Краткият отговор
Сертификатът за завършване може да покаже, че посочено по име лице е изпълнило документираните критерии на доставчика за конкретна версия на курса. Сам по себе си той не установява съответствието на финансовия субект с DORA и не означава квалификация, одобрена от ЕС. Оценете учебната програма, оценяването и документацията за обучението, на които се основава сертификатът, а не само заглавието на документа.
1. Разграничавайте завършването на обучението от съответствието на организацията с изискванията
Член на управителния орган може да завърши подходящ курс, а организацията все още да има непроверена зависимост при възстановяване, одитна констатация с просрочени коригиращи действия или неподходящ механизъм за прекратяване на използването на доставчик. Обучението може да му помогне да разпознае тези проблеми и да ги подложи на критично обсъждане. То не ги премахва. Сертификатът трябва да описва постигнатото в обучението, без да го превръща в заключение за всички контролни механизми на субекта.
Разпоредбите на DORA за обучението се съсредоточават върху знанията, уменията, подходящото обучение и отговорностите на съответните роли. Член 5, параграф 4 и член 13, параграф 6 не предписват конкретна схема за акредитация или единен изпит и праг за успешно полагане. Доставчикът на обучение може да избере начин за оценяване и да издава сертификат за завършване, но следва да представя тези критерии като част от организацията на програмата. Не приемайте знаме на ЕС, печат с официален вид или думата „сертифициран“ на рекламна страница като доказателство за одобрение от регулатор.
За финансов субект, който прилага общата рамка, обучението на управителния орган трябва да подпомага способността му да разбира и оценява риска, свързан с ИКТ, и оперативните му последици. За субектите, които отговарят на условията за опростената рамка по член 16, важат различни разпоредби, включително отделно изискване за обучение на персонала и ръководството. Сертификатът не бива да твърди, че член 5, параграф 4 е приложимото основание за всеки клиент. Установете поотделно регулаторния обхват и приложимата рамка заедно с лицата, отговорни за правната оценка на субекта и оценката на съответствието му.
2. Установете точно кой какво е завършил
Полезният документ за завършване посочва обучаемия, организацията, заглавието на курса, версията на курса, датата на завършване, издателя и уникален идентификатор на сертификата. Професионалната роля дава контекст защо е възложено обучението. Когато оценяването е част от критериите, документацията трябва да показва резултата и определения от доставчика праг за успешно преминаване. Избягвайте документ, който само посочва, че притежателят му е участвал в обучение по DORA, без да обяснява какво означава това.
Погрижете се сертификатът да остава разбираем и след промени в каталога. При бъдеща проверка може да е необходимо да се установи дали участникът е завършил кратък въвеждащ пробен курс или програма от осем модула за ръководители. И в двата случая може да има запис за завършване, но те не са взаимозаменяеми. Самото заглавие не е надеждна историческа справка, защото маркетинговите наименования могат да се променят. Версията трябва да обозначава точно определени учебна програма и модел на оценяване, които доставчикът може да обясни.
Разграничете самоличността от правомощията. Фактът, че някой е завършил курс за членове на управителен орган, не доказва, че е член на такъв орган, че има правомощия да одобрява поемането на риск или че има външно потвърден професионален статут. В BlueTeam Academy професионалната роля се посочва от обучаемия и се запазва в данните към момента на завършване; това не е независима проверка на квалификацията или правомощията. Компаниите следва да използват собствената си управленска документация, за да потвърдят кой какви задължения има и защо му е възложена конкретна програма.
3. Погледнете отвъд сертификата към доказателствата за наученото
По-същественият въпрос не е дали доставчикът създава добре оформен PDF документ, а дали доказателствата показват какво обучение е проведено. Поискайте информация за възложените модули, учебните цели, версията, датите на завършване на модулите, опитите за оценяване и резултата. Когато програмата включва писмени решения или сценарии, изяснете как се съхраняват и дали някой е прегледал качеството им. В записа трябва изрично да се посочва дали е извършен такъв преглед.
Записът за завършена страница може да удостоверява, че участникът е потвърдил прочитането ѝ. Въпрос с избор на решение може да покаже дали той е избрал обоснован отговор за конкретна ситуация. Оценяването по сценарий проверява как прилага наученото при няколко последователни решения. Работна сесия с водещ може да разкрие разногласия и скрити допускания. Всеки от тези подходи дава различна информация. Нито един не бива да се представя без обяснение като цялостна независима оценка на професионалната компетентност.
Разгледайте сценарий за възстановяване: основната услуга и средата за възстановяване използват един и същ облачен доставчик на услуги за управление на самоличността. Участник, който просто помни номер на член, не е доказал, че може да оспори оценката за възстановяване. По-полезно упражнение е да се попита кои общи зависимости — компоненти или услуги, на които разчитат няколко системи — кои стъпки за сверяване на данните и кои доказателства трябва да се разгледат, преди да се приеме твърдението на ръководството. Съхраняването на разсъжденията на участника подпомага обсъждането на тази преценка. Ако разсъжденията се съхраняват, но не се оценяват, това трябва да е посочено в сертификата и в записа с доказателствата.
