I dipendenti ricevono formazione sulle buone pratiche di cybersicurezza?

Igiene informatica e formazioni: due misure distinte

Sì, questo campo è standard nei questionari sulla sicurezza informatica, perché è una delle dieci misure dell'articolo 21 paragrafo 2 della direttiva NIS2. Il punto (g) di quel paragrafo cita letteralmente "pratiche di base nel campo dell'igiene informatica e della formazione in materia di sicurezza informatica". Si tratta quindi di due aspetti contemporaneamente: pratiche di base strutturali (gestione delle password, disciplina degli aggiornamenti, gestione sicura degli allegati e dei link) e formazioni che informino i dipendenti al riguardo. Un cliente che pone questa domanda di solito desidera sapere se esiste qualcosa oltre alle misure tecniche — la componente umana della sicurezza.

Come prova viene solitamente richiesto un elenco di formazioni, un modulo di e-learning con percentuale di completamento, o un documento politico interno con le pratiche di base incluse. Se non disponi di questi, allora "no" o "non ancora disponibile" è una risposta più onesta che suggerire una formazione che non esiste — il cliente pone spesso questa domanda come integrazione a domande sulla gestione degli accessi, quindi verifica anche se la politica di accesso dell'impresa è documentata, perché la consapevolezza senza una politica sottostante raramente convince. Presta attenzione anche alla periodicità: una formazione unica al momento dell'assunzione è diversa da una ripetizione annuale, e questa distinzione spesso fa la differenza nella valutazione da parte del cliente.

Da dove proviene: articolo 21 paragrafo 2, punto g

L'articolo 21 paragrafo 2 della Direttiva (UE) 2022/2555 elenca dieci categorie di misure che le entità devono adottare per proteggere i loro sistemi di rete e informativi. Il punto (g) cita specificamente l'igiene informatica e la formazione in materia di sicurezza, insieme ad altre come il punto (a) sulla politica di analisi dei rischi — vedi anche come viene valutata la politica di analisi dei rischi — e il punto (d) sulla continuità operativa. Questa domanda quindi non è isolata dal resto dell'elenco: è uno dei dieci componenti obbligatori che un cliente esamina sistematicamente.