Alkalmazási eset · NIS2
NIS2-képzés: a vezető testületnek és mindenki másnak
A NIS2 két helyen ír elő képzést. A vezető testület tagjainak kiberbiztonsági képzésen kell részt venniük, a szervezeteknek pedig rendszeresen hasonló képzést kell kínálniuk a munkatársaiknak. Ettől függetlenül az alapvető kiberhigiéniai gyakorlatok és a kiberbiztonsági képzés azon kockázatkezelési intézkedések közé tartozik, amelyeket minden alapvető és fontos szervezetnek meg kell tennie.
Öt kérdés, és egyik sem az, hogy „van-e programjuk?”
A kötelezettség rövid. A mögötte lévő bizonyíték nem az. A nemzeti jog mindkettőt a helyi felügyelet hatálya alá viszi, és amit egy felügyeleti szerv látni kér, az nyilvántartás.
- Hogy létezik képzési program, és rendszeresen fut, nem egyszer futott
- Hogy maga a vezető testület is képzésben részesült, nemcsak a munkatársak
- Hogy a képzés illeszkedik a szerepekhez és a kockázatokhoz — a pénzügyet és a rendszergazdákat más támadások érik, mint a raktárt
- Hogy a hatását mérik, és a mérések nyomán tesznek is valamit
- Nyilvántartás: ki mit és mikor teljesített
A megfeleltetés, követelményről követelményre
- 01
Rendszeres munkatársi képzés
Havi szimuláció és téma, tantervek határidőkkel és emlékeztetőkkel, valamint automatizált kampányok, amelyek a ciklusok között is tesztelnek.
- 02
A vezető testület képzése
Külön tanterv a vezetőknek, saját teljesítési riporttal, és olyan szimulációk, amelyek a vezetőket valóban érő csalikra épülnek.
- 03
Szerephez illő tartalom
Tantervek csoportonként vagy szervezeti egységenként, automatikusan a címtárból kiosztva.
- 04
Kiberhigiéniai alapok
Modulok az adathalászatról, a jelszavakról, a biztonságos böngészésről, az adatvédelemről és a fizikai biztonságról, angolul, németül és magyarul.
- 05
Hatásosság
Kiindulási mérés, majd a kattintási és a bejelentési arány időbeli követése személyenként, csapatonként és szervezeti egységenként.
- 06
Szabályzatismeret
Szabályzat-elfogadtatási kampányok: dátumozott elfogadás minden megnevezett embertől.
- 07
Bizonyíték
Excel- és CSV-exportok személyenként: képzés, kiküldés dátuma, teljesítés dátuma, kvízeredmény a ponthatárhoz képest, szabályzat-elfogadások.
Mit csinál valójában a menedzselt változat, hónapról hónapra
- 01
Első hónap
Bejelentés nélküli kiindulási mérés, valamint vezetői tájékoztató és tanterv.
- 02
Második–tizenkettedik hónap
Havonta egy téma és egy hozzá illő szimuláció. Aki rákattint, azonnal megkapja a hozzá tartozó képzést.
- 03
Negyedévente
Riport a vezetésnek, a kiindulás óta mért trenddel.
- 04
Folyamatosan
Az új belépők automatikusan beiratkoznak, a szabályzat-elfogadásokat pedig a szabályzatok változásakor begyűjtjük.
- 05
Igény szerint
Az auditexport, a felügyeleti szervnek vagy az auditoruknak.
A két szolgáltatás, amely emellett áll
Adathalász-vizsgálat
Az incidenskezelés szintén NIS2-intézkedés, a bejelentett adathalász levél pedig gyakran az első jele egy incidensnek.
Virtuális CISO
A program körüli irányításhoz, kockázatkezeléshez és felügyeleti jelentéstételhez.
Gyakran ismételt kérdések
A biztonsági és IT-vezetőktől leggyakrabban kapott kérdések.
Nem találja, amit keres? Kérdezzen tőlünk közvetlenül
Ezt nehéz megvédeni. Az irányelv rendszeresen tartott képzést kér, és olyan kockázatkezelési intézkedéseket, amelyek hatását értékelik — egy évi egy alkalom, részvétellel mérve, egyikre sem válasz.
Sokkal erősebb álláspont az a program, amely teszteli a viselkedést, arra képez, amit a teszt talál, és személyenként rögzíti az eredményt — ráadásul nem vesz el több időt a munkatársaktól, csak másként osztja el ugyanazt az időt.
Igen. Az irányelv előírja, hogy a vezető testület tagjai maguk vegyenek részt kiberbiztonsági képzésen, és felelőssé is teszi őket a szervezet kockázatkezelési intézkedéseinek jóváhagyásáért és felügyeletéért.
Egy rövid, kifejezetten vezetőknek szóló tanterv, saját teljesítési nyilvántartással, a legegyszerűbb módja annak, hogy ez igazolható legyen. Hogy a személyes felelősség hogyan érinti az Önök szervezetét, az a saját jogi tanácsadójuk kérdése — a képzési nyilvántartás az a rész, amit mi tudunk egyszerűvé tenni.
Személyenként: a kiosztott képzést, a kiküldés dátumát, a teljesítés dátumát, a kvízeredményt egy ponthatárhoz mérve, és a szabályzat-elfogadásokat.
Programszinten: a tervet, a szimulációs eredményeket időben, és azokat a vezetői riportokat, amelyek megmutatják, hogy valaki el is olvasta őket. A platform mindezt exportként előállítja — ez pedig azért számít, mert az alternatíva az, hogy kézzel rakják össze azon a héten, amikor az auditor kéri.
Hova érdemes tovább lépni
Riportok és pontszámok
Személyenkénti tudatossági pontszám és auditra alkalmas exportok.
Képzés és tantervek
Rövid modulok tanulási útvonalakba rendezve, határidőkkel és tanúsítvánnyal.
DORA és ISO 27001
Tudatossági bizonyíték abban a formában, ahogy a két keretrendszer kéri.
Készen áll a kezdésre?
Dolgozzon együtt a Spirity Enterprise-zal, hogy a szervezetéhez illő biztonsági és IT-megoldások valósuljanak meg.