Drošības izpratnes apmācība programmatūras izstrādē nav atsevišķa likuma nodaļa, bet izriet no pienākuma rūpēties par drošību: pienākuma veikt atbilstošus tehniskus un organizatoriskus pasākumus pret riskiem tīkliem un informācijas sistēmām. Darbinieku apzinātība ir viens no pasākumiem, kas ietilpst šajā pienākumā, jo liela daļa incidents sākas ar cilvēka kļūdu: e-pastu ar pikšķerēšanu, kas tiek atvērts, paroli, kas tiek kopīgota, nepareizi konfigurētu piekļuvi, ko neviens nepamanīja.
Turklāt richtlijne ir otrais, atsevišķs pienākums, kas neattiecas uz darbiniekiem, bet uz pašu vadītāju: viņš pats arī jāapmāca, un viņam jāuzrauga kiberdrošības uzstādīšana organizācijā. Tas ir atšķirīgs pienākums nekā personāla apmācības pienākums, ar citu mērķi un citu īpašnieku. Programmatūras uzņēmumam, kas ietilpst pienākumā rūpēties par drošību, vai kas caur klientu saskaras ar NIS2 prasībām, šo divu slāņu atšķirība ir tieši tā, kur rodas daudz neskaidrības.
Ko pienākums rūpēties par drošību prasa no organizācijas
Pienākums rūpēties par drošību nenorāda fiksētu apmācības programmu ar minimālo stundu skaitu vai obligātu piegādātāju. Tas, ko richtlijne prasa, ir, ka organizācija pamanāmi pievērš uzmanību drošības izpratnei kā daļai no tās riska pārvaldības. Praksē tas nozīmē: darbinieki, kas strādā ar kodu, klientu datiem vai ražošanas vidēm, ir jāzina, kas ir sociālā inženierija, kā viņi atpazīst aizdomīgus pieprasījumus, un kas viņi dara, ja viņi šaubās.
Programmatūras uzņēmumam uzsvars bieži ir uz dažiem specifiskiem riskiem, kas nav raksturīgi katram MKB uzņēmumam: piekļuve pirmkoda, noslēpumi konfigurācijas failos, un vēlme padarīt testēšanas vides drošākas nekā ražošanu. Izpratnes programma, kas tikai brīdina par pikšķerēšanas e-pastiem, bet neko nesaka par API atslēgas kopīgošanu tērzēšanas ziņojumā, pilnībā iztukšo risku, kas izstrādes plūsmā visbiežāk notiek. Tas, kas to vēlas sistemātiski dokumentēt, atrod sektora tēmu pārskats kā citi pienākuma rūpēties par drošību pasākumi tam atbilst, piemēram, piekļuves kontrole un incidentu reģistrācija.
Vadītāja atsevišķais pienākums
Papildus personāla apmācības pienākumam richtlijne nosaka vadītājam autonomu atbildību: viņam pašam jābūt pietiekamām zināšanām, lai varētu novērtēt veiktos pasākumus, un viņam jāspēj novērtēt organizācijā esošos riskus. Tas nav personāla apmācības papildinājums, bet patstāvīgs pienākums, kas adresēts tam, kurš beigu beigās ir atbildīgs.
Šī atšķirība ir nozīmīga, jo to bieži izlaiž: uzņēmums organizē e-mācības visiem darbiniekiem un domā, ka tādējādi ir izpildījis arī vadītāja pienākumu. Vai programmatūras uzņēmuma vadītājs pieņem, ka viņa pašas tehniskās zināšanas ir pietiekamas, nekas nav dokumentēts. Abas situācijas parāda spraugu starp to, kas faktiski notiek, un to, kas pamanāmi ir organizēts. Precīzai šī pienākuma izpildei, un tam, kas valstij specifisks ir noteikts nacionālajā transponēšanā, sākumpunkts ir richtlijnes oficiālais teksts; mēs sekojam paziņojumiem, ko esam redzējuši, un tam, kad.
Ko tas nozīmē programmatūras uzņēmumam praksē
Programmatūras uzņēmums, kas pats pakļauts pienākumam rūpēties par drošību, vai uzņēmums, kas no klienta saņem drošības jautājumu anketu, parasti saņem divas problēmu kategorijas vienlaikus: vai darbiniekiem pastāv informēšanas programma, un vai vadība pati ir piedalījusies apmācības aktivitātēs vai tās ir organizējusi. Ja uzņēmums var pierādīt tikai pirmo, tad uz papīra tas neatbild uz pienākumu, ko anketa tiešām uzdod.
Lai noteiktu, vai un kādā lomā tas ir aktuāls jūsu organizācijai, vispirms var būt noderīgi kartēt nozari, izmēru un vietu piegādes ķēdē. Tas ir tieši tas, ar ko bezmaksas NIS2 pārbaude sāk: dažos jautājumos kļūst skaidrs, vai organizācija pati ir pakļauta pienākumiem, vai to skamja tikai klienta dēļ, vai arī ne viena ne otra.
Dokumentēt: pierādījums un atbildīgais
Apmācības pienākums, kas pastāv tikai cilvēku galvās, kontroles vai jautājumu anketas laikā nav pierādāms. Tas, kas tiešām darbojas, ir dokumentēt katram pienākumam statusu, pierādījumu un atbildīgo: kad kurš darbinieku kopums ir absolvējis kādu apmācību, un vai ir bijis atsevišķs moments, kad vadītājs ir informēts par veiktajiem pasākumiem un organizācijas riskiem. Abi šie aspekti jāiekļauj dossejā, nevis divos atsevišķos e-pastos.
Bieži rodas šaubas par to, kas tieši ietilpst apmācības pienākumā un kā tas saikņojas ar citiem pienākuma rūpēties par drošību aspektiem, detalizēti izklāstīti biežāk uzdotajiem jautājumiemaprakstā. Tur lasāt arī to, kā secria.eu seko informācijas avotiem un kad lapa pēdējoreiz tika pārbaudīta, kuru var atrast caur skaidrojumu par to, kā tiek veidota informācija.
Vai vēlaties vispirms uzzināt, vai šis temats ir aktuāls jūsu organizācijai vai tas uz jūs attiecas tikai caur klientu? Veiciet bezmaksas NIS2 pārbaudi vai pārlūkojiet tēmas; abi varianti ir pieejami bez konta un tūlīt sniedz konkrētu nākamo soli.