Procházejí zaměstnanci školením v základních postupech kybernetické hygieny?

Kybernetická hygiena a školení: dvě samostatné opatření

Ano, toto pole by mělo standardně figurovat v dotaznících týkajících se bezpečnosti informací, protože jde o jedno z deseti opatření stanovených v čl. 21 odst. 2 směrnice NIS2. Písm. g) tohoto odstavce přesně uvádí "základní postupy v oblasti kybernetické hygieny a školení v oblasti kybernetické bezpečnosti". Jde tedy o dvě věci současně: strukturované základní postupy (politika hesel, disciplína aktualizací, bezpečné zacházení s přílohami a odkazy) a školení, která zaměstnance na tyto postupy upozorňují. Zákazník, který se na to ptá, chce obvykle vědět, zda existuje něco kromě technických opatření — lidská složka bezpečnosti.

Jako důkazní materiál se obvykle požaduje přehled školení, e-learningový modul s procenty dokončení nebo interní dokumenty politik se základními postupy. Pokud je nemáte, je odpověď "ne" nebo "dosud není zavedeno" čestnější než sugerovat školení, které neexistuje — zákazník se na to často ptá právě jako na doplnění otázek týkajících se politiky přístupu, proto zkontrolujte také, zda je politika přístupu podniku zdokumentována, protože povědomí bez podkladové politiky zřídka přesvědčí. Věnujte pozornost také periodicitě: jednorázové školení při nástupu do práce se liší od ročního opakování a tento rozdíl často rozhoduje o posouzení zákazníkem.

Odkud to pochází: čl. 21 odst. 2, písm. g)

Článek 21 odstavec 2 směrnice (EU) 2022/2555 vyjmenovává deset kategorií opatření, která si entity musí přijmout k zabezpečení svých sítí a informačních systémů. Písm. g) konkrétně jmenuje kybernetickou hygienu a školení v oblasti bezpečnosti, vedle bijvoorbeeld písm. a) o politice analýzy rizik — viz také jak se posuzuje politika analýzy rizik — a písm. d) o kontinuitě podnikání. Tato otázka tedy není samostatná: jde o jedno z deseti povinných součástí, kterou si zákazník systematicky projde.