Formazione obbligatoria NIS2: ecco il tema del nostro quarto appuntamento della rubrica sulle Linee Guida ENISA.
Anche se non è un obbligo diretto per la tua PMI, è un requisito di mercato. I tuoi clienti (aziende soggette a NIS2) sono obbligati a verificare che i fornitori adottino misure di sicurezza adeguate. Dimostrare che il tuo personale non è l’anello debole è l’unica via per rimanere competitivi.
La guida tecnica ENISA (punti 8.1 e 8.2) stabilisce i criteri di valutazione che i tuoi clienti useranno. Per la tua PMI, aderire a questi standard significa trasformare la conformità in un asset di business che ti darà un netto vantaggio sulla concorrenza nella supply chain.
Articolo di NIS2Lab.
Due livelli di istruzione richiesti dalle Linee Guida ENISA: pratiche di base di igiene informatica e formazione obbligatoria NIS2 sulla sicurezza
Le linee guida ENISA distinguono chiaramente due categorie di istruzione che devono essere in linea con le tue politiche di sicurezza interne:
1. Sensibilizzazione e pratiche di base di igiene informatica (obbligo generale per tutti)
Questo programma si rivolge a tutti i dipendenti, inclusi gli organi di gestione. Deve essere ripetuto nel tempo e rivolgersi ai nuovi assunti. Per implementare programmi di sensibilizzazione sulla cybersecurity si possono usare diversi formati: workshop, webinar e moduli e-learning e utilizzare più canali di comunicazione per tenere informati i dipendenti sugli aggiornamenti della cybersecurity. L’obiettivo è creare consapevolezza dei rischi.
Le pratiche di Igiene Informatica da includere nel programma sono:
- protezione dal phishing e social Engineering: formazione specifica per riconoscere gli attacchi phishing, pre-texting e tailgating;
- pratiche di autenticazione: istruzioni sull’uso di MFA (Multi-Factor Authentication) e sulle tecniche di creazione e gestione sicura delle password;
- gestione dei dati Sensibili: formazione sulle cause di esposizione involontaria dei dati (es. consegna errata, perdita di dispositivi) e su come archiviare o distruggere correttamente i dati sensibili;
- telelavoro sicuro e connessioni: indicazioni tecniche per garantire che tutti gli utenti configurino in modo sicuro la propria infrastruttura di rete domestica e utilizzino canali di connessione sicura;
- riconoscimento del software: formazione sulla comprensione del software dannoso e non autorizzato e sui rischi derivanti dall’utilizzo di software non autorizzato;
- segnalazione di eventi: istruzioni chiare sui punti di contatto interni e sulle procedure per segnalare in modo tempestivo e accurato qualsiasi evento o attività sospetta.
Le evidenze documentali richieste che dimostrano di aver fatto sensibilizzazione
La prova dell’efficacia del tuo programma è l’elemento più critico negli audit. Per dimostrar di aver adottato misure di sensibilizzazione e igiene Informatica, devi fornire:
- programma di sensibilizzazione: uno schema completo del programma che ne illustri obiettivi, contenuto, frequenza e calendario;
- copie dei materiali: esempi delle e-mail, newsletter, presentazioni o moduli online distribuiti ai dipendenti;
- registri di partecipazione: registri, fogli di registrazione o certificati di completamento che mostrino quali dipendenti hanno partecipato;
- valutazione dell’efficacia: risultati di eventuali quiz o valutazioni condotte per misurare la comprensione degli argomenti trattati;
- registri rivisti e aggiornati che dimostrino che il programma viene rivisto regolarmente e aggiornato se necessario;
- moduli di feedback dei dipendenti sul programma di sensibilizzazione.
2. Formazione obbligatoria NIS2 sulla sicurezza (obbligo specifico per ruolo)
Questo programma è mirato ai dipendenti i cui ruoli richiedono competenze specifiche in materia di sicurezza. La formazione deve essere regolare e pertinente alla funzione lavorativa.
Il contenuto della formazione tecnica richiesta deve includere:
- migliori pratiche di autenticazione avanzata: formazione del personale sulle migliori pratiche di autenticazione, come MFA, creazione di password e gestione delle credenziali;
- gestione e ciclo di vita dei dati sensibili: formazione su come identificare e conservare, trasferire, archiviare e distruggere correttamente i dati sensibili;
- riconoscimento di potenziali incidenti: formazione del personale a riconoscere un potenziale incidente (es. allegati di posta elettronica insoliti, comportamenti inaspettati del sistema e traffico di rete sospetto);
- segnalazione tecnica degli eventi: formazione su come segnalare gli eventi in modo tempestivo e accurato, compreso l’uso dei canali di comunicazione designati;
- configurazione e funzionamento sicuro della rete: formazione del personale interessato (es. amministratori di sistema) sulla configurazione e sul funzionamento sicuri della rete e dei sistemi informativi;
- manutenzione e malfunzionamenti: formazione su come verificare e segnalare software obsoleti o eventuali malfunzionamenti di processi e strumenti automatizzati;
- gestione delle crisi e continuità operativa: formazione del personale interessato sulla gestione delle crisi e sulle procedure di continuità operativa, con l’integrazione di eventi simulati (es. esercitazioni su tavolo);
- aggiornamenti sulle minacce: fornitura di aggiornamenti regolari sulle ultime minacce informatiche per garantire che il personale sia sempre informato.
Le evidenze documentali richieste che dimostrano di aver fatto formazione sulla sicurezza
Per attestare la formazione specifica, devi presentare:
- prove di mantenimento: prove di mantenimento delle certificazioni ottenute, se richieste dal ruolo (es. certificazioni IT);
- schema del programma di formazione: uno schema completo che illustri in dettaglio gli obiettivi per i diversi ruoli, il contenuto e la frequenza della formazione;
- registri e attestati: registri di presenza, certificati di completamento o attestati che dimostrino la partecipazione alle sessioni di formazione. Questo include il personale che passa a nuove posizioni o ruoli;
- valutazione dell’effetto e feedback: risultati dei quiz o valutazioni condotte per misurare la comprensione delle competenze tecniche e feedback sui corsi di formazione.
L’affidabilità è un servizio: il contributo di NIS2Lab
La formazione alla NIS2 è fondamentale per garantire l’affidabilità della tua azienda. Ti permette di trasformare i dipendenti da potenziale fonte di rischio in parte attiva della protezione. La Direttiva NIS2 riconosce che la sensibilizzazione è essenziale. Questo non solo previene gli errori umani (prima causa degli incidenti), ma crea anche una vera cultura della sicurezza che migliora la risposta alle minacce.
Scegliere di formare il tuo personale è la mossa strategica che dimostra ai tuoi clienti la tua maturità operativa.
NIS2Lab ti offre una piattaforma per la formazione in e-learning con corsi specifici tenuti da esperti in materia a cui ogni dipendente e collaboratore può accedere in qualsiasi momento e da qualsiasi luogo e dispositivo. Ti fornisce la documentazione di tracciamento e attestazione (registri, certificati) necessaria per superare gli audit dei tuoi clienti.
Vuoi fornire la prova della tua Cyber hygiene?
