Εκπαίδευση NIS2 για τη διοίκηση: Οδηγός πρακτικής εφαρμογής

Τα μέλη της διοίκησης σημαντικών και ιδιαίτερα σημαντικών οργανισμών πρέπει να συμμετέχουν τακτικά σε προγράμματα κατάρτισης που τους καθιστούν ικανούς να αναγνωρίζουν και να αξιολογούν τους κινδύνους στον τομέα της κυβερνοασφάλειας, καθώς και τα κατάλληλα μέτρα διαχείρισης κινδύνων. Ένα γενικό εκπαιδευτικό πρόγραμμα για το προσωπικό σχετικά με ύποπτα μηνύματα ηλεκτρονικού ταχυδρομείου δεν αρκεί για τον σκοπό αυτό. Η εκπαίδευση πρέπει να ανταποκρίνεται στις ευθύνες της διοίκησης: κατανόηση των κινδύνων, αμφισβήτηση των αποφάσεων, έγκριση μέτρων και παρακολούθηση της εφαρμογής τους.

Στη Γερμανία, η υποχρέωση αυτή κατοχυρώνεται στο άρθρο 38 παράγραφος 3 του BSIG. Ως εκ τούτου, οι επιχειρήσεις θα πρέπει να σχεδιάσουν ένα δικό τους πρότυπο για τη διοίκηση ή το διοικητικό συμβούλιο, να το ενημερώνουν τακτικά και να το τεκμηριώνουν με τρόπο που να επιτρέπει τον έλεγχο.

Γιατί η NIS2 απευθύνεται απευθείας στη διοίκηση

Η NIS2 αντιμετωπίζει την κυβερνοασφάλεια ως θέμα διοίκησης και διαχείρισης κινδύνων. Σύμφωνα με το άρθρο 20 της οδηγίας NIS2, τα όργανα διοίκησης πρέπει να εγκρίνουν τα μέτρα διαχείρισης κινδύνων στον τομέα της κυβερνοασφάλειας, να εποπτεύουν την εφαρμογή τους και να παρακολουθούν εκπαιδευτικά προγράμματα.

Το BSI συνοψίζει με σαφήνεια την προσδοκία: η κυβερνοασφάλεια πρέπει να αποτελεί αναπόσπαστο μέρος των επιχειρηματικών δραστηριοτήτων και της διαχείρισης κινδύνων. Το Εγχειρίδιο για την εκπαίδευση της διοίκησης σχετικά με την NIS2 χρησιμεύει ως οδηγός για τις διοικήσεις και τους φορείς εκπαίδευσης όσον αφορά το εύρος και τις απαιτήσεις.

Έτσι, αλλάζει η εσωτερική προσέγγιση. Δεν πρόκειται πλέον μόνο για το αν το τμήμα πληροφορικής υλοποιεί ένα πρόγραμμα ευαισθητοποίησης. Η διοίκηση πρέπει να είναι σε θέση να αξιολογήσει αν ο οργανισμός έχει επιλέξει τα κατάλληλα μέτρα, ποιοι υπολειπόμενοι κίνδυνοι παραμένουν και αν τα εντοπισμένα κενά πράγματι καλύπτονται.

Τι πρέπει να είναι σε θέση να κάνει η διοίκηση μετά την εκπαίδευση

Μια καλή εκπαίδευση δεν μεταδίδει τεχνικές λεπτομέρειες για χάρη των ίδιων των λεπτομερειών. Δημιουργεί ικανότητα λήψης αποφάσεων.

Μετά την εκπαίδευση, η διοίκηση θα πρέπει ιδίως:

