Υποχρεωτική εκπαίδευση NIS2: Ποιοι πρέπει να εκπαιδεύονται και με ποια συχνότητα;

Η υποχρέωση εκπαίδευσης βάσει της οδηγίας NIS2 δεν αφορά μόνο το τμήμα πληροφορικής. Για σημαντικούς και ιδιαίτερα σημαντικούς οργανισμούς στη Γερμανία, η βασική εκπαίδευση και τα μέτρα ευαισθητοποίησης για εσωτερικούς και εξωτερικούς χρήστες αποτελούν μέρος της διαχείρισης κινδύνων στον τομέα της κυβερνοασφάλειας. Τα μέλη της διοίκησης υπόκεινται επιπλέον σε ξεχωριστή υποχρέωση εκπαίδευσης. Ωστόσο, η NIS2 δεν επιβάλλει έναν άκαμπτο, πανοευρωπαϊκά πανομοιότυπο αριθμό εκπαιδευτικών προγραμμάτων: το περιεχόμενο και η συχνότητα πρέπει να ανταποκρίνονται στον κίνδυνο, στον ρόλο και στις αλλαγές εντός της επιχείρησης.

Στην πράξη, αυτό σημαίνει: εκπαίδευση κατά την πρόσληψη, τακτική ανανέωση γνώσεων, στοχευμένη επιμόρφωση σε περίπτωση νέων κινδύνων ή συστημάτων και τεκμηρίωση της διεξαγωγής.

Τι απαιτεί η NIS2 όσον αφορά την εκπαίδευση

Η νομική βάση αποτελείται από διάφορα επίπεδα.

Η οδηγία NIS2 αναφέρει στο άρθρο 21 παράγραφος 2 στοιχείο ζ τις βασικές πρακτικές κυβερνοϋγιεινής και την εκπαίδευση στον τομέα της κυβερνοασφάλειας ως συστατικό μέρος των μέτρων διαχείρισης κινδύνων. Το άρθρο 20 παράγραφος 2 προβλέπει εκπαίδευση για τα μέλη των διοικητικών οργάνων και καλεί ταυτόχρονα τα κράτη μέλη να προωθήσουν τακτική και συγκρίσιμη εκπαίδευση για τους εργαζομένους.

Στη Γερμανία, ο νόμος για το BSI συγκεκριμενοποιεί αυτές τις απαιτήσεις. Το BSI οργανώνει βασικά προγράμματα εκπαίδευσης και μέτρα ευαισθητοποίησης στις υποχρεώσεις των σημαντικών και ιδιαίτερα σημαντικών εγκαταστάσεων σύμφωνα με το άρθρο 30 του νόμου BSIG. Η εκπαίδευση της διοίκησης ρυθμίζεται ξεχωριστά στο άρθρο 38 παράγραφος 3 του BSIG.

Είναι σημαντικό να γίνει η εξής διάκριση: Ένα μεμονωμένο μάθημα ή μια προσομοίωση phishing δεν καθιστά αυτόματα μια επιχείρηση σύμφωνη με την NIS2. Οι εκπαιδεύσεις αποτελούν ένα δομικό στοιχείο εντός ενός ευρύτερου συστήματος που περιλαμβάνει διακυβέρνηση, διαχείριση κινδύνων, τεχνικούς ελέγχους, αντιμετώπιση περιστατικών και συνεχή βελτίωση.

Ποιοι πρέπει να εκπαιδευτούν;

Μέλη της διοίκησης

Η διοίκηση πρέπει να κατανοεί τους κινδύνους στον τομέα της κυβερνοασφάλειας σε βαθμό που να μπορεί να αξιολογεί, να εγκρίνει και να εποπτεύει την εφαρμογή των κατάλληλων μέτρων. Δεν πρόκειται για εκπαίδευση τεχνικών ειδικών. Πρόκειται για ικανότητα λήψης αποφάσεων και ανάληψη ευθύνης.

Τυπικές ομάδες-στόχοι είναι, ανάλογα με τη νομική μορφή, για παράδειγμα:

• Διευθυντές και διευθύντριες
• Μέλη του διοικητικού συμβουλίου
• Άλλα πρόσωπα που θεωρούνται ως διοίκηση κατά την έννοια της ισχύουσας νομοθεσίας

Η συγκεκριμένη κατάταξη θα πρέπει να διευκρινιστεί από την επιχείρηση σε συνεργασία με το νομικό τμήμα ή το τμήμα συμμόρφωσης. Καθοριστικό δεν είναι μόνο ο τίτλος της θέσης, αλλά η πραγματική ευθύνη διοίκησης.

