Instruirea privind conștientizarea securității în dezvoltarea de software nu este un capitol separat în lege, ci rezultă din obligația de diligență: obligația de a lua măsuri tehnice și organizatorice adecvate împotriva riscurilor pentru rețelele și sistemele informatice. Conștientizarea angajaților este una dintre măsurile care se încadrează în aceasta, deoarece o parte semnificativă a incidentelor începe cu o greșeală umană: un email de phishing care este deschis, o parolă care este partajată, un acces configurat greșit pe care nimeni nu îl observă.
În plus, în directivă există o a doua obligație separată care nu se referă la angajați, ci la conducător însuși: acesta trebuie să se instruiască și trebuie să supravegheze stabilirea securității cibernetice în cadrul organizației. Aceasta este o obligație diferită de obligația de instruire pentru personal, cu un scop diferit și un proprietar diferit. Pentru o companie de software care se încadrează în obligația de diligență, sau care întâmpină cerințe NIS2 prin intermediul unui client, distinția între aceste două niveluri este tocmai locul în care apare multă confuzie.
Ce cere obligația de diligență de la organizație
Obligația de diligență nu descrie un program de instruire fix cu un număr minim de ore sau un furnizor obligatoriu. Ceea ce directiva cere cu adevărat este ca o organizație să dovedească în mod clar atenție asupra conștientizării securității ca parte a managementului riscurilor sale. În practică, aceasta înseamnă: angajații care lucrează cu cod, date ale clienților sau medii de producție, trebuie să știe ce este ingineria socială, cum recunosc o solicitare suspectă și ce fac dacă sunt în nelăgură.
La o companie de software, accentul se pune adesea pe câteva riscuri specifice care nu se regăsesc la fiecare întreprindere mică și medie: accesul la codul sursă, secrete în fișiere de configurație și tentația de a asigura mediile de testare mai puțin strict decât producția. Un program de conștientizare care doar avertizează asupra emailurilor de phishing, dar nu spune nimic despre partajarea unei chei API într-un mesaj de chat, ratează tocmai riscul care se întâmplă cel mai frecvent în linia de dezvoltare. Pentru cei care doresc să documenteze aceasta sistematic, o găsesc în prezentarea generală a temelor pe sector cum alte măsuri din obligația de diligență se conectează la aceasta, cum ar fi controlul accesului și înregistrarea incidentelor.
Obligația separată pentru conducător
Pe lângă obligația de instruire pentru personal, directiva stabilește o responsabilitate proprie pentru conducător: acesta trebuie să aibă în mod personal suficiente cunoștințe pentru a putea evalua măsurile luate și trebuie să poată aprecia riscurile care sunt legate de organizație. Aceasta nu este o completare la instruirea personalului, ci o obligație autonomă, orientată către persoana care este răspunzătoare în mod definitiv.
Această distincție este relevantă deoarece este adesea trecut cu vederea: o companie organizează un curs online pentru toți angajații și crede că a îndeplinit și obligația conducătorului. Sau directorul unei companii de software presupune că propriul bagaj tehnic este suficient, fără ca ceva să fie documentat. Ambele situații arată o decalaj între ceea ce se întâmplă de fapt și ceea ce este organizat în mod demonstrabil. Pentru précis interpretării acestei obligații, și pentru ceea ce este stabilit ca fiind specific fiecărei țări în transpunerea națională, textul oficial al directivei este punctul de plecare indicat; ținem evidența în baza de cunoștințe a publicațiilor pe care le-am observat și când.
Ce înseamnă aceasta pentru o companie de software în practică
O companie de software care se află ea însăși sub obligația de diligență sau care primește un chestionar de securitate de la un client care se află în această situație, de obicei primește două tipuri de întrebări în același timp: dacă există un program de conștientizare a securității pentru angajați și dacă conducerea însăși a urmat sau a organizat activități de formare. Cine poate demonstra doar pe hârtie doar pe primul caz, lasă nerezolvată o obligație pe care chestionarul o solicită în mod explicit.
Pentru a determina dacă, și în ce rol, aceasta este relevantă pentru organizația dumneavoastră, este util să cartografiați mai întâi sectorul, volumul și poziția în lanțul de aprovizionare. Acesta este exact locul în care verificarea NIS2 gratuită începe: în câteva întrebări devine clar dacă o organizație se află ea însăși sub obligație de conformare, este afectată doar printr-un client, sau nici una din cele două.
Documentare: dovadă și responsabil
O obligație de formare care există doar în capetele oamenilor nu este demonstrabilă la o inspecție sau unui chestionar. Ceea ce funcționează este documentarea pentru fiecare obligație a unui status, dovezii și a unui responsabil: când ce grup de angajați a urmat ce formare și a existat un moment separat în care liderul executiv a fost informat cu privire la măsurile luate și riscurile organizației. Ambele trebuie să se găsească într-un dosar, nu în două e-mailuri separate.
Îndoieli frecvente cu privire la ceea ce se încadrează exact sub obligația de formare și cum se raportează la alte măsuri din obligația de diligență sunt detaliate în întrebări frecvente». Acolo citești și cum secria.eu menține sursele și când o pagină a fost verificată pentru ultima dată, care poate fi găsită prin explicația modului în care informațiile sunt construite.
Doriți mai întâi să știți dacă acest subiect este relevant pentru organizația dumneavoastră, sau numai prin intermediul unui client către dumneavoastră? Efectuați verificarea gratuită NIS2 sau răsfoiți prin subiecte; ambele pot fi consultate fără cont și oferă imediat un pas concret următoare.