NIS2 безбедносна свест: садржај за наставни план

Наставни план и програм подизања свести о безбедности фокусиран на NIS2 треба да омогући особљу да препозна ризике у свакодневним раним токовима, предузме одговарајуће мере и благовремено пријави безбедносне инциденте. Стандардни годишњи видео о сумњивим линковима није довољан за то. Програм захтева основни модул за све запослене, обуку задубљену и прилагођену улогама, редовне вежбе и документовано преиспитивање његове ефикасности.

Наставни план мора бити прилагођен профилу ризика организације. Производни погон, провајдер облачних услуга и пружалац здравствених услуга захтевају исте основе, али различите студије случаја, системе и процедуре ескалације.

Правни полазна основа

Члан 21(2)(г) Директиве NIS2 утврђује основне процедуре сајбер хигијене и обуку за сајбер безбедност у каталогу мера за управљање ризицима.

За Немачку, [BSI описује основне мере обуке и подизања свести](https://www.bsi.bund.de/DE/Теме/Регулисани сектори/Компаније регулисане NIS2/Информациони пакети NIS2/Обука NIS2/Обука NIS2_node.html) за интерне и екстерне кориснике. Наводи обуку за подизање свести, редовно подизање свести, јасне безбедносне политике, безбедно коришћење постојећих система и континуирани преглед и даљи развој програма.

Међутим, NIS2 не пружа готов скуп слајдова. Организације морају да развију одговарајући наставни план и програм заснован на ризицима, циљним групама и радним процесима.

Три нивоа ефикасног наставног програма

1. Основе за све кориснике

Свака особа са релевантним приступом захтева заједничку безбедносну основу. То укључује успостављене канале извештавања, безбедно руковање идентитетима, информацијама и уређајима, и способност да се препознају типични покушаји преваре.

2. Детаљна обука специфична за улогу

Ризици настају у специфичним процесима. Финансије одобравају плаћања, људски ресурси обрађују пријаве и податке о запосленима, служба за подршку ресетује налоге, а ИТ одсек управља привилегованим приступом. Обука треба да одражава ове разлике.

3. Вежбе и континуирано учење

Знање постаје чврсто само када се примењује у радном контексту. Кратке вежбе, симулације, повратне информације и ажурирања специфична за контекст премошћују јаз између завршетка курса и стварног понашања.

Кључни садржај основног модула

Фишинг и социјални инжењеринг

Обука не би требало да објашњава само очигледне правописне грешке. Савремени покушаји преваре користе веродостојне пословне контексте, добро познате услуге, QR кодове, текстуалне поруке, платформе за сарадњу и неочекиване захтеве за вишефакторску аутентификацију (MFA).

Запослени треба да науче да:

Заједно проверавају пошиљаоца, контекст и веродостојност
Не мешају хитност са легитимношћу
Поступају опрезно са линковима, QR кодовима и захтевима за ауторизацију
Потврђују осетљиве захтеве преко познатог секундарног канала
да пријаве сумњиве поруке путем назначеног канала

Симулације фишинга могу да обезбеде безбедан начин за вежбање ових одлука. Оне не би требало да прикупљају стварне лозинке, МФА кодове или осетљиве податке.

Идентитети, лозинке и MFA

Сајбер хигијена подразумева више од дужине лозинке. Модул треба да објасни употребу одобрених менаџера лозинки, јединствених лозинки и вишефакторске аутентификације.

Посебно је важно како реаговати на неочекиване MFA push обавештења, промене уређаја, захтеве за опоравак и наводе контакт-особe за подршку. Особље мора да буде свесно да чак и технички аутентична страница за пријаву може бити део преваранске шеме.

Канали за пријављивање и први одговор

Програми подизања свести често не успевају не због недостатка препознавања, већ због следећег корака. Програм обуке треба да обезбеди конкретне одговоре:

Које дугме, образац или телефонски број треба користити?
Шта треба да урадите након клика?
Шта треба да урадите након уноса података за пријаву?
Које информације ће помоћи тиму за безбедност?
Зашто је брзо пријављивање инцидента важније од утврђивања кривице?

Пријављивање инцидента мора да буде лакше него ћутање о њему.

Руковање информацијама

Запосленима су потребна јасна правила за класификовање, овлашћивање, чување и дељење информација. Ово такође укључује складиштење у облаку, алате за сарадњу, мобилне уређаје и коришћење генерисане вештачке интелигенције, где се она користи у оквиру организације.

Обука треба да се заснива на политикама компаније и да не покушава да их замени општим саветима за безбедност.

Уређаји, рад на даљину и физичка безбедност

Основни модул такође обухвата:

Не одлагати ненужно ажурирања или поновно покретање
Закључавати уређаје и одмах пријавити губитак
Правилно руковати јавним мрежама и спољним уређајима за пуњење или складиштење података
Пазите на људе који вам гледају преко рамена, посетиоце и физичке приступне тачке
Одвојте приватну и пословну употребу у складу са политиком

И овде важи исти принцип: обука мора да одражава системе и радне моделе који се заиста користе.

Безбедна сарадња са пружаоцима услуга

Ризици у ланцу снабдевања често почињу свакодневном комуникацијом. Особље у набавци, управљању пројектима и стручним одељењима треба да зна како да провери нове контакте, измене банкарских података, дељење датотека и хитне захтеве за приступ.

Детаљна обука специфична за улогу

Финансије и набавка

Кључне области обухватају промене у подацима за плаћање, превару са фактурама, токове одобравања, нове добављачке налоге и верификацију преко познатих контаката. Циљ учења није "никада не кликнути", већ "не доносити одлуке са значајним последицама ван одобреног процеса контроле".

