Os colaboradores recebem formação em práticas básicas de cibersegurança?

Ciberhigiene e treinamentos: duas medidas separadas

Sim, este campo deve constar padrão em questionários sobre segurança da informação, pois é uma das dez medidas do artigo 21.º, n.º 2 da Diretiva NIS2. A alínea (g) desse número refere explicitamente "práticas básicas no domínio da ciberhigiene e treinamento em cibersegurança". Trata-se, portanto, de duas coisas em simultâneo: práticas básicas estruturais (política de palavras-passe, disciplina de atualização, tratamento seguro de anexos e hiperligações) e treinamentos que alertem os colaboradores para essas práticas. Um cliente que coloca esta questão pretende, na maioria dos casos, saber se existe algo além das medidas técnicas — a componente humana da segurança.

Como comprovativo é habitualmente solicitado um resumo de treinamentos, um módulo de e-learning com percentagem de conclusão, ou um documento de política interna com as práticas básicas incluídas. Se não possui isso, então "não" ou "ainda não disponível" é uma resposta mais honesta do que sugerir um treinamento que não existe — o cliente coloca esta questão frequentemente como complemento a questões sobre política de acesso, portanto verifique também se a política de acesso da organização está documentada, pois awareness sem política subjacente raramente é convincente. Preste também atenção à periodicidade: um treinamento único aquando da admissão é diferente de uma repetição anual, e esta distinção frequentemente faz a diferença na avaliação pelo cliente.

Origem: artigo 21.º, n.º 2, alínea g

O artigo 21.º, n.º 2 da Diretiva (UE) 2022/2555 enumera dez categorias de medidas que as entidades devem tomar para proteger as suas redes e sistemas de informação. A alínea (g) refere especificamente ciberhigiene e treinamento em segurança, juntamente com, entre outras, a alínea (a) sobre política de análise de risco — veja também como a política de análise de risco é avaliada — e a alínea (d) sobre continuidade de negócio. Esta questão não é, portanto, isolada do resto da lista: é um dos dez componentes obrigatórios que um cliente percorre sistematicamente.