Λαμβάνουν οι εργαζόμενοι κατάρτιση στις βασικές πρακτικές κυβερνοασφάλειας;

Κυβερνοασφάλεια και εκπαιδεύσεις: δύο ξεχωριστά μέτρα

Ναι, αυτό το πεδίο πρέπει να περιλαμβάνεται κατά κανόνα σε ερωτηματολόγια σχετικά με την ασφάλεια πληροφοριών, διότι είναι ένα από τα δέκα μέτρα του άρθρου 21 παράγραφος 2 της Οδηγίας NIS2. Το σημείο (g) της παραγράφου αυτής αναφέρει ειδικά "βασικές πρακτικές κυβερνοασφάλειας και κατάρτιση κυβερνοασφάλειας". Πρόκειται λοιπόν για δύο πράγματα ταυτόχρονα: δομημένες βασικές πρακτικές (πολιτική κωδικών πρόσβασης, πειθαρχία ενημέρωσης, ασφαλής διαχείριση συνημμένων και συνδέσμων) και εκπαιδεύσεις που ενημερώνουν τους εργαζομένους γι' αυτές. Ένας πελάτης που θέτει αυτό το ερώτημα θέλει συνήθως να γνωρίζει αν υπάρχει κάτι εκτός των τεχνικών μέτρων — το ανθρώπινο στοιχείο της ασφάλειας.

Ως αποδεικτικό στοιχείο συνήθως ζητείται ένα σύνοψη εκπαίδευσης, ένα ηλεκτρονικό μάθημα με ποσοστό ολοκλήρωσης ή ένα εσωτερικό έγγραφο πολιτικής με τις βασικές πρακτικές. Αν δεν το έχετε, τότε το "όχι" ή "δεν υπάρχει ακόμη" είναι μια ειλικρινέστερη απάντηση από το να υποδηλώνετε μια εκπαίδευση που δεν υπάρχει — ο πελάτης συχνά το ζητά ακριβώς ως συμπλήρωμα ερωτημάτων σχετικά με την πολιτική πρόσβασης, οπότε ελέγξτε επίσης αν η πολιτική πρόσβασης της επιχείρησης είναι τεκμηριωμένη, διότι η ενημέρωση χωρίς υποκείμενη πολιτική σπάνια είναι πειστική. Δώστε επίσης προσοχή στην περιοδικότητα: μια εκπαίδευση που πραγματοποιείται μια φορά κατά την έναρξη της απασχόλησης είναι διαφορετική από την ετήσια επανάληψη, και αυτή η διάκριση συχνά κάνει τη διαφορά στην αξιολόγηση από τον πελάτη.

Προέλευση: άρθρο 21 παράγραφος 2

Το άρθρο 21 παράγραφος 2 της Οδηγίας (ΕΕ) 2022/2555 απαριθμεί δέκα κατηγορίες μέτρων που πρέπει να λάβουν οι οντότητες για να προστατεύσουν τα δίκτυα και τα συστήματα πληροφοριών τους. Το σημείο (g) αναφέρει ειδικά την κυβερνοασφάλεια και την κατάρτιση ασφάλειας, μαζί με άλλα, όπως το σημείο (a) σχετικά με την πολιτική ανάλυσης κινδύνου — δείτε επίσης το πώς αξιολογείται η πολιτική ανάλυσης κινδύνου — και το σημείο (d) σχετικά με τη συνέχεια δραστηριότητας. Αυτό το ερώτημα δεν είναι επομένως ανεξάρτητο από τα υπόλοιπα: είναι ένα από τα δέκα υποχρεωτικά στοιχεία που ένας πελάτης εξετάζει συστηματικά.