dlaczego potrzebuję certyfikatu udziału w szkoleniu z cyberbezpieczeństwa

Dowód, że higiena cybernetyczna i szkolenia zostały wdrożone

Zaświadczenie o uczestnictwie służy jako dowód, że szkolenie pracowników rzeczywiście miało miejsce, i to jest dokładnie to, co wymagają zarówno dokumentacja wewnętrzna, jak i lista kontrolna bezpieczeństwa od klienta. Cyberbezpieczeństwo nie ogranicza się tylko do technologii, ale także do ludzi, którzy wiedzą, jak rozpoznać phishing, zarządzać hasłami i zgłaszać incydenty. Szkolenie jest zatem jednym z powtarzających się elementów w ramach obowiązku opieki, a zaświadczenie o uczestnictwie jest wymiernym rezultatem, którym można wykazać to szkolenie — nie tylko wobec organu nadzoru, ale także wobec zleceniodawcy, który wymaga uzasadnienia.

Dla organizacji objętych obowiązkkami zaświadczenie o uczestnictwie powinno towarzyszyć dowodowi, który musi być dostarczony dla każdej miary bezpieczeństwa: nie samej miary ("szkolimy nasz personel"), ale konkretnym dowodem, że rzeczywiście miała miejsce, z imieniem, datą i tematem. Dla dostawców MKB dotkniętych łańcuchem dostaw, którzy sami nie podlegają ustawie, jest to równie istotne: kto musi wypełnić listę kontrolną bezpieczeństwa od klienta często otrzymuje właśnie to pytanie, ponieważ zleceniodawca musi być w stanie wykazać, że łańcuch dostaw jest również wystarczająco odporny. Bez zaświadczenia o uczestnictwie stwierdzenie "szkolimy nasz personel" pozostaje asercją bez uzasadnienia, a to zwykle nie wystarczy.

Skąd wynika to z obowiązku zarządzania ryzykiem cybernetycznym

Artykuł 21 ustęp 2 dyrektywy NIS2 wyraźnie wymienia wśród dziesięciu obowiązkowych miar bazową higienę cybernetyczną i szkolenia z zakresu cyberbezpieczeństwa jako część obowiązku opieki, co jest przejęte w polskiej ustawie o cyberbezpieczeństwie. ISO/IEC 27001 rozwija to w Załączniku A jako miarę kontrolną dotyczącą świadomości i szkolenia pracowników, gdzie wykazalność — czyli rejestr osób, które ukończyły jakie szkolenia i kiedy — jest elementem powtarzającym się. NCSC podkreśla w swoich wytycznych dotyczących obowiązku opieki, że miary nie tylko muszą być wdrażane, ale także muszą być możliwe do wykazania.