Dostávajú zamestnanci školenie v základných postupoch cyberhygieny?

Kybernetická hygiena a školenia: dve samostatné opatrenia

Áno, toto pole by malo byť štandardne súčasťou zoznamov otázok o bezpečnosti informácií, pretože ide o jedno z desiatich opatrení z článku 21 odsek 2 smernice NIS2. Bod (g) tohto odseku doslova uvádza "základné postupy v oblasti kybernetickej hygieny a školenia v oblasti kybernetickej bezpečnosti". Ide teda o dve veci súčasne: štruktúrované základné postupy (politika hesiel, disciplína aktualizácií, bezpečné zaobchádzanie s prílohami a odkazmi) a školenia, ktoré zamestnancov na tieto postupy upozorňujú. Zákazník, ktorý sa takto pýta, zvyčajne chce vedieť, či existuje niečo popri technických opatreniach — ľudská stránka bezpečnosti.

Ako dôkaz sa zvyčajne požaduje prehľad školení, e-learningový modul s percentom dokončenia alebo interný dokument politiky so základnými postupmi. Ak to nemáte, potom je "nie" alebo "ešte nie je k dispozícii" poctivejšou odpoveďou ako sugerovania školenie, ktoré neexistuje — zákazník sa na toto zvyčajne pýta práve ako na doplnok k otázkam o politike prístupu, preto skontrolujte tiež, či je politika prístupu podnikania zdokumentovaná, pretože povedomie bez základnej politiky zriedka presvedčí. Venujte pozornosť aj periodickosti: jednorázové školenie pri nástupe do práce je niečo iné ako ročné opakovanie a tento rozdiel často rozhoduje v hodnotení zákazníkom.

Odkiaľ to pochádza: článok 21 odsek 2, bod g

Článok 21 odsek 2 Smernice (EÚ) 2022/2555 uvádza desať kategórií opatrení, ktoré musia subjekty prijať na ochranu svojich sietí a informačných systémov. Bod (g) špecificky spomína kybernetickú hygienu a školenie v oblasti bezpečnosti, popri iných, ako napríklad bod (a) o politike analýzy rizík — pozri tiež ako sa hodnotí politika analýzy rizík — a bod (d) o kontinuite činnosti. Táto otázka teda nemôže stáť izolovane od zvyšku zoznamu: je jednou z desiatich povinných súčastí, ktoré zákazník systematicky kontroluje.