Ali delavci dobijo usposabljanje v osnovnih praksah kibernetske higiene?

Kibernetska higiena in usposabljanja: dve ločeni ukrepi

Ja, to polje praviloma sodi v vprašalnike o varnosti informacij, saj je eden od desetih ukrepov iz člena 21 odstavka 2 Direktive NIS2. Točka (g) tega odstavka dobesedno navaja "osnovne prakse na področju kibernetske higiene in usposabljanja za kibernetsko varnost". Gre torej za dve stvari hkrati: strukturne osnovne prakse (politika gesel, disciplina posodobljanja, varno ravnanje s prilogami in povezavami) in usposabljanja, ki zaposlene na to opozorijo. Naročnik, ki to vprašanje postavlja, ponavadi želi vedeti, ali obstaja kaj poleg tehničnih ukrepov — človeški del varnosti.

Kot dokazilo se običajno zahteva pregled usposabljanj, modul e-učenja s odstotkom dokončanja ali interno politično beležko s temeljnimi praksami. Če tega nimate, je "ne" ali "še ni prisotno" bolj pošten odgovor kot predlaganje usposabljanja, ki ne obstaja — naročnik to vprašanje pogosto postavlja prav kot dopolnitev k vprašanjem o politiki dostopa, zato preverite tudi ali je politika dostopa podjetja dokumentirana, saj je ozaveščenost brez osnovne politike redko prepričljiva. Pazite tudi na periodičnost: enkratno usposabljanje ob zaposlitvi je kaj drugega kot letna ponovitev, in ta razlika pogosto odloči pri oceni naročnika.

Od kje to izvira: člen 21 odstavek 2, točka g

Člen 21 odstavek 2 Direktive (EU) 2022/2555 navaja deset kategorij ukrepov, ki jih morajo entitete sprejeti za zaščito svojih omrežnih in informacijskih sistemov. Točka (g) posebej omenja kibernetsko higieno in usposabljanje za varnost, skupaj z drugimi, kot je točka (a) o politiki analize tveganja — glejte tudi kako se ocenjuje politika analize tveganja — in točka (d) o nemotenosti poslovanja. To vprašanje zato ne sodi v izolacijo: je eden od desetih obveznih delov, ki ga naročnik sistematično pregleduje.