Usposabljanje za varnost v razvoju programske opreme ni ločeno poglavje v zakonu, ampak izhaja iz dolžnosti skrbi: obveznosti, da se sprejmejo ustrezni tehnični in organizacijski ukrepi proti tveganjem za omrežne in informacijske sisteme. Ozaveščenost zaposlenih je eden od ukrepov, ki spadajo pod to, ker se velik del dogodkov začne s človeško napako: e-pošta z ribarjenjem, ki jo odpro, geslo, ki ga delijo, nepravilno konfiguriran dostop, ki ga nihče ne opazi.
Poleg tega je v smernici druga, ločena obveznost, ki se ne nanaša na zaposlene, ampak na vodilnega samega: ta mora tudi sam usposabljati in mora nadzirati vzpostavitev kibernetske varnosti v organizaciji. To je drugačna dolžnost od dolžnosti usposabljanja za osebje, z drugačnim namenom in drugačnim lastnikom. Za podjetje za razvoj programske opreme, ki spada pod dolžnost skrbi, ali ki se sooča s potrebami NIS2 prek stranke, je razlika med tema dvema plastema ravno tam, kjer nastane veliko zmede.
Kaj zahteva dolžnost skrbi od organizacije
Dolžnost skrbi ne opisuje fiksnega usposabljanja s najmanjšim številom ur ali obveznim ponudnikom. Kar smernica zahteva, je, da ima organizacija dokazljivo pozornost na zavedanje o varnosti kot del svojega upravljanja tveganj. V praksi to pomeni: zaposleni, ki delajo s kodo, podatki strank ali produkcijskim okoljem, morajo vedeti, kaj je socialni inženiring, kako prepoznajo sumljiv zahtevek in kaj naredijo, če dvomijo.
V podjetju za razvoj programske opreme je poudarek pogosto na nekaj specifičnih tveganj, ki jih druge manjše in srednje podjetje nimajo: dostop do izvorne kode, skrivnosti v datotekah konfiguracije in prikušnjenje, da se testna okolja varnostno ohranita bolj ohlapno kot proizvodnja. Program ozaveščanja, ki samo opozarja na e-pošte z ribarjenjem, vendar ne govori o deljenju ključa API-ja v sporočilu klepeta, točno zamudi tveganje, ki se v razvojni liniji najpogosteje zgodi. Kdor to želi sistematično dokumentirati, najde v pregledu tem po sektorjih kako se drugi ukrepi iz dolžnosti skrbi na to navezujejo, kot so nadzor dostopa in registracija dogodkov.
Ločena dolžnost za vodilnega
Poleg dolžnosti usposabljanja za osebje postavlja smernica lastno odgovornost vodilnega: ta mora imeti dovolj znanja, da lahko oceni sprejete ukrepe, in mora znati oceniti tveganja, ki so povezana z organizacijo. To ni dopolnitev usposabljanja za osebje, ampak samostojna dolžnost, usmerjena v tistega, ki je končno odgovoren.
Ta razlika je relevantna, ker se pogosto preskoči: podjetje uredi e-učenje za vse zaposlene in si misli, da je s tem izpolnilo tudi dolžnost vodilnega. Ali direktor podjetja za razvoj programske opreme predpostavlja, da je lastna tehnična podlaga dovoljna, ne da bi bilo kaj dokumentirano. Obe situaciji pokažeta vrzel med tem, kaj se dejansko zgodi, in tem, kaj je dokazljivo organizirano. Za natančno izvedbo te dolžnosti in za tisto, kar je državnospecifično določeno v nacionalni implementaciji, je uradni tekst smernice pravi začetni punkt; spremljamo v bazi znanja, katere publikacije smo videli in kdaj.
Kaj to v praksi pomeni za podjetje za razvoj programske opreme
Podjetje za programsko opremo, ki samo spada pod dolžnost nege ali dobi vprašalnik o varnosti od naročnika, ki to počne, običajno dobi hkrati dve vrsti vprašanj: ali obstaja program ozaveščanja za zaposlene in ali je sama uprava spremljala ali organizirala usposabljalne dejavnosti. Kdor lahko dokaže samo prvo, pusti neodgovorjeno obveznost na papirju, ki jo vprašalnik dejansko sprašuje.
Če želite ugotoviti, ali je to relevantno za vašo organizacijo in v kakšni vlogi, je koristno najprej kartirati sektor, velikost in mesto v verigi dobavljanja. To je prav tam, kjer brezplačna NIS2-preverka se začne: v nekaj vprašanjih postane jasno, ali je organizacija sama zavezana, da je dosežena le prek naročnika, ali pa niti ena niti druga.
Dokumentiranje: dokazno gradivo in lastnik
Obveznost usposabljanja, ki obstaja samo v glavah, pri pregledu ali vprašalniku ni dokazljiva. Kar res deluje, je za vsako obveznost dokumentirati status, dokazno gradivo in lastnika: kdaj je katera skupina zaposlenih opravila katero usposabljanje in ali je bilo ločeno trenutka, ko se je vodstvo pustilo obvestiti o sprejetih ukrepih in tveganjih organizacije. Oboje sodi v dossier, ne v dve ločeni elektronski pošti.
Pogosta vprašanja o tem, kaj natanko spada pod obveznost usposabljanja in kako se to nanaša na druge ukrepe iz dolžnosti nege, so razdelana v pogosto postavljanih vprašanjih. Tam preberete tudi, kako secria.eu vzdržuje vire in kdaj je bila stran nazadnje preverjena, kar je mogoče najti preko razlage o tem, kako se informacije gradijo.
Želite li najprej vedeti, ali je ta tema relevantna za vašo organizacijo ali pride do vas samo prek naročnika? Opravite brezplačno preverjanje NIS2 ali brskajte po temah; oboje je mogoče posvetovati se brez računa in takoj daje konkreten naslednji korak.