Anwendungsfall · DORA und ISO 27001
Awareness-Schulung, die Prüfer Zeile für Zeile nachvollziehen können
Finanzunternehmen unter DORA müssen Programme zur IKT-Sicherheitsawareness und Schulungen zur digitalen operationalen Resilienz als verpflichtenden Bestandteil ihrer Mitarbeiterschulung durchführen — für Beschäftigte und das Leitungsorgan gleichermaßen. ISO/IEC 27001:2022 verlangt dasselbe in eigenen Worten: Beschäftigte erhalten angemessene Sensibilisierung, Aus- und Weiterbildung, aktuell gehalten.
Keines von beidem wird durch eine Programmbeschreibung erfüllt. Beides wird durch Nachweise erfüllt.
Vier Dinge, die wahr sein müssen, nicht bloß beabsichtigt
Alle sind eingeschrieben
Verzeichnissynchronisation und automatische Einschreibung sorgen dafür, dass niemand durch die Lücke zwischen zwei Durchgängen fällt.
Der Abschluss wird durchgesetzt
Lehrpläne können ein bestandenes Quiz verlangen, Erinnerungen laufen bis zum Abschluss, und Enddaten verlängern sich automatisch, wenn die Abschlussquote niedrig ist.
Das Leitungsorgan ist abgedeckt
Ein eigener Lehrplan für die Leitung, mit eigenem Abschlussbericht.
Dritte sind einbezogen, wo nötig
Auftragnehmer mit Zugang können als Nutzende angelegt und mit derselben Schulung versehen werden.
Sechs Artefakte, und woher jedes kommt
- 01
Schulungsnachweise je Person
Zugewiesen, versendet, abgeschlossen, Quiz-Ergebnis gegen die Bestehensgrenze — aus den Exporten der Schulungskampagnen, als Excel oder CSV.
- 02
Richtlinienbestätigung je Person
Mit Datum, aus den Kampagnen zur Richtlinienbestätigung.
- 03
Wirksamkeit über die Zeit
Simulationsergebnisse und Awareness-Scores, Basismessung gegen heute.
- 04
Kontinuierliche Awareness-Aktivität
Der Bericht zu Awareness-Inhalten: ausgelieferte Newsletter, Tipps, Poster und Podcasts, und an wen.
- 05
Aufsicht durch die Leitung
Managementberichte und geplante Zusammenfassungen für die Leitung.
- 06
Unversehrtheit der Nachweise
Das Audit-Protokoll der Plattform — wer was wann geändert hat —, weiterleitbar an Ihr SIEM.
Wonach Ihre zweite Verteidigungslinie fragen wird
- Rollenbasierter Zugriff, einschließlich einer Prüferrolle mit reinem Lesezugriff
- Verschlüsselte Nutzerdaten und ein Audit-Pfad der Administratorhandlungen
- Syslog-Weiterleitung als JSON, CEF oder LEEF
- Passwörter aus Tests zum Abgriff von Zugangsdaten werden nie in verwendbarer Form gespeichert
Häufig gestellte Fragen
Die Fragen, die uns Sicherheits- und IT-Verantwortliche am häufigsten stellen.
Ihre Frage ist nicht dabei? Fragen Sie uns direkt
Für sich allein ist sie ein Test, keine Schulung. Zusammen mit der Schulung, die auf jeden nicht bestandenen Test folgt, und erfasst zur namentlich genannten Person, wird sie Teil des Schulungsprogramms — und, nützlicher noch, ein Maß dafür, ob dieses Programm wirkt.
So führen wir es durch, und es ist die Verbindung und nicht die Simulation, die wir Prüfern vorlegen würden.
Über Kalender und Nachweise zusammen: neue Module und neue Simulationsthemen über das Jahr, Newsletter und Tipps dazwischen, und ein Export, der zeigt, wer wann was erhalten hat.
Der Bericht zu Awareness-Inhalten ist der, von dem die meisten Organisationen nicht wissen, dass sie ihn haben. Er beantwortet in einer einzigen Datei genau die Frage, ob Awareness kontinuierlich war oder jährlich.
Ja. Es ist eine Excel- oder CSV-Datei je Zeitraum, mit namentlich genannten Personen, den Schulungen, den Daten und den Ergebnissen. Die meisten Prüfer wollen genau das und nichts weiter, und die Plattform erzeugt es, ohne dass es jemand von Hand zusammenstellt.
Wohin als Nächstes
Auswertung und Scores
Ein Awareness-Score je Person und Exporte, die Prüfer akzeptieren.
Integrationen und Sicherheit
Entra ID, LDAP, Microsoft-365-Zustellung und Weiterleitung an Ihr SIEM.
NIS2-Schulung
Die Pflichten für Beschäftigte und Leitungsorgan, Person für Person belegt.
Bereit anzufangen?
Arbeiten Sie mit Spirity Enterprise zusammen, um die passenden Sicherheits- und IT-Lösungen für Ihr Unternehmen umzusetzen.