Kas töötajatel on koolitused küberturvalisuse põhitavades?

Küberturvalisus ja koolitused: kaks eraldi meetme

Jah, see väli peaks olema informatsiooniturvalisuse küsimustikes tavapärane, sest see on üks kümnest meetmest artikli 21 lõikes 2 esitatud NIS2-direktiivist. Selle lõike punkt (g) mainib sõna-sõnalt "cyberhygieen- ja kyberturvalisuskoolituste põhitavade". Seega käib see kahe asja kohta korraga: struktuurilised põhitavad (parooli poliitika, värskenduskorraldus, manuseid ja linke turvaline käsitlemine) ja koolitused, mis töötajaid sellele juhivad. Klient, kes seda küsib, soovib tavaliselt teada, kas midagi on olemas peale tehniliste meetmete — turvalisuse inimlik osa.

Tõendina küsitakse tavaliselt koolituste ülevaadet, e-õppe moodulit lõpetamise protsendiga või sisulist poliitikadokumenti põhitavadega. Kui seda sul pole, siis on "ei" või "veel puudub" ausam vastus kui koolituse soovitamine, mida pole — klient küsib seda sageli just lisana juurdepääsupoliitika küsimustele, nii et kontrolli ka, kas ettevõtte juurdepääsupoliitika on paika pandudst, sest teadlikkus ilma alusilmse poliitikavalmiduseta harvem veenab. Märkad ka perioodilisust: ühekordsed koolitused asjaajamisel erinevad aastasest kordamisest, ja see erinevus määrab sageli kliendi hindamisel erinevuse.

Kust see tuli: artikkel 21 lõige 2, punkt g

Direktiivi (EL) 2022/2555 artikli 21 lõike 2 punkt (g) nimetab kümneks meetmete kategooriaks, mida üksused peavad võtma oma võrgu- ja infosüsteemide kaitseks. Punkt (g) mainib spetsiifiliselt küberturvalisust ja turvalisuskoolitust koos paljude teiste, sealhulgas punktiga (a) riskianalüüsi poliitikaosast — vt ka kuidas riskianalüüsi poliitika hinnatakse — ja punkti (d) ärikontinuumist. See küsimus ei saa seega olema eraldiseisev ülejäänud nimekirjast: ta on üks kümmnest kohustuslikust osast, mida klient süstemaatiliselt läbi käib.