Особље за људске ресурсе

Особље за људске ресурсе захтева примере који се односе на документацију за пријаву за посао, податке о плати и банкарске податке, личне документе, наводне захтеве од вишег руководства и заштиту осетљивих података о запосленима.

ИТ и Хелпдеск

Кључне области овде укључују верификацију идентитета, ресетовање лозинки и МФА, привилегован приступ, даљинску подршку, OAuth ауторизације и социјални инжењеринг усмерен на процесе подршке.

Више руководство и извршни асистенти

Поред засебне NIS2 обуке за више руководство, практичне теме као што су овлашћења за плаћање, поверљиви документи, измене путовања и састанака и лажни комуникациони канали су релевантне.

Производни и оперативни одсеци

Обука овде мора бити сажета, приступачна и уско усклађена са системима. Теме могу да укључују уклоњиве медије за складиштење, даљинско одржавање, необична упозорења система, заједничке налоге и поступак ескалације за оперативне прекиде.

Који формати се међусобно допуњују

Добар програм комбинује различите формате уместо да све гура у један дугачак годишњи курс:

Основни модул: заједничка правила и процедуре извештавања
Микроучење: кратке сесије за освежавање знања о појединачним одлукама
Симулација фишинга: контролисана пракса и процена
Вежба на столу: улоге и одлуке током инцидента
Постер или кампања на интранету: подсетници на специфична понашања
Модул специфичан за улогу: детаљна обука за групе са високим ризиком
Ажурирање поводом догађаја: одговор на нове системе, инциденте или претње

Креирање сопственог SCORM садржаја може бити корисно ако већ постоје систем за управљање учењем или курсеви специфични за одређени сектор. Кључно је да су додељивање, верзија и статус завршетка праћени.

Од тестова за фишинг до циљане обуке за освежавање знања

Симулација је посебно вредна када тестира одређену одлуку о учењу и покреће одговарајуће праћење где је то потребно.

Примери:

Сваки корисник који потврди неочекивани захтев за MFA добија кратки модул о умору од MFA.
Сваки корисник који не успе да потврди промену у плаћању преко утврђеног процеса добија обуку специфичну за финансије.
Ако многи корисници не могу да пронађу канал за пријављивање, није у питању само појединачна додатна обука: сами процес мора да се побољша.

AutoPhish платформа за обуку подржава аутоматско додељивање задатака након симулација, праћење напретка, прилагођене SCORM курсеве и модуле по мери. Ово омогућава да се наставни план и програм ближе ускладе са уоченим потребама за учењем.

Како се ефикасност процењује

Стопе завршетка курса указују на обухват, али још увек не указују на промену понашања. Избалансиран скуп показатеља може да укључује:

Обухват циљних група
Стопа благовременог завршетка
Резултати кратких квизова знања
Стопа извештавања у симулацијама
Време до првог квалификованог извештаја
Понављајуће теме о ризику
Напредак након циљане обуке за освежавање знања
Квалитативне повратне информације од особља
Побољшања у процесима и смерницама

Евалуација не би требало да се заснива на јавном рангирању појединаца. Циљ је да се побољша систем и култура безбедности.

Листа за проверу наставnog плана и програма

Пре одобрења, организација треба да буде у стању да одговори на следећа питања:

Да ли су обухваћени сви релевантни унутрашњи и спољни корисници?
Да ли постоји основни модул и додаци специфични за улогу?
Да ли су унутрашњи процеси извештавања и одобрења правилно приказани?
Да ли се нови запослени обучавају у раној фази?
Да ли нови системи или ризици покрећу ажурирање?
Да ли су верзија, додељивање и завршетак документовани?
Да ли се вежбе спроводе безбедно и у складу са прописима о заштити података?
Да ли се ефикасност редовно прегледа?
Да ли се из резултата изводе конкретна побољшања?

ЧПП

Које теме обуке по NIS2 су обавезне?

NIS2 идентификује обуку за сајбер хигијену и безбедност сајбер простора као мере управљања ризицима, али не прописује универзални наставни план. Садржај мора бити изведен из ризика, улога, система и националне имплементације.

Да ли је фишинг обавезан део наставне плана и програма?

Фишинг и социјални инжењеринг су кључни ризици за многе организације и такође их BSI идентификује као релевантне претње. Специфичан нагласак треба прилагодити профилу ризика.

Да ли је један модул за е-учење годишње довољан?

Један модул годишње може да представља основу. За трајнији ефекат, препоручљиво је увођење процеса упознавања са радом, кратких курсева за освежавање знања, садржаја прилагођеног улогама, вежби и ажурирања покренутих одређеним догађајима.

Да ли неуспеле симулације аутоматски треба да покрећу обуку?

Да, под условом да је задатак технички прикладан и пропорционалан. Понављајући обрасци такође би требало да покрену преглед процеса, комуникације и техничких контрола.

Могу ли се користити интерни курсеви?

Да. Садржај компатибилан са SCORM-ом може се интегрисати у погодне платформе за обуку. Кључни фактори које треба узети у обзир укључују контролу верзија, додељивање, доказ о завршетку и редовна ажурирања.

Закључак

Добро наставни план и програм за подизање свести о NIS2 комбинује основе, знање специфично за улогу и вежбе. Он не само да објашњава ризике, већ и обучава учеснике за доношење специфичних одлука и праћење процедура извештавања. Резултати се користе за развој циљаних обука за освежавање знања и унапређење система.

Са платформом за обуку AutoPhish, можете додељивати курсеве обуке, интегрисати сопствени садржај, пратити напредак и комбиновати симулације фишинга са одговарајућим праћењем.