Εκπαίδευση προσωπικού: είναι τεκμηριωμένη για τον ελεγκτή;

Σχεδόν κάθε οργανισμός έχει κάνει «ένα σεμινάριο». Ο ελεγκτής όμως δεν ρωτά αν έγινε σεμινάριο. Ρωτά αν υπάρχει πρόγραμμα, αν επαναλαμβάνεται, αν έφτασε σε όλους και στη διοίκηση, και πού είναι τα τεκμήρια. Το εργαλείο σου δείχνει σε τέσσερα βήματα πόσο καλύπτεις τις απαιτήσεις της ΚΥΑ 1689/2025, της Οδηγίας NIS2, του ISO/IEC 27001 και του GDPR, και σου δίνει έτοιμο φάκελο τεκμηρίωσης. Δεν χρειάζεται εγγραφή και δεν δίνεις κανένα όνομα.

Τι ζητά κάθε πλαίσιο

ΚΥΑ 1689/2025. Είναι η πιο συγκεκριμένη. Το άρθρο 21 ζητά περιοδικά προγράμματα για όλο το προσωπικό και τα μέλη της διοίκησης, με ελάχιστη θεματολογία επτά θεμάτων: email και phishing, κωδικοί, MFA, ασφαλής περιήγηση, οικιακό δίκτυο και τηλεργασία, αντίγραφα ασφαλείας, αναφορά περιστατικού. Ζητά επίσης εξειδικευμένη εκπαίδευση για το τεχνικό προσωπικό ανά ρόλο, και αξιολόγηση και επικαιροποίηση των προγραμμάτων. Το άρθρο 4 (περίπτωση βε) ζητά από τη διοίκηση να παρακολουθεί η ίδια περιοδικά εκπαίδευση και να εξασφαλίζει ότι εκπαιδεύεται και το προσωπικό.

Οδηγία NIS2. Το άρθρο 20 παρ. 2 κάνει υποχρεωτική την εκπαίδευση των μελών της διοίκησης, ώστε να εντοπίζουν κινδύνους και να αξιολογούν τα μέτρα. Το άρθρο 21 παρ. 2 στοιχ. ζ βάζει την κυβερνοϋγιεινή και την κατάρτιση στα ελάχιστα μέτρα.

ISO/IEC 27001:2022. Η ρήτρα 7.2 ζητά επάρκεια με τεκμηριωμένη πληροφορία, η ρήτρα 7.3 ευαισθητοποίηση, και το control A.6.3 πρόγραμμα ευαισθητοποίησης, εκπαίδευσης και κατάρτισης.

GDPR. Δεν λέει «εκπαίδευση κυβερνοασφάλειας» αυτούσια. Το άρθρο 32 παρ. 4 όμως ζητά όσοι έχουν πρόσβαση σε δεδομένα να ενεργούν μόνο κατ’ εντολή, και η λογοδοσία του άρθρου 5 παρ. 2 σημαίνει ότι πρέπει να μπορείς να το αποδείξεις. Χωρίς εκπαίδευση και μητρώο, αυτό δεν στέκει.

Πώς βγαίνει το αποτέλεσμα

Κάθε απαίτηση παίρνει «Καλύπτεται», «Μερικώς» ή «Κενό», με κανόνες από τις απαντήσεις σου. Για να καλύπτεται πλήρως, η εκπαίδευση πρέπει να είναι περιοδική και εμπρόθεσμη, να φτάνει τουλάχιστον το 90% κάθε ομάδας και το 100% της διοίκησης, και να έχει τεκμήρια. Το ποσοστό ανά πλαίσιο είναι το άθροισμα προς το μέγιστο. Οι προσομοιώσεις phishing δεν είναι υποχρεωτικές, αλλά είναι ο πιο απλός τρόπος να μετρήσεις αν η εκπαίδευση αλλάζει συμπεριφορά, δηλαδή να τεκμηριώσεις την αξιολόγηση που ζητά η ΚΥΑ.

Πώς το κάνεις με Microsoft 365

Αν έχεις Microsoft Defender for Office 365 Plan 2 ή Microsoft 365 E5, το Attack simulation training στο Defender portal (Email & collaboration › Attack simulation training) σου δίνει δύο εργαλεία.

• Training campaigns. Αναθέτεις εκπαιδευτικές ενότητες απευθείας στους χρήστες, χωρίς προσομοίωση. Η καρτέλα Training δείχνει την ολοκλήρωση ανά campaign, και αυτή η εξαγωγή είναι το τεκμήριό σου.
• Simulations. Ασφαλείς προσομοιώσεις phishing με αναφορά για το πόσοι πάτησαν και πόσοι ανέφεραν. Από κύκλο σε κύκλο βλέπεις την τάση.

Η άδεια χρειάζεται για κάθε χρήστη που συμμετέχει, όχι μόνο για τον διαχειριστή. Και τα έτοιμα modules δεν καλύπτουν όλη τη θεματολογία της ΚΥΑ: τα θέματα για οικιακό δίκτυο, τηλεργασία και αντίγραφα ασφαλείας θέλουν δικό σου υλικό.

Δύο ακόμη ρυθμίσεις κάνουν την εκπαίδευση καθημερινή. Το κουμπί Report στο Outlook και το Report a call/meeting στο Teams κάνουν την αναφορά περιστατικού ένα κλικ. Τα policy tips του Microsoft Purview DLP δείχνουν στον χρήστη τον κανόνα τη στιγμή που πάει να στείλει ευαίσθητα δεδομένα.

Προσομοιώσεις και GDPR

Μια προσομοίωση phishing καταγράφει τη συμπεριφορά κάθε εργαζομένου. Αυτό είναι επεξεργασία δεδομένων προσωπικού χαρακτήρα. Ενημέρωσε τους εργαζόμενους εκ των προτέρων ότι γίνονται προσομοιώσεις και τι καταγράφεται. Δώσε στη διοίκηση μόνο συγκεντρωτικά αποτελέσματα. Όρισε ποιος βλέπει τα ατομικά και για πόσο κρατιούνται. Στόχος είναι η μάθηση, όχι η τιμωρία: όποιος πάτησε παίρνει επιπλέον εκπαίδευση, όχι επίπληξη.

Τι δεν καλύπτει το εργαλείο

• Την ποιότητα του υλικού. Μετρά αν έγινε εκπαίδευση και αν τεκμηριώνεται, όχι αν το περιεχόμενο είναι καλό.
• Επαλήθευση. Δεν συνδέεται στο tenant. Το αποτέλεσμα βασίζεται μόνο σε όσα δηλώνεις.
• Τις ειδικές απαιτήσεις του κλάδου σου. Κάποιοι τομείς έχουν επιπλέον κανόνες κατάρτισης.

Επίσημες πηγές

Το αποτέλεσμα είναι ενδεικτικό και δεν αποτελεί ελεγκτική γνώμη ή νομική συμβουλή. Το thecybersec.gr είναι προσωπικό blog και δεν εκπροσωπεί την Εθνική Αρχή Κυβερνοασφάλειας ή τη Microsoft.

🛠️ Θέλεις υλικό για την εκπαίδευση; Δοκίμασε το κουίζ phishing με δέκα σενάρια που καλύπτουν τα θέματα αα, αβ, αγ, αδ και αζ.

🛠️ Δεν ξέρεις αν υπάγεσαι; Κάνε τον έλεγχο υπαγωγής στον ν. 5160/2024 σε πέντε ερωτήσεις.

🛠️ Επόμενο βήμα: έλεγξε αν το Microsoft 365 σου είναι έτοιμο για τον ελεγκτή σε 22 ρυθμίσεις.