Får de anställda utbildning i grundläggande cyberhygienrutiner?

Cyberhygien och utbildningar: två separata åtgärder

Ja, det här fältet hör hemma som standard i enkäter om informationssäkerhet, eftersom det är en av tio åtgärder i artikel 21 stycke 2 i NIS2-direktivet. Punkt (g) i det stycket säger bokstavligen "grundläggande cyberryggsäckspraxis och cybersäkerhetutbildning". Det handlar alltså om två saker samtidigt: strukturell grundläggande cyberryggsäckspraxis (lösenordspolicy, uppdateringsdisciplin, säker hantering av bilagor och länkar) och utbildningar som uppmärksammar medarbetare på dessa. En kund som ställer denna fråga vill vanligtvis veta om det finns något utöver tekniska åtgärder — säkerhetens mänskliga del.

Som bevis brukar man fråga efter en utbildningsöversikt, en e-learningmodul med slutförandeprocent, eller ett internt policydokument med grundläggande cyberryggsäckspraxis i det. Om du inte har det är "nej" eller "ännu inte finns" ett ärlikt svar än att föreslå en utbildning som inte finns — kunden frågar ofta just detta som ett tillägg på frågor om åtkomstpolicy, så kontrollera också om företagets åtkomstpolicy är dokumenterad, för medvetenhet utan underliggande policy övertygar sällan. Notera också periodicitet: en engångsutbildning vid anställning är något helt annat än årlig repetition, och den skillnaden gör ofta skillnad i kundens bedömning.

Var detta kommer från: artikel 21 stycke 2, punkt g

Artikel 21 stycke 2 i direktiv (EU) 2022/2555 räknar upp tio kategorier av åtgärder som enheter måste vidta för att säkra sina nätverk och informationssystem. Punkt (g) nämner specifikt cyberryggsäckspraxis och säkerhetutbildning, tillsammans med bland annat punkt (a) om riskanalysPolicy — se också hur riskanalysPolicy bedöms — och punkt (d) om affärskontinuitet. Denna fråga står därför inte isolerad från resten av listan: den är en av tio obligatoriska delar som en kund systematiskt går igenom.