Vai darbinieki saņem apmācību kiber higiēnas pamatpraksei?

Kiberdrošības praksi un apmācības: divi atsevišķi pasākumi

Jā, šis lauks parasti ir jāiekļauj informatīvās drošības jautājumuos, jo tas ir viens no desmit pasākumiem, kas minēti NIS2 direktīvas 21. panta 2. punktā. Šī punkta (g) apakšpunkts tieši nosaka "pamata kiberdrošības praksi un kiberdrošības apmācību". Tāpēc runa ir par divām lietām vienlaicīgi: strukturālas pamata prakses (paroles politika, atjaunināšanas disciplīna, draudzīga darba ar pielikumiem un saitēm) un apmācības, kas darbiniekus uz tām norāda. Klients, kas jautā par šo, parasti vēlas zināt, vai pastāv kaut kas papildu tehniskajiem pasākumiem — drošības cilvēka daļa.

Kā pierādījums parasti tiek pieprasīts apmācības pārskats, e-mācību modulis ar pabeigšanas procentuālo daļu vai iekšējs politikas dokuments ar tajā iekļautajām pamata praksēm. Ja tā nav pieejama, tad "nē" vai "vēl nav pieejams" ir godīgāka atbilde nekā norādīt uz apmācību, kura nepastāv — klients bieži vien lūdz šo tieši kā papildinājumu jautājumiem par piekļuves politiku, tāpēc pārbaudiet arī, vai uzņēmuma piekļuves politika ir noteikta, jo informētība bez pamatā esošas politikas reti pārliecinās. Pievērsiet uzmanību arī periodiskumam: vienas reizes apmācība nolīgšanas brīdī ir kas cits nekā gada atkārtošana, un šis atšķirums bieži vien izrādās izšķirošs klienta novērtējumā.

Kur tas nāk no: 21. panta 2. punkts, apakšpunkts g

Direktīvas (ES) 2022/2555 21. panta 2. punkts uzskaitīja desmit pasākumu kategorijas, kuras entitātēm ir jāveic, lai aizsargātu savu tīklu un informācijas sistēmas. Apakšpunkts (g) konkrēti pieminēja kiberdrošības praksi un drošības apmācību, kā arī citus, piemēram, apakšpunkts (a) par riska analīzes politiku — skat. arī kā tiek novērtēta riska analīzes politika — un apakšpunkts (d) par biznesa nepārtrauktību. Tāpēc šis jautājums nav neatkarīgs no pārējiem: tas ir viens no desmit obligātajiem elementiem, ko klients sistemātiski pārskata.