να είναι σε θέση να κατατάξει τους ουσιώδεις κυβερνοκινδύνους του δικού της επιχειρηματικού μοντέλου
να κατανοεί τις αρμοδιότητες μεταξύ διοίκησης, CISO, τμήματος πληροφορικής, προστασίας δεδομένων, συμμόρφωσης και ειδικών τμημάτων
να μπορεί να αξιολογεί κριτικά την καταλληλότητα των προτεινόμενων μέτρων διαχείρισης κινδύνων
να γνωρίζει τις διαδικασίες αναφοράς και κλιμάκωσης για σημαντικά περιστατικά ασφαλείας
να μπορεί να αξιολογεί τις επιπτώσεις στη λειτουργία, τους πελάτες, την αλυσίδα εφοδιασμού, τα οικονομικά και τη φήμη
να μπορεί να διακρίνει τους ουσιαστικούς δείκτες από τους απλούς αριθμούς δραστηριότητας
να αποφασίζει συνειδητά σχετικά με τις τεκμηριωμένες αποδοχές κινδύνου
να παρακολουθεί την αποτελεσματικότητα και την περαιτέρω ανάπτυξη των μέτρων

Ένα πιστοποιητικό από μόνο του δεν αποδεικνύει αυτή την ικανότητα. Το περιεχόμενο της εκπαίδευσης, η ανταλλαγή απόψεων με τους υπεύθυνους και η σύνδεση με πραγματικούς επιχειρηματικούς κινδύνους είναι πιο σημαντικά από μια όσο το δυνατόν πιο εκτενή σειρά διαφανειών.

Αυτά τα περιεχόμενα πρέπει να περιλαμβάνονται σε μια εκπαίδευση για τη διοίκηση σχετικά με τον NIS2

1. Πεδίο εφαρμογής και ευθύνες

Οι συμμετέχοντες χρειάζονται μια κατανοητή ταξινόμηση: Γιατί η επιχείρηση εμπίπτει στο πεδίο εφαρμογής; Ποια εθνική εφαρμογή ισχύει; Ποια καθήκοντα αναλαμβάνει η διοίκηση και ποια οι λειτουργικοί ρόλοι;

Η εκπαίδευση πρέπει να ταξινομεί σωστά τις νομικές υποχρεώσεις, χωρίς όμως να δημιουργεί ψευδή αίσθηση ασφάλειας. Δεν αντικαθιστά τη νομική συμβουλή σχετικά με την ατομική επίδραση.

2. Κυβερνοκίνδυνοι στο δικό σας επιχειρηματικό μοντέλο

Οι αφηρημένες λίστες απειλών δεν αρκούν. Πιο σημαντικές είναι οι συγκεκριμένες επιπτώσεις:

Διακοπή λειτουργίας κρίσιμων υπηρεσιών
Παραποίηση επιχειρηματικών ή παραγωγικών διαδικασιών
Κίνδυνοι ταυτότητας και πρόσβασης
Λογισμικό εκβιασμού (ransomware) και διαρροή δεδομένων
Κοινωνική μηχανική εναντίον των τμημάτων Οικονομικών, Υποστήριξης ή των στελεχών
Εξαρτήσεις από συνεργάτες του cloud, της πληροφορικής και της εφοδιαστικής αλυσίδας

Η διοίκηση πρέπει να κατανοεί ποια σενάρια μπορούν να έχουν συνέπειες που απειλούν την ύπαρξη της επιχείρησης ή έχουν κανονιστική σημασία.

3. Μέτρα διαχείρισης κινδύνων σύμφωνα με τον κανονισμό NIS2

Το άρθρο 21 παραθέτει έναν ευρύ κατάλογο μέτρων, μεταξύ των οποίων η διαχείριση περιστατικών, η επιχειρησιακή συνέχεια, η ασφάλεια της εφοδιαστικής αλυσίδας, η διαχείριση τρωτών σημείων, η κυβερνοϋγιεινή, η εκπαίδευση, η κρυπτογραφία, ο έλεγχος πρόσβασης και η πολυπαραγοντική ταυτοποίηση.

Η εκπαίδευση της διοίκησης θα πρέπει να καταδείξει πώς αλληλεπιδρούν αυτοί οι τομείς. Η ευαισθητοποίηση αποτελεί μέρος αυτού, αλλά δεν υποκαθιστά τους τεχνικούς και οργανωτικούς ελέγχους.

