Bezpečnostné vzdelávanie pri vývoji softvéru nie je samostatnou kapitolou v zákone, ale vyplýva z povinnosti starostlivosti: povinnosti prijať vhodné technické a organizačné opatrenia proti rizikám pre sietí a informačné systémy. Povedomie zamestnancov je jedno z opatrení, ktoré pod to spadajú, pretože veľká časť incidentov začína ľudskou chybou: na phishingový e-mail sa klikne, heslo sa zdieľa, nesprávne nakonfigurovaný prístup si nikto nevšimne.
Okrem toho smernica obsahuje druhú, samostatnú povinnosť, ktorá sa netýka zamestnancov, ale samotného člena riadiacich orgánov: musí sa sám tiež školiť a musí dohliadať na nastavenie kybernetickej bezpečnosti v rámci organizácie. Ide o inú povinnosť ako školiaca povinnosť pre personál, s iným účelom a iným zodpovedným subjektom. Pre softvérové podnikanie, ktoré spadá pod povinnosť starostlivosti, alebo ktoré sa stretáva s požiadavkami NIS2 prostredníctvom zákazníka, je práve tento rozdiel medzi týmito dvoma vrstvami presne tam, kde vzniká veľa nejasností.
Čo vyžaduje povinnosť starostlivosti od organizácie
Povinnosť starostlivosti nepopisuje pevný školiaci program s minimálnym počtom hodín alebo povinným poskytovateľom. To, čo smernica vyžaduje, je, aby organizácia preukázateľne venovala pozornosť bezpečnostnému povedomiu ako súčasti svojho manažovania rizík. V praxi to znamená: zamestnanci, ktorí pracujú s kódom, údajmi zákazníkov alebo produkčnými prostrediami, musia vedieť, čo je sociálne inžinierstvo, ako rozpoznať podozrivú žiadosť a čo robiť, ak si nie sú istí.
V prípade softvérového podniku sa pozornosť často sústreďuje na niekoľko konkrétnych rizík, ktoré neplatia pre každé MKB podnikanie: prístup na zdrojový kód, tajomstvá v konfiguračných súboroch a pokušenie zabezpečiť testovacie prostredia menej prísne ako produkciu. Program zvyšovania povedomia, ktorý iba varuje pred phishingovými e-mailmi, ale nehovorí nič o zdieľaní API kľúča v správe chatu, presne chýba riziko, ktoré sa v rámci vývojového procesu najčastejšie pokazí. Kto to chce systematicky zaznamenať, nájde v prehľade tém podľa sektora ako iné opatrenia z povinnosti starostlivosti na to nadväzujú, ako je riadenie prístupu a registrácia incidentov.
Samostatná povinnosť člena riadiacich orgánov
Okrem školiacej povinnosti pre personál smernica ukladá členu riadiacich orgánov vlastnú zodpovednosť: musí mať sám dostatočné znalosti, aby mohol posúdiť prijaté opatrenia, a musí vedieť posúdiť riziká spojené s organizáciou. Nejde o doplnok k školeniu personálu, ale o samostatnú povinnosť zameranú na osobu, ktorá nesie konečnú zodpovednosť.
Tento rozdiel je relevantný, pretože sa často prehliadá: podnikanie zareší e-learning pre všetkých zamestnancov a myslí si, že tým splnilo aj povinnosť člena riadiacich orgánov. Alebo riaditeľ softvérového podniku predpokladá, že vlastné technické vzdelanie stačí, bez toho, aby niečo bolo zaznamenané. Obe situácie ukazujú medzeru medzi tým, čo sa v skutočnosti deje, a čo je preukázateľne organizované. Pre presnú realizáciu tejto povinnosti a pre to, čo je špecifické pre danú krajinu v rámci národnej transpozície, je oficiálny text smernice vhodným východiskom; v našej databáze vedomostí sledujeme, ktoré publikácie sme videli a kedy.
Čo to znamená pre softvérové podnikanie v praxi
Softvérová spoločnosť, ktorá sama podlieha povinnostiam podľa článku 21 a 23 NIS2, alebo ktorá dostane zoznam bezpečnostných otázok od zákazníka, ktorý im podlieha, obvykle dostane dva druhy otázok súčasne: či má program informovanosti pre svojich zamestnancov a či sa vedenie samo zúčastnilo alebo organizovalo tréningové aktivity. Kto môže preukázať len prvé, nechá odpoveď na povinnosť bez odpovede, ktorú zoznam otázok skutočne vyžaduje.
Aby ste určili, či je to relevantné pre vašu organizáciu a v akej úlohe, pomôže najskôr zmapovať sektor, veľkosť a miesto v reťazci dodávateľov. Presne tam bezplatná NIS2-kontrola začína: v niekoľkých otázkach sa ujasní, či je organizácia sama povinná, je dosiahnutá len cez zákazníka, alebo ani jedno z toho.
Zaznamenávať: dôkazný materiál a zodpovedný
Tréningová povinnosť, ktorá existuje len v hlavách, nie je overiteľná pri kontrole alebo pri zozname otázok. Čo funguje, je zaznamenať si pre každú povinnosť status, dôkazný materiál a zodpovedného: kedy absolvovala ktorá skupina zamestnancov aký tréning a bol tam samostatný moment, kedy sa vedenie nechalo informovať o prijatých opatreniach a o rizikách organizácie. Oboje patrí do dokumentačného spisu, nie do dvoch voľných e-mailov.
Časté pochybnosti o tom, čo presne spada pod tréningovú povinnosť a ako sa to vzťahuje na ďalšie opatrenia z povinností podľa článkov 21 a 23, sú rozpracované v často kladené otázkyTam si prečítate aj to, ako secria.eu vedie zdroje a kedy bola stránka naposledy skontrolovaná, čo nájdete prostredníctvom výkladu toho, ako sú informácie zostavené.
Chcete najskôr vedieť, či je táto téma relevantná pre vašu organizáciu, alebo k vám prichádza len cez zákazníka? Vykonajte bezplatnú kontrolu NIS2 alebo si prelistujte témy; oboje je možné konzultovať bez účtu a okamžite vás nasmerujú na konkrétny ďalší krok.