Εργαζόμενοι και εξωτερικοί χρήστες

Το BSI περιγράφει ως αποδέκτες των βασικών εκπαιδεύσεων τους εσωτερικούς και εξωτερικούς χρήστες συστημάτων και εφαρμογών εντός του οργανισμού στον οποίο αφορά η εκπαίδευση. Επομένως, η ανάγκη για εκπαίδευση δεν περιορίζεται στους μόνιμους υπαλλήλους γραφείου.

Ανάλογα με το προφίλ κινδύνου, σε αυτούς μπορεί να περιλαμβάνονται:

• υπάλληλοι πλήρους και μερικής απασχόλησης
• νέοι εργαζόμενοι κατά τη διάρκεια της ενσωμάτωσής τους
• προσωρινοί εργαζόμενοι
• εξωτερικοί πάροχοι υπηρεσιών με πρόσβαση στο σύστημα
• ελεύθεροι επαγγελματίες
• διαχειριστές πληροφορικής με προνόμια
• εργαζόμενοι στην παραγωγή, τη λογιστική ή το εξωτερικό τμήμα

Δεν χρειάζονται όλοι την ίδια εκπαίδευση. Μια βασική ενότητα για όλους μπορεί να συμπληρωθεί με περιεχόμενο προσαρμοσμένο ανά ρόλο για τα τμήματα Οικονομικών, Ανθρώπινου Δυναμικού, Υποστήριξης, Προμηθειών, Πληροφορικής και για τα στελέχη.

Πόσο συχνά απαιτούνται οι εκπαιδεύσεις NIS2;

Μια γενική απάντηση όπως «αρκεί μία φορά το χρόνο» δεν είναι επαρκής. Ο νόμος απαιτεί αποτελεσματική και κατάλληλη διαχείριση των κινδύνων. Ως εκ τούτου, η συχνότητα θα πρέπει να καθορίζεται με βάση το προφίλ κινδύνου και τον στόχο της εκπαίδευσης.

Το BSI θεωρεί σκόπιμη τη διεξαγωγή εκπαίδευσης κατά την αρχική ενημέρωση και την ετήσια ενημέρωση σχετικά με τις τρέχουσες εξελίξεις. Επιπλέον, τα μέτρα πρέπει να ελέγχονται και να αναπτυσσονται συνεχώς. Αυτός είναι ένας λογικός ελάχιστος ρυθμός, αλλά όχι ένας καθολικός τελικός στόχος.

Ένα αξιόπιστο μοντέλο αποτελείται από τέσσερα επίπεδα:

1. Αρχική εκπαίδευση: πριν ή αμέσως μετά την παροχή των σχετικών δικαιωμάτων πρόσβασης.
2. Τακτική επανεκπαίδευση: τουλάχιστον με καθορισμένη και κατανοητή συχνότητα.
3. Εκπαίδευση ανάλογα με τις περιστάσεις: μετά από σημαντικές αλλαγές στο σύστημα, νέες απειλές, περιστατικά ή τροποποιημένες οδηγίες.
4. Εμβάθυνση ανάλογα με τον ρόλο: συχνότερη ή πιο εξειδικευμένη για ομάδες υψηλού κινδύνου.

Οι προσομοιώσεις phishing μπορούν να ενσωματωθούν ως σύντομες ασκήσεις και σημεία αξιολόγησης μεταξύ των επίσημων εκπαιδευτικών ενοτήτων. Ωστόσο, δεν αντικαθιστούν ούτε την βασική εκπαίδευση ούτε την εκπαίδευση της διοίκησης.

Ένας εφαρμόσιμος ετήσιος ρυθμός

Μια μεσαίου μεγέθους επιχείρηση θα μπορούσε, για παράδειγμα, να δομήσει το πρόγραμμα ως εξής:

• Κατά την ένταξη νέων υπαλλήλων: βασική ενότητα σχετικά με τις διαδικασίες αναφοράς, το phishing, τους κωδικούς πρόσβασης, την MFA, τη διαχείριση δεδομένων και τις ασφαλείς μεθόδους εργασίας.
• Κάθε τρίμηνο: σύντομη ευαισθητοποίηση ή ασφαλής προσομοίωση phishing σχετικά με ένα επίκαιρο θέμα κινδύνου.
• Μετά από μια επικίνδυνη αλληλεπίδραση: σύντομη, σχετική με το πλαίσιο ενότητα εκπαίδευσης αντί για γενική εκπαίδευση με κυρώσεις.
• Ετησίως: επικαιροποιημένη βασική εκπαίδευση και τεκμηριωμένος έλεγχος του προγράμματος.
• Όταν απαιτείται: ενότητες προσαρμοσμένες ανά ρόλο για τομείς ιδιαίτερα εκτεθειμένους σε κινδύνους.
• Για τη διοίκηση: τακτική ειδική εκπαίδευση σχετικά με τη διακυβέρνηση, τις αποφάσεις σχετικά με τους κινδύνους, τα περιστατικά και την εποπτεία.