4. Διαχείριση συμβάντων και διαδρομές αναφοράς

Σε περίπτωση έκτακτης ανάγκης, η διοίκηση πρέπει να γνωρίζει:

ποιος ταξινομεί εσωτερικά ένα περιστατικό
ποιος λαμβάνει αποφάσεις σχετικά με τη λειτουργία, την επικοινωνία και την εξωτερική υποστήριξη
ποιες διαδικασίες κλιμάκωσης έχουν προετοιμαστεί
ποιες πληροφορίες απαιτούνται για τις αναφορές και τις εκθέσεις κατάστασης
πότε ενεργοποιείται η διαχείριση κρίσεων ή η επιχειρησιακή συνέχεια

Ένα σύντομο σενάριο προσομοίωσης (tabletop) είναι συχνά πιο αποτελεσματικό από μια ακόμη παρουσίαση. Καθιστά ορατό εάν οι ρόλοι και οι διαδικασίες λήψης αποφάσεων λειτουργούν πραγματικά.

5. Εποπτεία και έλεγχος αποτελεσματικότητας

Η διοίκηση χρειάζεται δείκτες που να υποστηρίζουν τις αποφάσεις. Χρήσιμοι είναι, για παράδειγμα:

Κάλυψη κρίσιμων συστημάτων μέσω καθορισμένων ελέγχων
Εκκρεμείς ενέργειες υψηλού κινδύνου και η διάρκεια τους
Δοκιμές αποκατάστασης και επιτευχθέντες χρόνοι επανεκκίνησης
Περιστατικά και παρ’ ολίγον περιστατικά ανά αιτία και επίπτωση
Κάλυψη ευαισθητοποίησης, ποσοστό αναφοράς και χρόνος μέχρι την αναφορά
Ολοκλήρωση και αποτελεσματικότητα των βελτιώσεων που έχουν αποφασιστεί

Το ποσοστό ολοκλήρωσης της εκπαίδευσης από μόνο του δεν δείχνει αν η διαχείριση κινδύνων είναι αποτελεσματική.

Γιατί δεν αρκεί μια απλή εκπαίδευση των εργαζομένων

Ένα βασικό εκπαιδευτικό πρόγραμμα για τους εργαζόμενους απαντά σε ερωτήσεις όπως: Πώς αναγνωρίζω ένα ύποπτο μήνυμα; Πού το αναφέρω; Πώς πρέπει να συμπεριφερθώ σε περίπτωση απροσδόκητου αιτήματος MFA;

Η διοίκηση πρέπει να λάβει άλλες αποφάσεις:

Είναι ο προϋπολογισμός ανάλογος με τον κίνδυνο;
Είναι σαφείς οι αρμοδιότητες και οι διαδικασίες κλιμάκωσης;
Μπορούν οι κρίσιμες υπηρεσίες να συνεχίσουν να λειτουργούν ή να αποκατασταθούν μετά από ένα περιστατικό;
Διαχειρίζονται επαρκώς οι κίνδυνοι που σχετίζονται με τους προμηθευτές;
Ποιους υπολειπόμενους κινδύνους αποδέχεται συνειδητά η επιχείρηση;
Πώς παρακολουθείται η εφαρμογή;

Γι’ αυτό οι επιχειρήσεις θα πρέπει να αντιμετωπίζουν την εκπαίδευση της διοίκησης ως ξεχωριστή ενότητα και όχι απλώς να αναθέτουν εκ νέου την παρακολούθηση της γενικής ενότητας ευαισθητοποίησης.

Πόσο συχνά πρέπει να εκπαιδεύεται η διοίκηση;

Το άρθρο 38 παράγραφος 3 του BSIG απαιτεί τακτική συμμετοχή. Ένας ενιαίος ρυθμός για κάθε επιχείρηση δεν θα είχε μεγάλο νόημα από τεχνική άποψη, καθώς ο κίνδυνος, ο ρυθμός των αλλαγών και οι προηγούμενες γνώσεις διαφέρουν.

