Saavat työntekijät koulutusta kyberturvallisuuden perusperiaatteista?

Kybernetiikka ja koulutukset: kaksi erillistä toimenpidettä

Kyllä, tämä kenttä kuuluu vakiomaisesti tietoturvakyselyihin, koska se on yksi kymmenestä toimenpiteestä NIS2-direktiivin 21 artiklan 2 kohdassa. Kyseisen kohdan g alakohta mainitsee kirjaimellisesti "kybernetiikan perusohjeita ja kyberturvallisuuskoulutusta". Siis kyse on kahdesta asiasta yhtä aikaa: rakenteellisista perusohjeista (salasanaperiaate, päivityskuri, liitteiden ja linkkien turvallinen käsittely) ja koulutuksesta, joka ohjaa työntekijöitä näihin asioihin. Asiakas, joka kysyy tätä, haluaa yleensä tietää, onko olemassa jotain teknisten toimenpiteiden lisäksi — turvallisuuden ihminen näkökulma.

Todisteeksi kysytään yleensä koulutusyhteenvetoa, e-learning-moduulia suoritusprosentilla tai sisäistä politiikkaasiakirjaa, jossa perusohjeet on lueteltu. Jos sinulla sellaista ei ole, "ei" tai "ei vielä käytössä" on rehellisempi vastaus kuin koulutuksen ehdottaminen, jota ei ole olemassa — asiakas kysyy tätä usein juuri täydennyksenä kysymyksiin pääsynhallinnasta, joten tarkista myös, onko organisaation pääsypolitiikka dokumentoituKoska tietoisuus ilman taustalla olevaa politiikkaa harvoin vakuuttaa. Kiinnitä huomiota myös jaksottaisuuteen: kertaluonteinen koulutus työsuhteen alussa on eri asia kuin vuosittainen uusinta, ja tämä ero vaikuttaa usein asiakkaan arviointiin.

Mistä tämä tulee: 21 artiklan 2 kohta, g alakohta

Direktiivin (EU) 2022/2555 21 artiklan 2 kohdassa luetellaan kymmenen toimenpidekategoriaa, joita yksiköiden on toteutettava verkko- ja tietojärjestelmien suojaamiseksi. Kohdan g alakohta mainitsee erityisesti kybernetiikan ja turvallisuuskoulutusta, muiden muassa kohdan a alakohdan riskianalyysikäytännön rinnalla — katso myös miten riskianalyysikäytäntöä arvioidaan — ja kohdan d alakohdan liiketoiminnan jatkuvuudesta. Tämä kysymys ei siis ole irrallaan muusta luettelosta: se on yksi kymmenestä pakollisesta osasta, jonka asiakas käy järjestelmällisesti läpi.