Η συχνότητα δεν πρέπει να είναι απλώς μια καταχώριση στο ημερολόγιο. Για κάθε στοιχείο απαιτείται ένας σκοπός: μεταφορά γνώσεων, εξάσκηση συμπεριφοράς, δοκιμή διαύλων αναφοράς ή αξιολόγηση της αποτελεσματικότητας ενός μέτρου.

Ποια περιεχόμενα πρέπει να περιλαμβάνονται στην βασική εκπαίδευση;

Ένα πρόγραμμα ευαισθητοποίησης βασισμένο στο NIS2 θα πρέπει να καλύπτει τουλάχιστον τους κινδύνους που αντιμετωπίζουν πραγματικά οι εκάστοτε χρήστες. Συχνά, αυτοί περιλαμβάνουν:

• Phishing και κοινωνική μηχανική
• Ασφαλής χρήση κωδικών πρόσβασης και διαχειριστών κωδικών πρόσβασης
• Πολυπαραγοντική ταυτοποίηση και ύποπτες αιτήσεις έγκρισης
• Διαδρομές αναφοράς για ύποπτα μηνύματα και συμβάντα ασφαλείας
• Διαχείριση ευαίσθητων πληροφοριών
• Εργασία από κινητές συσκευές και ιδιωτικές συσκευές
• Ασφαλής χρήση υπηρεσιών cloud και συνεργασίας
• Ρόλοι και ευθύνες σε περίπτωση συμβάντων ασφαλείας

Η λεπτομερής δομή ενός προγράμματος σπουδών αναλύεται εκτενέστερα στο άρθρο σχετικά με τα περιεχόμενα εκπαίδευσης NIS2.

Πώς μπορεί να αποδειχθεί η υλοποίηση;

Το BSI επισημαίνει ρητά ότι η υλοποίηση πρέπει να τεκμηριώνεται. Για τον σκοπό αυτό, απαιτείται κάτι περισσότερο από ένα τιμολόγιο του φορέα εκπαίδευσης.

Σημαντικά αποδεικτικά στοιχεία είναι:

• καθορισμένες ομάδες-στόχοι και εκπαιδευτικοί στόχοι
• περιεχόμενο και έκδοση της ενότητας
• ημερομηνία ανάθεσης και κατάσταση ολοκλήρωσης
• αποδεικτικά συμμετοχής ή ολοκλήρωσης
• τεκμηριωμένες εξαιρέσεις και παρατάσεις προθεσμιών
• αποτελέσματα ερωτήσεων γνώσεων ή ασκήσεων, στο βαθμό που είναι απαραίτητο και αναλογικό
• ανασκόπηση του προγράμματος και αποφασισμένες βελτιώσεις
• αποδεικτικά στοιχεία για επιμορφώσεις που σχετίζονται με ρόλους ή συγκεκριμένες περιστάσεις

Τα προσωπικά δεδομένα πρέπει να αποθηκεύονται μόνο με τον βαθμό λεπτομέρειας και για το χρονικό διάστημα που απαιτείται για τον καθορισμένο σκοπό. Τα στελέχη και οι ελεγκτές χρειάζονται συχνά συγκεντρωτικές αναφορές· τα ατομικά αποτελέσματα πρέπει να περιορίζονται σε έναν σαφώς εξουσιοδοτημένο κύκλο ατόμων.

