kapnak-e a munkatársak képzést a kiberbiztonsági alapvető gyakorlatokról?

Kiberhigiénia és képzések: két külön intézkedés

Igen, ez a mező általában szerepel az információbiztonságra vonatkozó kérdőívekben, mivel az NIS2-irányelv 21. cikk (2) bekezdésében felsorolt tíz intézkedés egyike. Az említett bekezdés (g) pontja szó szerint "a kiberhigiénia alapvető eljárásai és a kiberbiztonsági képzés" témaköröket említi. Tehát két dologról van szó egyszerre: strukturális alapvető eljárások (jelszókezelési irányelvek, frissítési fegyelem, mellékletekkel és hivatkozásokkal való biztonságos bánásmód) és olyan képzések, amelyek az alkalmazottakat ezekre figyelmeztetik. Az ezt a kérdést feltevő ügyfél általában azt szeretné tudni, hogy vannak-e techikai intézkedéseken kívüli megoldások — a biztonság emberi összetevője.

Bizonyítékként általában képzési nyilvántartást, kitöltési százalékkal rendelkező e-learning modult vagy az alapvető eljárásokat tartalmazó belső szabályzatdokumentumot kérnek. Ha nincs ilyen, akkor az "nem" vagy "még nem létezik" őszintébb válasz, mint egy olyan képzés sugallása, amely valójában nem létezik — az ügyfél ezt gyakran az hozzáférés-vezérlési irányelvekre vonatkozó kérdések kiegészítéseként teszi fel, ezért ellenőrizd azt is, hogy az vállalat hozzáférés-vezérlési irányelve rögzítve van-e, mivel a tudatosság nélküli alapul szolgáló irányelvek ritkán meggyőzőek. Figyelj a gyakoriságra is: az alkalmazásba lépéskor adott egyszeri képzés más, mint az éves ismétlés, és ez a különbség gyakran befolyásolja az ügyfél értékelését.

Ennek eredete: 21. cikk (2) bekezdés g) pont

A (EU) 2022/2555 irányelv 21. cikk (2) bekezdése tíz kategóriát sorol fel azokról a intézkedésekről, amelyeket az entitásoknak meg kell tenniük hálózati és információs rendszereik biztonságáért. A g) pont kifejezetten a kibernetikus higiéniát és a biztonsági képzéseket említi, valamint többek között az a) pontot a kockázatelemzési politikáról — lásd még hogyan értékelik a kockázatelemzési politikát — és a d) pontot az üzletmenet folytonossága. Ez a kérdés tehát nem izolált a lista többi részétől: ez az egyik tíz kötelező elemből áll, amelyet az ügyfél rendszeres módon végig megy.