas gavo – yra pasikartojantis elementas. NCSC savo paaiškinimuose apie atsargumo pareigą pabrėžia, kad priemonės turi ne tik būti imtasi, bet ir gali būti įrodytos.