Πώς βοηθά μια πλατφόρμα εκπαίδευσης

Μια πλατφόρμα εκπαίδευσης μπορεί να απλοποιήσει την επιχειρησιακή υλοποίηση, εφόσον υποστηρίζει ολόκληρο τον κύκλο μάθησης:

• Ανάθεση εκπαιδευτικών προγραμμάτων βάσει κανόνων
• Ενσωμάτωση δικών σας περιεχομένων SCORM
• Παρακολούθηση της προόδου ολοκλήρωσης
• Ενεργοποίηση στοχευμένων επιμορφώσεων μετά από προσομοιώσεις
• Παροχή αναφορών για θέματα ασφάλειας, συμμόρφωσης και διαχείρισης
• Διαφοροποίηση περιεχομένου ανά ρόλο ή κίνδυνο

Η πλατφόρμα εκπαίδευσης AutoPhish συνδυάζει προσομοιώσεις phishing με αυτόματη ανάθεση εκπαιδευτικών προγραμμάτων, παρακολούθηση προόδου και δικό της περιεχόμενο συμβατό με SCORM. Με αυτόν τον τρόπο, υποστηρίζει την επαναλαμβανόμενη διεξαγωγή και τεκμηρίωση του προγράμματος ευαισθητοποίησης. Δεν αντικαθιστά ούτε τον νομικό έλεγχο ούτε την πλήρη διαχείριση κινδύνων σύμφωνα με τον κανονισμό NIS2.

Συχνές ερωτήσεις

Πρέπει όλοι οι εργαζόμενοι να παρακολουθήσουν την ίδια εκπαίδευση NIS2;

Όχι. Μια κοινή βασική ενότητα είναι χρήσιμη, αλλά θα πρέπει να συμπληρώνεται με περιεχόμενο που σχετίζεται με τους ρόλους και τους κινδύνους. Τα τμήματα Οικονομικών, Διαχείρισης Πληροφορικής και Διοίκησης πρέπει να λαμβάνουν διαφορετικές αποφάσεις.

Αρκεί μια ετήσια εκπαίδευση;

Όχι αυτομάτως. Μια ετήσια επανεκπαίδευση μπορεί να αποτελεί μέρος του προγράμματος. Επιπλέον, είναι σκόπιμες οι αρχικές εκπαιδεύσεις, οι ενημερώσεις ανάλογα με τα γεγονότα και η τακτική ευαισθητοποίηση. Το κρίσιμο είναι το πρόγραμμα να ανταποκρίνεται στον κίνδυνο και να ελέγχεται.

Είναι υποχρεωτικές οι προσομοιώσεις phishing σύμφωνα με τον κανονισμό NIS2;

Ο κανονισμός NIS2 δεν ορίζει συγκεκριμένο προϊόν προσομοίωσης phishing ούτε καθορίζει συγκεκριμένο αριθμό εκστρατειών. Ωστόσο, οι προσομοιώσεις μπορούν να βοηθήσουν στον ελεγχόμενο έλεγχο της συμπεριφοράς, των διαύλων αναφοράς και της αποτελεσματικότητας των μέτρων ευαισθητοποίησης.

Χρειάζεται η διοίκηση ξεχωριστή εκπαίδευση;

Ναι. Οι απαιτήσεις για τη διοίκηση πρέπει να διακρίνονται από τις γενικές εκπαιδεύσεις του προσωπικού. Τα διοικητικά όργανα πρέπει να είναι σε θέση να αξιολογούν και να παρακολουθούν τους κινδύνους και τα μέτρα διαχείρισης κινδύνων.

Ποια αποδεικτικά στοιχεία πρέπει να διατηρεί μια επιχείρηση;

Τουλάχιστον την ομάδα-στόχο, το περιεχόμενο, την έκδοση, την ημερομηνία, την ανάθεση, την ολοκλήρωση και τον έλεγχο του προγράμματος. Το εύρος και η διατήρηση των στοιχείων πρέπει να καθορίζονται με βάση τους κινδύνους και σύμφωνα με τους κανόνες προστασίας δεδομένων.

Συμπέρασμα

Ένα αξιόπιστο εκπαιδευτικό πρόγραμμα NIS2 απευθύνεται στα σωστά άτομα τη σωστή στιγμή: η διοίκηση, οι εργαζόμενοι και οι εξωτερικοί χρήστες λαμβάνουν το κατάλληλο περιεχόμενο· οι νέοι κίνδυνοι ενεργοποιούν ενημερώσεις· η υλοποίηση και η βελτίωση παραμένουν ανιχνεύσιμες.

Όσοι δεν επιθυμούν να διαχειρίζονται αυτές τις διαδικασίες με λίστες και χειροκίνητες υπενθυμίσεις, μπορούν να χρησιμοποιήσουν την πλατφόρμα εκπαίδευσης AutoPhish για να αναθέσουν εκπαιδευτικά προγράμματα, να τεκμηριώσουν την πρόοδο και να συνδυάσουν προσομοιώσεις με στοχευμένη παρακολούθηση.