Les mesures mp.per.3 (Conscienciació) i mp.per.4 (Formació) formen part de la gestió del personal de l'annex II del Reial decret 311/2022 i s'apliquen a les tres categories de l'ENS: Bàsica, Mitjana i Alta. La primera busca que el personal sàpiga quin és el seu paper; la segona, que sàpiga fer el que requereix el seu lloc.
Què exigeix la mesura mp.per.3 (Conscienciació)?
Que es consciencïi regularment el personal sobre el seu paper i la seva responsabilitat perquè la seguretat del sistema assoleixi els nivells exigits. En concret, sobre la normativa de bon ús dels equips i les tècniques d'enginyeria social més habituals, i sobre com identificar incidents o comportaments sospitosos que s'hagin de comunicar.
El text de l'ENS diu: «Se realizarán las acciones necesarias para concienciar regularmente al personal acerca de su papel y responsabilidad para que la seguridad del sistema alcance los niveles exigidos». Els requisits concrets es desglossen així:
- [mp.per.3.1] La normativa de seguretat relativa al bon ús dels equips o sistemes i les tècniques d'enginyeria social més habituals.
- [mp.per.3.2] La identificació d'incidents, activitats o comportaments sospitosos que s'hagin de comunicar perquè els tracti personal especialitzat.
Què exigeix la mesura mp.per.4 (Formació)?
Que es formi regularment el personal en les matèries de seguretat de la informació que requereixi l'exercici de les seves funcions: configuració de sistemes, detecció i reacció davant d'incidents, i gestió de la informació en qualsevol suport. A més, demana avaluar l'eficàcia de les accions formatives, no només registrar que s'han fet.
El requisit [mp.per.4.1] estableix que «se formará regularmente al personal en aquellas materias relativas a seguridad de la información que requiera el desempeño de sus funciones», en particular:
- a) Configuració de sistemes.
- b) Detecció i reacció davant d'incidents.
- c) Gestió de la informació en qualsevol suport, que inclogui almenys l'emmagatzematge, la transferència, les còpies, la distribució i la destrucció.
- I un punt que moltes organitzacions passen per alt: «se evaluará la eficacia de las acciones formativas llevadas a cabo».
Canvia res segons la categoria del sistema?
No. A diferència d'altres mesures de l'ENS que només s'apliquen a partir de la categoria Mitjana o Alta, mp.per.3 i mp.per.4 s'apliquen a totes les categories i per a totes les dimensions de seguretat. Fins i tot un sistema de categoria Bàsica, el nivell més baix de l'ENS, ha de complir totes dues mesures.
La conscienciació sense formació genera bones intencions sense capacitat. La formació sense conscienciació genera persones que no entenen per què fan el que fan. L'una sense l'altra no funciona.
Quines evidències demanarà l'auditor?
Que la conscienciació i la formació estan planificades, s'han executat i se n'ha comprovat l'eficàcia. Les evidències habituals són el pla documentat i aprovat, els registres d'execució amb dates, continguts i participants, el material utilitzat, les avaluacions d'eficàcia i el procediment de comunicació d'incidents que coneix el personal.
A la pràctica, no n'hi ha prou amb una xerrada anual: cal documentar el pla, executar-lo i poder demostrar que s'ha fet. Ho desenvolupem a Quin registre de formació us demanen en una auditoria?
- Pla de conscienciació i formació documentat i aprovat.
- Registres d'execució de les accions: dates, contingut i participants.
- Material formatiu utilitzat.
- Avaluacions d'eficàcia: qüestionaris i mètriques de millora.
- Procediment de comunicació d'incidents donat a conèixer al personal.
Resum: mp.per.3 davant de mp.per.4
| Aspecte | mp.per.3 Conscienciació | mp.per.4 Formació |
|---|---|---|
| Què exigeix? | Que el personal conegui el seu paper i la seva responsabilitat en seguretat | Que el personal adquireixi les capacitats que requereix el seu lloc |
| Requisits concrets | [mp.per.3.1] Bon ús i enginyeria social · [mp.per.3.2] Identificació i comunicació d'incidents | [mp.per.4.1] Configuració, detecció i reacció, gestió de la informació en qualsevol suport |
| A quines categories s'aplica? | Bàsica, Mitjana i Alta | Bàsica, Mitjana i Alta |
| Amb quina freqüència? | Regularment | Regularment |
| Avalua l'eficàcia? | No s'esmenta expressament | Sí, expressament |
| Evidència principal | Pla i registres d'execució | Pla formatiu i avaluació d'eficàcia |
On encaixa NetSereno
Els nostres serveis de formació en risc humà i simulació de pesca de credencials (phishing) generen les evidències que demanen aquestes dues mesures: avaluació del risc humà, cursos amb registre de qui els ha completat, quan i amb quin resultat, i resultats de simulacions que permeten mesurar-ne l'eficàcia.
L'ENS no demana «haver fet formació». Demana demostrar que el personal sap el que ha de saber i fa el que ha de fer. Aquesta és l'evidència que us deixem.