Får medarbejdere undervisning i basale praksisser for cyberhygiejne?

Cyberhygiejne og træning: to separate foranstaltninger

Ja, dette felt hører standardmæssigt hjemme i spørgeskemaer om informationssikkerhed, da det er én af ti foranstaltninger i artikel 21, stk. 2 i NIS2-direktivet. Punkt (g) i dette stykke siger ordret "grundlæggende praksis inden for cyberhygiejne og cybersikkerhedstræning". Det handler således om to ting samtidigt: strukturel grundlæggende praksis (adgangskodepolitik, opdateringsdisciplin, sikker håndtering af vedhæftninger og links) og træning, der gør medarbejdere opmærksomme på dette. En kunde, der stiller dette spørgsmål, ønsker normalt at vide, om der findes noget ud over tekniske foranstaltninger — den menneskelige del af sikerheden.

Som bevis anmodes der normalt om et træningsoversigt, et e-learningmodul med gennemførelsesprocent, eller et internt policydokument med grundlæggende praksis i det. Hvis du ikke har det, er "nej" eller "endnu ikke til stede" et mere ærligt svar end at foreslå en træning, som ikke findes — kunden stiller ofte dette spørgsmål netop som supplement til spørgsmål om adgangskontrolpolitik, så check også om virksomhedens adgangskontrolpolitik er dokumenteret, da bevidsthed uden underliggende politik sjældent er overbevisende. Vær også opmærksom på periodicitet: en engangs-træning ved ansættelse er noget andet end årlig gentagelse, og denne forskel betyder ofte meget for kundens vurdering.

Hvor dette kommer fra: artikel 21, stk. 2, punkt g

Artikel 21, stk. 2 i Direktiv (EU) 2022/2555 opregner ti kategorier af foranstaltninger, som enheder skal træffe for at sikre deres net- og informationssystemer. Punkt (g) nævner specifikt cyberhygiejne og sikkerhedstræning, ved siden af blandt andet punkt (a) om risikostyrings politik — se også hvordan risikostyrings politik vurderes — og punkt (d) om forretningskontinuitet. Dette spørgsmål skal således ikke betragtes isoleret fra resten af listen: det er én af ti obligatoriske elementer, som en kunde systematisk gennemgår.