Co należy robić, żeby pozostać w zgodzie z DORA? – Między innymi SZKOLIĆ!

Obok zarządzania ryzykiem związanym z ICT, reagowaniem na incydenty etc. znalazły się również obowiązki wpływające na bezpieczeństwo i operacyjną odporność cyfrową podmiotów finansowych mniej oczywisty sposób.

Co należy zrobić, żeby wesprzeć organizację w ograniczaniu liczby występujących incydentów, błędów, pomyłek oraz jak radzić sobie z wieloma ryzykami związanymi z ICT? Odpowiedź jest prosta: szkolić!

Jakie główne obowiązki dotyczące szkoleń i podnoszenia świadomości można zidentyfikować w DORA oraz RTS 1774?

• Należy opracować programy szkoleń i podnoszenia świadomości – nie wystarczy raz przeszkolić dwóch pracowników odpowiedzialnych stanowiskowo za bezpieczeństwo informacji, należy opracować cały program szkoleń i podnosić systematycznie kompetencje swojego personelu;
• Należy ocenić potrzeby szkoleniowe oraz określić profil ryzyka związanego z ICT – to właśnie w odniesieniu do tych kryteriów możliwe będzie dalsze podjęcie decyzji co do rodzaju i zakresu działań uświadamiających oraz generalnego kształtu programu szkoleniowego;
• Należy, z uwzględnieniem kryteriów wskazanych w DORA, objąć swoich zewnętrznych dostawców usług ICT programem szkoleń i podnoszenia świadomości oraz odpowiednio uregulować tę kwestię w umowach z tymi dostawcami;
• Organ zarządzający podmiotu finansowego powinien przydzielać odpowiedni budżet, aby zaspokoić potrzeby szkoleniowe podmiotu finansowego;
• Członkowie organu zarządzającego powinni aktualizować swoją wiedzę i umiejętności wystarczające do zrozumienia i oceny ryzyka związanego z ICT i jego wpływu na operacje podmiotu finansowego – również poprzez udział w specjalnych szkoleniach;
• Należy opracować w ramach programów szkoleniowych dla personelu obowiązkowe moduły, obejmujące programy zwiększania świadomości w zakresie bezpieczeństwa ICT oraz szkolenia w zakresie operacyjnej odporności cyfrowej – zarówno dla pracowników operacyjnych jak i kadry kierowniczej;
• Poziom złożoności szkoleń i działań uświadamiających powinien być współmierny do funkcji pełnionych przez osoby objęte programem szkoleń.

Ważne: program szkoleń i podnoszenia świadomości określony przez DORA musi dotyczyć kompetencji i wiedzy z zakresu operacyjnej odporności cyfrowej, bezpieczeństwa ICT oraz umiejętności i wiedzy fachowej niezbędnej do realizacji zadań związanych z utrzymywaniem bezpieczeństwa informacji i cyberodporności podmiotu finansowego na najwyższym poziomie.

Jak w praktyce wiele podmiotów radzi sobie z licznymi obowiązkami dotyczącymi szkoleń i podnoszenia świadomości? Z pomocą przychodzą międzynarodowe standardy bezpieczeństwa informacji, takie jak ISO 27001 czy NIST. Podmioty, które świadomie zarządzają ryzykiem związanym z ICT oraz cyberodpornością, potrafią zidentyfikować kluczowe obszary swojej działalności oraz krajobraz ryzyk – w odniesieniu do tych informacji, identyfikują członków personelu kluczowego, który powinien posiadać specyficzną wiedzę i umiejętności. Dla całości organizacji prowadzone są często działania z zakresu cyberhigieny, ogólnej wiedzy na temat zagrożeń i podatności dzisiejszego cyfrowego świata, a także specyficzne szkolenia adresujące realizację obowiązków wynikających z poszczególnych polityk i procedur przyjętych przez te podmioty.

Szkolenia często prowadzone są w formie teoretycznych wykładów, seminariów, warsztatów, webinariów czy konferencji, a także w formie praktycznych laboratoriów i symulacji. Metody szkoleń dobierane są w zależności od roli osoby podlegającej szkoleniu.

Działania uświadamiające, które mają na celu przekazanie i utrwalenie fundamentalnych informacji z zakresu bezpieczeństwa ICT oraz cyberhigieny, często realizowane są w formie:

• Alertów i broszur informacyjnych;
• Prezentacji i testów;
• Zamieszczanych ostrzeżeniach o zagrożeniach na przedmiotach codziennego użytku – takich jak długopisach firmowych, kubkach, plakatach;
• Wewnętrzne i zewnętrzne kampanie mailingowe;
• Eventy w postaci dni bezpieczeństwa;
• Ulotki, newslettery;
• Wewnętrznie organizowane kampanie phishingowe zakończone szkoleniem – mające na celu pokazanie członkom personelu w praktyce jak przebiegają tego typu ataki.

Istnieje wiele metod szkoleń i podnoszenia świadomości – DORA nie wskazuje wprost z jakich metod należy korzystać. Decyzja, jak zawsze, leży po stronie podmiotu finansowego, który powinien dobrać odpowiednie metody w zależności od swoich potrzeb oraz zidentyfikowanych przez siebie ryzyk związanych z ICT.

Kancelaria prawna KRWLEGAL zapewnia profesjonalne i fachowe doradztwo w wielu dziedzinach prawa. w tym świadczy usługi m. in. w doradztwa regulacyjnego dla sektora finansowego, dyrektywy NIS 2, rozporządzenia DORA, doradztwa w zakresie cyberbezpieczeństwa.

Jeśli uważasz, że może mieć to wpływ na Twój biznes, zapraszamy do kontaktu: biuro@krwlegal.pl lub +48 22 29 50 940.