Un requisito fundamental del NIS2 es asegurarse de que todos los empleados conozcan las mejores prácticas de ciberseguridad y reciban una formación adecuada en ciberseguridad.

Ciberhigiene

Tu organización debe mantener un nivel adecuado de ciberseguridad aplicando medidas fundamentales y formando a los empleados en las mejores prácticas.

Requisito

Tu organización debe asegurarse de que se aplican prácticas básicas de ciberhigiene basadas en la política de seguridad de los sistemas de información. La ciberhigiene abarca las medidas esenciales, las rutinas diarias, las prácticas y los procedimientos que protegen tus redes, sistemas y datos contra las amenazas habituales.

Esto incluye un conjunto de medidas fundamentales como:

• preparar un conjunto mínimo de políticas básicas de seguridad,
• Hacer copias de seguridad periódicas de los datos relevantes, comprobar las copias de seguridad (comprobaciones de integridad) y comprobar los procedimientos de restauración,
• Planificar la capacidad y los recursos (personal y recursos informáticos) para evitar cuellos de botella,
• desarrollar un plan de respuesta a incidentes,
• evaluar periódicamente la ciberseguridad de tu cadena de suministro de TI,
• Crearacuerdos de nivel de servicio (SLA) basados en el riesgo con proveedores y prestadores de servicios,
• parcheando y actualizando regularmente los sistemas operativos y las aplicaciones,
• instalar y actualizar software antimalware en los activos pertinentes,
• segmentar las redes según la criticidad de los activos,
• realizar escaneos automáticos de vulnerabilidades con regularidad,
• realizando pruebas de seguridad periódicas,
• crear una cultura de concienciación sobre la ciberseguridad mediante la formación periódica de los usuarios,
• encriptar los datos en reposo y en tránsito de acuerdo con los niveles de clasificación de los activos,
• restringir los derechos administrativos,
• imponer contraseñas seguras,
• utilizando la autenticación multifactorial de acuerdo con los niveles de clasificación de los activos,
• Limitar los puertos y servicios de red a lo estrictamente necesario para las necesidades de la empresa,
• mantener un inventario actualizado de los activos de hardware y software,

Muchas de estas prácticas de ciberhigiene ya estarían implantadas si siguieras nuestra guía para implantar los requisitos mínimos de NIS2.

Documentación

Debes documentar tus prácticas de ciberhigiene.

Formación en Ciberseguridad

Todos los empleados que trabajen en relación con la prestación de servicios críticos de tu organización deben ser conscientes de los riesgos de seguridad pertinentes, recibir la formación adecuada y aplicar prácticas comunes de ciberhigiene.

Requisitos

Tu organización debe tener una política corporativa de formación del personal para asegurarse de que los empleados reciben los conocimientos y habilidades necesarios para gestionar los riesgos de seguridad y proteger la red y los sistemas de información. La formación y la educación deben estar en consonancia con la política de seguridad de los sistemas de información de la organización, con las políticas específicas de cada tema y con los procedimientos pertinentes.

La política puede describir qué funciones requieren competencias y conocimientos específicos en materia de seguridad. Puede establecerse un programa de formación estructurado para definir qué formación necesitan los empleados. La formación debe ser específica para la función laboral del empleado, y la eficacia del programa debe evaluarse periódicamente.

La formación y la educación en ciberseguridad deben llevarse a cabo con regularidad, documentarse y adaptarse a las medidas generales de la organización. Tu programa de formación puede incluir:

• instrucciones y formación en prácticas comunes de ciberhigiene, como control de acceso, actualización de dispositivos y seguridad de contraseñas,
• actualizaciones periódicas sobre las amenazas relevantes, incluidos los métodos de ataque y las vulnerabilidades humanas, que deben ser relevantes para las funciones de los empleados,
• formación sobre cómo gestionar un incidente mediante ejercicios prácticos y basados en escenarios, basados en la evaluación de riesgos y las medidas de la organización,

Debe impartirse formación básica a los nuevos empleados y al personal que pase a desempeñar funciones con requisitos de seguridad diferentes.

Tus altos directivos también deben participar en los cursos de ciberseguridad pertinentes y deben fomentar una formación similar para los demás empleados. La formación para la dirección puede incluir cursos generales sobre ciberseguridad, talleres sobre gestión de ciberriesgos, programas de certificación y normas internacionales de seguridad, o los propios cursos y seminarios internos de la organización.

Documentación

El programa de formación debe actualizarse y llevarse a cabo con regularidad. La formación debe tener en cuenta las políticas y normas vigentes, las funciones y responsabilidades asignadas, las amenazas conocidas y los avances tecnológicos.