Ένα εφαρμόσιμο μοντέλο περιλαμβάνει:

μια αρχική εκπαίδευση κατά την έναρξη της υποχρέωσης ή κατά την ένταξη στη διοίκηση
τακτική ανανέωση γνώσεων σε καθορισμένη συχνότητα
ενημερώσεις ανάλογα με τις περιστάσεις σε περίπτωση ουσιαστικών αλλαγών στη νομοθεσία, στις απειλές ή στις επιχειρηματικές δραστηριότητες
ασκήσεις μετά από σημαντικές αλλαγές στις διαδικασίες διαχείρισης κρίσεων ή αναφοράς

Η συχνότητα θα πρέπει να καθορίζεται και να αιτιολογείται σε μια οδηγία ή στο πρόγραμμα εκπαίδευσης. Σε περιπτώσεις υψηλής δυναμικής αλλαγών, ένας μακρύς τυποποιημένος κύκλος ενδέχεται να μην είναι επαρκής.

Πώς τεκμηριώνεται η εκπαίδευση

Μια αξιόπιστη απόδειξη περιλαμβάνει περισσότερα στοιχεία από το όνομα και την ημερομηνία. Πρέπει να τεκμηριώνονται:

η ομάδα-στόχος και τα μέλη της διοίκησης που συμμετείχαν
οι μαθησιακοί στόχοι
η ημερήσια διάταξη και τα θέματα που συζητήθηκαν
η ημερομηνία, η διάρκεια και η μορφή
ο υπεύθυνος για το θέμα ή ο πάροχος
η έκδοση των εκπαιδευτικών υλικών που χρησιμοποιήθηκε
Βεβαίωση συμμετοχής ή ολοκλήρωσης
Εκκρεμείς ερωτήσεις και συμφωνημένα μέτρα παρακολούθησης
Ημερομηνία ή λογική για την επόμενη επανεκπαίδευση

Εάν η εκπαίδευση περιελάμβανε άσκηση, θα πρέπει να τεκμηριώνονται τα αποτελέσματα και τα μέτρα βελτίωσης, χωρίς να διαδίδονται περιττά ευαίσθητες τεχνικές λεπτομέρειες.

Πώς τα δεδομένα ευαισθητοποίησης εντάσσονται στην εκπαίδευση της διοίκησης

Η διοίκηση δεν χρειάζεται να παρακολουθεί μεμονωμένους υπαλλήλους. Χρειάζεται μια συνολική εικόνα για το αν το πρόγραμμα ευαισθητοποίησης μειώνει τους κινδύνους και αν οι διαδρομές αναφοράς λειτουργούν.

Κατάλληλες πληροφορίες είναι, για παράδειγμα:

Ποσοστό των ομάδων-στόχων που καλύφθηκαν
Ποσοστά ολοκλήρωσης και εκκρεμείς αναθέσεις
Εξέλιξη του ποσοστού αναφορών
Χρόνος μέχρι την πρώτη έγκυρη αναφορά
Επαναλαμβανόμενα θέματα κινδύνου
Αποτελεσματικότητα στοχευμένων επαναληπτικών εκπαιδεύσεων
Οργανωτικά προβλήματα, όπως ασαφείς διαδρομές αναφοράς

Η πλατφόρμα εκπαίδευσης AutoPhish μπορεί να απεικονίζει τις αναθέσεις εκπαίδευσης, την πρόοδο και την παρακολούθηση που σχετίζεται με τις προσομοιώσεις. Από αυτά, η διοίκηση μπορεί να συνάγει μια συνοπτική, συγκεντρωτική εικόνα της κατάστασης. Ωστόσο, η πλατφόρμα δεν αντικαθιστά την ξεχωριστή εκπαίδευση στελεχών σε θέματα διακυβέρνησης, κινδύνου και εποπτείας.

Συχνά λάθη

Απλή έκδοση πιστοποιητικού συμμετοχής

Το πιστοποιητικό αποδεικνύει τη συμμετοχή, αλλά όχι αυτόματα την κατάλληλη ουσία ή την ενσωμάτωση στην εταιρική διακυβέρνηση.

Η πλήρης ανάθεση της εκπαίδευσης στο τμήμα πληροφορικής

Το τμήμα πληροφορικής μπορεί να προετοιμάσει τα περιεχόμενα. Ωστόσο, η ευθύνη της διοίκησης δεν μεταβιβάζεται με αυτόν τον τρόπο.

