Primesc angajații instruire în practici de bază ale igienei cibernetice?

Igienă cibernetică și antrenamente: două măsuri separate

Da, acest câmp ar trebui să figureze în mod standard în chestionarele privind securitatea informațiilor, deoarece este una dintre cele zece măsuri din articolul 21 alineatul 2 al Directivei NIS2. Punctul (g) al acelui alineat menționează literal "practicile de bază în materie de igienă cibernetică și training în domeniul securității cibernetice". Este vorba deci despre două lucruri în același timp: practici structurale de bază (politica parolelor, disciplina actualizării, manipularea sigură a atașamentelor și legăturilor) și antrenamente care le reamintesc angajaților. Un client care pune această întrebare dorește de obicei să afle dacă există ceva dincolo de măsurile tehnice — partea umană a securității.

Ca dovadă se cere de obicei o privire de ansamblu asupra antrenamentelor, un modul de e-learning cu procentajul de finalizare, sau un document de politică internă care include practicile de bază. Dacă nu ai asta, atunci "nu" sau "încă nu este prezent" este un răspuns mai onest decât a sugera un training care nu există — clientul pune adesea această întrebare tocmai ca supliment la întrebări privind politica de acces, deci verifică și dacă politica de acces a întreprinderii este documentată, deoarece awareness fără o politică subiacentă rareori convinge. Acorda atenție și periodicității: un antrenament unic la angajare este altceva decât o repetare anuală, iar această distincție face adesea diferența în evaluarea de către client.

De unde provine aceasta: articolul 21 alineatul 2, punctul g

Articolul 21 alineatul 2 al Directivei (UE) 2022/2555 enumeră zece categorii de măsuri pe care entitățile trebuie să le ia pentru a-și proteja sistemele de rețea și informații. Punctul (g) menționează în mod specific igienă cibernetică și training în domeniul securității, alături de, printre altele, punctul (a) privind politica de analiză a riscurilor — vezi și cum se evaluează politica de analiză a riscurilor — și punctul (d) privind continuitatea afacerilor. Deci această întrebare nu trebuie privită în izolare: este una dintre cele zece componente obligatorii pe care un client le trece în revistă sistematic.