Dobivaju li zaposlenici obuku u osnovnim praksi kibernetske higijene?

Cyberhigijenu i obuke: dva odvojena mjera

Da, ovo polje bi trebalo biti standard u upitnicima o zaštiti informacija, jer je jedna od deset mjera iz članka 21. stavka 2. Direktive NIS2. Točka (g) tog stavka doslovno navodi "osnovne prakse na području cyberhigijene i obuke za cybersigurnost". Radi se dakle o dvije stvari istovremeno: strukturne osnovne prakse (política lozinki, disciplina ažuriranja, sigurno rukovanje prilozima i vezama) i obuke koje zaposlenike na to upozore. Kupac koji ovo pita obično želi znati postoji li nešto uz tehnijske mjere — ljudski dio sigurnosti.

Kao dokaz obično se traži pregled obuke, e-learning modul s postotkom dovršetka ili interni dokument s politikom koja sadrži osnovne prakse. Ako to nemaš, tada je "ne" ili "još nije dostupno" iskreniji odgovor nego sugjerirati obuku koja ne postoji — kupac to često pita upravo kao dopunu pitanjima o politici pristupa, pa provjeri i je li politika pristupa organizacije utvrđena, jer svjesnost bez osnovne politike rijetko ubjeđuje. Obrati pažnju i na periodičnost: jednokratna obuka pri zapošljavanju nije isto što i godišnje ponavljanje, a ta razlika često određuje kupčevu procjenu.

Gdje je to proizašlo: članak 21. stavka 2, točka g

Članak 21. stavka 2. Direktive (EU) 2022/2555 navodi deset kategorija mjera koje subjekti moraju poduzeti kako bi zaštitili svoje mrežne i informacijske sustave. Točka (g) posebno navodi cyberhigijenu i obuku o sigurnosti, uz druge kao što je točka (a) o politici analize rizika — vidi i kako se procjenjuje politika analize rizika — i točka (d) o kontinuitetu poslovanja. Ovo pitanje dakle nije odvojeno od ostatka popisa: ono je jedan od deset obveznih elemenata koje kupac sustavno prolazi.