Εξήγηση μόνο των νομικών κυρώσεων

Μια παρουσίαση που εστιάζει αποκλειστικά στην ευθύνη σπάνια οδηγεί σε καλύτερες αποφάσεις. Οι εταιρικοί κίνδυνοι, τα μέτρα και η εποπτεία πρέπει να βρίσκονται στο επίκεντρο.

Μη σύνδεση με πραγματικούς δείκτες

Χωρίς αναφορά στο δικό της μητρώο κινδύνων, σε περιστατικά, δοκιμές και εκκρεμείς ενέργειες, η εκπαίδευση παραμένει αφηρημένη.

Ίση μεταχείριση διοίκησης και εργαζομένων

Και οι δύο ομάδες χρειάζονται ευαισθητοποίηση, αλλά με διαφορετικούς μαθησιακούς στόχους και ευθύνες.

Συχνές ερωτήσεις

Ποιοι θεωρούνται μέλη της διοίκησης στο πλαίσιο της εφαρμογής της οδηγίας NIS2;

Αυτό εξαρτάται από τη νομική μορφή, τη θέση και την εθνική εφαρμογή. Οι επιχειρήσεις θα πρέπει να ελέγξουν νομικά τη συγκεκριμένη κατάταξη και να μην αποφασίζουν μόνο με βάση τους τίτλους των θέσεων εργασίας.

Πρέπει να συμμετέχει κάθε μέλος της διοίκησης;

Η υποχρέωση εκπαίδευσης αφορά τα μέλη της διοίκησης των σχετικών οργανισμών. Ένας μεμονωμένος «υπεύθυνος για θέματα κυβερνοασφάλειας» δεν αντικαθιστά αυτόματα την κατάρτιση των υπόλοιπων μελών της διοίκησης.

Αρκεί ένα διαδικτυακό μάθημα;

Ένα διαδικτυακό μάθημα μπορεί να αποτελεί μέρος της εκπαίδευσης, εφόσον οι μαθησιακοί στόχοι, το περιεχόμενο και η πιστοποίηση της παρακολούθησης είναι κατάλληλοι. Για τους εταιρικούς κινδύνους και τις διαδικασίες λήψης αποφάσεων, συχνά είναι επιπλέον χρήσιμη μια συζήτηση με συντονιστή ή μια άσκηση.

Πρέπει η εκπαίδευση να πραγματοποιείται κάθε χρόνο;

Ο νόμος αναφέρεται σε τακτική συμμετοχή, όχι σε μια γενική χρονική συχνότητα για κάθε περίπτωση. Οι επιχειρήσεις θα πρέπει να καθορίσουν έναν κύκλο εκπαίδευσης βάσει κινδύνου και να προγραμματίσουν επιπλέον ενημερώσεις σε περίπτωση ουσιωδών αλλαγών.

Πρέπει οι προσομοιώσεις phishing να περιλαμβάνονται στην εκπαίδευση της διοίκησης;

Μπορούν να αποτελέσουν ένα πρακτικό στοιχείο, για παράδειγμα για τον έλεγχο διαδικασιών αναφοράς ή έγκρισης. Ωστόσο, δεν αντικαθιστούν την εκπαίδευση σε θέματα διακυβέρνησης, διαχείρισης κινδύνων και εποπτείας.

Συμπέρασμα

Η εκπαίδευση της διοίκησης για το NIS2 δεν αποτελεί απλώς μια εκτεταμένη ενημέρωση για το phishing. Σκοπός της είναι να καταστήσει τα στελέχη ικανά να διαχειρίζονται τους κυβερνοκινδύνους ως επιχειρηματικούς κινδύνους, να αξιολογούν τα κατάλληλα μέτρα και να παρακολουθούν την αποτελεσματικότητά τους.

Όσον αφορά το επιχειρησιακό μέρος του προγράμματος ευαισθητοποίησης, η πλατφόρμα εκπαίδευσης AutoPhish παρέχει υποστήριξη στην ανάθεση, τον έλεγχο της προόδου και τη στοχευμένη παρακολούθηση. Η ευθύνη της διοίκησης παραμένει εκεί όπου την ορίζει η NIS2: στην ανώτατη διοίκηση.