L'ENS no publica cap model oficial de registre de formació. El que buscarà l'auditor és evidència verificable, persona per persona, que cada membre del personal ha rebut la conscienciació i la formació que li corresponen: quan les va rebre, sobre quins continguts i amb quin resultat. Si no ho podeu demostrar així, la mesura no està implantada.
Què demanen les mesures mp.per.3 i mp.per.4 sobre el registre?
Cap de les dues no defineix un format, però totes dues exigeixen accions regulars: conscienciar el personal sobre el seu paper, les normes de bon ús i la identificació de comportaments sospitosos (mp.per.3), i formar-lo en el que requereix el seu lloc (mp.per.4). La clau del registre és la traçabilitat per persona, no l'assistència a una xerrada general.
Expliquem la diferència entre les dues mesures a Què exigeixen les mesures mp.per.3 i mp.per.4 de l'ENS? Per al registre, el que importa és que l'auditor voldrà veure'n el desglossament individual.
Quins elements buscarà l'auditor al vostre registre?
Qui va rebre la formació, identificat individualment; quan la va rebre; sobre quin contingut o mòdul; que arribi a tota la plantilla inclosa en l'abast del sistema, i que els continguts responguin als riscos reals de cada funció. A més, el registre ha d'estar al dia i cobrir el període que s'audita.
L'actualitat importa: un registre de fa anys sense continuïtat no demostra que la mesura s'apliqui «regularment», com demanen mp.per.3 i mp.per.4.
- Qui: nom i cognoms, identificats individualment.
- Quan: data de realització.
- Sobre què: contingut o mòdul concret.
- Cobertura: tota la plantilla inclosa en l'abast del sistema.
- Vinculació amb el risc: continguts adaptats als riscos de cada funció, no un temari genèric.
Quin format ha de tenir el registre?
El que vulgueu, sempre que sigui evidència. El més habitual és una matriu de formació o un registre individual, en un full de càlcul, una eina de gestió o la mateixa plataforma de formació. L'auditor avaluarà que vinculi persona, data, contingut i resultat, i que tingui al darrere un procediment i una avaluació d'eficàcia.
- Un procediment que defineixi qui s'ha de formar, en què i amb quina freqüència.
- Un registre que vinculi persona, data, contingut i resultat.
- Que el registre cobreixi el període avaluat a l'auditoria.
- Evidència d'eficàcia: no només que s'ha fet la formació, sinó que s'ha avaluat si ha funcionat. L'ENS demana expressament que «se evaluará la eficacia de las acciones formativas».
Serveix una llista d'assistència com a registre de formació?
Per si sola, difícilment. Un full de signatures d'una sessió és un registre d'assistència, no de formació, i és probable que l'auditor el consideri insuficient: no demostra que s'hagi entès el contingut, ni que se n'hagi avaluat l'eficàcia, ni que el contingut estigui adaptat al lloc, ni que hagi arribat a tot el personal.
El registre que funciona és el que individualitza: persona, contingut, data, resultat de l'avaluació i, si escau, repetició periòdica.
Compten els simulacres de pesca de credencials com a evidència?
No són un registre de formació, però sí una evidència complementària molt útil. La taxa de clic, la taxa de comunicació i la seva evolució entre campanyes demostren que la conscienciació té un efecte mesurable sobre el comportament. Una millora sostinguda en la taxa de comunicació de correus sospitosos reforça la conformitat amb mp.per.3.
Resum: què us demanen realment
| Element | Què espera l'auditor | Què no sol servir com a evidència |
|---|---|---|
| Identificació individual | Nom i cognoms de cada persona formada | Una llista d'assistència sense desglossament individual |
| Data | Data concreta de realització | «Es va fer formació el 2024» |
| Contingut | Temari o mòdul concret, adaptat al risc del lloc | «Formació genèrica en ciberseguretat» |
| Cobertura | Tota la plantilla de l'abast | Només un departament o el personal tècnic |
| Eficàcia | Avaluació de l'aprenentatge o del canvi de comportament | Cap avaluació |
| Periodicitat | Registres al dia que cobreixen el període auditat | Un registre únic de fa tres anys |
| Format | Matriu o registre individual (full de càlcul, eina, plataforma) | No hi ha cap model oficial obligatori |
On encaixa NetSereno
Els nostres serveis de formació en risc humà i simulació de pesca de credencials (phishing) generen des del primer dia el tipus d'evidència que un auditor de l'ENS espera trobar:
- Registre individual per persona, data, mòdul i resultat.
- Avaluació del risc humà per prioritzar continguts.
- Qüestionaris i resultats que permeten avaluar l'eficàcia.
- Evolució de les simulacions de phishing com a evidència complementària.
Més que un Excel endreçat
No es tracta de tenir un full de càlcul més o menys endreçat, sinó de poder demostrar, amb dades, que la formació no és un tràmit, sinó una mesura de seguretat que funciona. Això és el que buscarà l'auditor.