¿Reciben los empleados formación en prácticas básicas de ciberhigiene?

Ciberhigiene y capacitaciones: dos medidas separadas

Sí, este campo debe figurar estándar en cuestionarios sobre seguridad de la información, porque es una de las diez medidas del artículo 21, apartado 2 de la Directiva NIS2. El punto (g) de dicho apartado menciona literalmente "prácticas básicas en materia de ciberhigiene y capacitación en ciberseguridad". Se trata, por lo tanto, de dos cosas a la vez: prácticas básicas estructurales (política de contraseñas, disciplina de actualización, manejo seguro de adjuntos y enlaces) y capacitaciones que concienticen a los empleados al respecto. Un cliente que hace esta pregunta usualmente desea saber si existe algo más allá de las medidas técnicas: la parte humana de la seguridad.

Como prueba se suele solicitar un registro de capacitaciones, un módulo de e-learning con porcentaje de finalización, o un documento de política interna que incluya las prácticas básicas. Si no dispones de esto, entonces "no" o "aún no implementado" es una respuesta más honesta que sugerir una capacitación que no existe —el cliente a menudo pregunta esto precisamente como complemento a preguntas sobre política de acceso, así que verifica también si la política de acceso de la empresa está documentada, porque la conciencia sin política subyacente rara vez es convincente. Presta también atención a la periodicidad: una capacitación única al momento de la contratación es diferente de una repetición anual, y esa distinción a menudo marca la diferencia en la evaluación del cliente.

De dónde procede esto: artículo 21, apartado 2, punto g

El artículo 21, apartado 2 de la Directiva (UE) 2022/2555 enumera diez categorías de medidas que deben adoptar las entidades para proteger sus sistemas de información y redes. El punto (g) menciona específicamente ciberhigiene y capacitación en seguridad, junto con, entre otros, el punto (a) sobre política de análisis de riesgos —véase también cómo se evalúa la política de análisis de riesgos — y el punto (d) sobre continuidad del negocio. Esta pregunta, por lo tanto, no puede considerarse aisladamente: es una de las diez partes obligatorias que un cliente revisa sistemáticamente.