Szkolenia z zakresu świadomości bezpieczeństwa w tworzeniu oprogramowania nie stanowią osobnego rozdziału w ustawie, lecz wynikają z obowiązku należytej staranności: obowiązku wdrożenia odpowiednich środków technicznych i organizacyjnych w celu zmniejszenia ryzyka dla sieci i systemów informatycznych. Świadomość pracowników jest jednym ze środków, które pod to podlegają, ponieważ znaczna część incydentów zaczyna się od błędu człowieka: wiadomości e-mail z phishingiem, która jest otwierana, hasła, które są udostępniane, nieprawidłowo skonfigurowany dostęp, który nikt nie zauważa.
Ponadto w dyrektywie znajduje się druga, odrębna obowiązek, który nie dotyczy pracowników, ale samego kierownictwa: kierownictwo musi samo również przejść szkolenie i nadzorować wdrożenie cyberbezpieczeństwa w organizacji. To inny obowiązek niż obowiązek szkoleniowy personelu, z innym celem i innym właścicielem. Dla firmy zajmującej się tworzeniem oprogramowania, która podlega obowiązkowi należytej staranności lub która ma do czynienia z wymaganiami NIS2 od klienta, rozróżnienie między tymi dwiema warstwami to dokładnie miejsce, w którym pojawia się wiele zamieszania.
Co obowiązek należytej staranności wymaga od organizacji
Obowiązek należytej staranności nie opisuje stałego programu szkoleniowego z minimalną liczbą godzin ani obowiązkowego dostawcy. To, co wymaga dyrektywa, to aby organizacja wykazała uwagę na świadomość bezpieczeństwa jako część zarządzania ryzykiem. W praktyce oznacza to: pracownicy pracujący z kodem, danymi klientów lub środowiskami produkcyjnymi muszą wiedzieć, czym jest inżynieria społeczna, jak rozpoznać podejrzane żądanie i co robić, gdy są niezdecydowani.
W firmie zajmującej się tworzeniem oprogramowania nacisk często pada na kilka szczególnych ryzyk, które nie występują w każdej firmie MŚP: dostęp do kodu źródłowego, tajemnice w plikach konfiguracyjnych i pokusa, aby zabezpieczyć środowiska testowe mniej ściśle niż produkcję. Program świadomości, który tylko ostrzega przed wiadomościami e-mail z phishingiem, ale nic nie mówi o udostępnianiu klucza API w wiadomości czatu, przeoczył dokładnie ryzyko, które najczęściej źle się dzieje na linii deweloperskiej. Kto chce to systematycznie udokumentować, znajduje w przeglądzie tematów na sektor w jaki sposób inne środki wynikające z obowiązku należytej staranności się do tego wiążą, takie jak kontrola dostępu i rejestracja incydentów.
Odrębny obowiązek kierownictwa
Oprócz obowiązku szkoleniowego dla personelu dyrektywa nakłada na kierownictwo samodzielną odpowiedzialność: kierownictwo musi posiadać wystarczającą wiedzę, aby móc ocenić podjęte środki i móc ocenić ryzyka związane z organizacją. To nie jest uzupełnienie szkolenia personelu, ale samodzielny obowiązek, skierowany na osobę ponoszącą ostateczną odpowiedzialność.
To rozróżnienie jest istotne, ponieważ często jest pomijane: firma organizuje e-learning dla wszystkich pracowników i myśli, że w ten sposób spełniła również obowiązek kierownictwa. Lub dyrektor firmy zajmującej się tworzeniem oprogramowania uważa, że własne tło techniczne wystarczy, bez czegokolwiek udokumentowanego. Obie sytuacje pokazują lukę między tym, co faktycznie się dzieje, a tym, co jest wykazane jako zorganizowane. W celu precyzyjnego определения tego obowiązku i tego, co zostało określone na poziomie krajowym w krajowej transpozycji, oficjalny tekst dyrektywy jest odpowiednim punktem wyjścia; w bazie wiedzy śledzimy, jakie publikacje obserwowaliśmy i kiedy.
Co to oznacza dla firmy zajmującej się tworzeniem oprogramowania w praktyce
Firma zajmująca się oprogramowaniem, która sama podlega obowiązkowi opieki lub otrzymuje kwestionariusz bezpieczeństwa od klienta, który temu podlega, zazwyczaj otrzymuje jednocześnie dwa rodzaje pytań: czy istnieje program świadomości dla pracowników i czy kierownictwo samo uczestniczyło w szkoleniach lub je zorganizowało. Kto potrafi wykazać tylko pierwszą część, pozostawia na papierze obowiązek bez odpowiedzi, który kwestionariusz rzeczywiście wypytuje.
Aby ustalić, czy i w jakiej roli jest to istotne dla Twojej organizacji, warto najpierw zmapować sektor, wielkość i pozycję w łańcuchu dostaw. To jest dokładnie tam, gdzie bezpłatna weryfikacja NIS2 zaczyna się: w kilku pytaniach staje się jasne, czy organizacja sama podlega obowiązkowi, czy dotyka ją tylko poprzez klienta, czy żadne z nich.
Dokumentowanie: dowód i właściciel
Obowiązek szkoleniowy, który istnieje tylko w głowach, nie jest wykazalny przy kontroli lub kwestionariuszu. To, co działa, to dokumentowanie dla każdego obowiązku statusu, dowodu i właściciela: kiedy jakaś grupa pracowników odbyła jakie szkolenie i czy był osobny moment, w którym kierownictwo zostało poinformowane o podjętych środkach i ryzykach organizacji. Oba powinny znaleźć się w dossier, a nie w dwóch oddzielnych wiadomościach e-mail.
Częste wątpliwości dotyczące tego, co dokładnie wchodzi w obowiązek szkoleniowy i jak się on odnosi do innych środków z obowiązku opieki, zostały opracowane w często zadawanych pytaniach. Tam również dowiesz się, jak secria.eu przechowuje źródła i kiedy strona została ostatnio sprawdzona, co można znaleźć za pomocą wyjaśnienia dotyczące tego, jak informacje są opracowywane.
Chcesz najpierw wiedzieć, czy ten temat jest istotny dla Twojej organizacji, czy dotyka Cię tylko poprzez klienta? Zrób bezpłatną NIS2-check lub przeglądaj tematy; oba można zapoznać się bez konta i od razu wskazują konkretny następny krok.