4. Съхранявайте версиите, опитите и историята на опреснителните обучения
Записите за обучението трябва да се запазват при обичайните промени в курса и профила на участника. Ново издание на програмата не бива да презаписва предишно оценяване или да превръща завършен въвеждащ курс в по-висока квалификация. Съхранявайте версията на курса, критериите и съответните идентификационни данни във вида им към момента на издаване на сертификата. Ако участникът по-късно смени ролята си, оригиналният сертификат трябва да остане разбираем исторически запис.
Съхранявайте неуспешните опити като доказателства за процеса на учене, вместо да показвате само най-добрия резултат без контекст. Успешният последващ опит показва, че участникът впоследствие е изпълнил критериите на програмата. Това не означава, че предишните затруднения вече нямат значение за подкрепата при учене. Администраторите на компанията може да поискат да обсъдят теми, по които многократно се допускат грешки, или да организират допълнително упражнение. Отчетът трябва да представя резултата точно, без неуспешният първи опит да се използва като оценка за цялостните професионални способности на човека.
Опреснителните обучения трябва да имат собствена версия и история на завършванията. Предложената дата за преглед служи за планиране, а не е дата, на която сертификатът автоматично губи валидност по закон. Съществени промени може да наложат по-ранно обучение. Записите за работните семинари трябва да се водят отделно от записите за завършени курсове с оценяване, а корекциите трябва да оставят одитна следа. Вижте колко често се изисква обучение по DORA за връзката между редовния цикъл, нуждите според ролите и актуализациите, наложени от промени.
5. Предоставете на корпоративния клиент доклад за пропуските
Компанията има нужда от повече информация от броя на изтеглените сертификати. Справката трябва да показва на кого коя версия е възложена, какво остава незавършено, крайния срок и резултата. Посочете непреминатите модули: участник, който още не е стигнал до непрекъсваемостта на дейността или надзора върху доставчиците, е в различна ситуация от участник, който е завършил тези модули, но още не е положил изпита. В историята трябва ясно да се виждат отменените възлагания и неактивните членства.
Свържете идентификатора на сертификата със записан успешен опит за преминаване на оценяването, вместо да позволявате на браузъра да генерира твърдение за успешно преминаване въз основа на локалното състояние на страницата. Достъпът до доказателствата трябва да е ограничен до съответната организация: администраторът на една компания не бива да може да извлича сертификати или писмени отговори на друга компания. Участниците трябва да могат да получават собствените си записи, без да получават достъп до личните доказателства за обучението на колегите си.
При възложено опреснително обучение разграничете завършването преди възлагането от новия опит, който се очаква след него. Иначе предишно успешно преминаване може веднага да създаде впечатление, че новото задължение за обучение е изпълнено. Същевременно запазете предишния запис, вместо да го изтривате. Полезният фирмен отчет подпомага решенията за подкрепа, последващи действия и просрочени задачи. Той не бива да превръща общия процент на завършване в твърдение, че организацията спазва DORA.
6. Отразявайте достоверно контекста на компанията и проведените работни сесии
Програмата за ръководители става по-полезна, когато обучаемият я свърже с финансовите услуги, зависимостите и рисковия профил на субекта. Компанията може да опише общия контекст на дадена услуга и да го използва в задачи за вземане на решения. Не включвайте в учебните бележки лични данни на клиенти, данни за достъп или подробности за слабости, които могат да бъдат използвани за атака. Целта е да се разгледат решенията и допусканията, а не да се създаде още едно неконтролирано хранилище на чувствителни оперативни материали.
За незадължителен семинар запишете датата, продължителността, водещия, участниците, целите, контекста на услугата и важните решения. Отбележете нерешените въпроси, отговорните за последващите действия и доказателствата, които се очакват по-късно. Ако записът е въведен от фирмен администратор, посочете, че той представлява потвърждение от това лице. Записът не бива автоматично да води до издаване на сертификата на Академията за курс с оценяване или да внушава, че Академията е наблюдавала независимо сесията.
Корекциите трябва да имат ясна история. Ако присъствието е записано за грешния човек, запазете обоснована корекция или запис за анулирането и създайте правилния запис по обичайния ред. Не заличавайте несъответствието без следа. Проверяващият трябва да може да разбере какво се е случило, без да приема, че всяка промяна е нарушение. По същия начин провеждането на работна среща може да разкрие пропуск в контролните мерки, вместо да го отстрани; отчитайте отделно оперативните действия за отстраняването му и доказателствата, че участниците са го обсъдили.
7. Въпроси към доставчик на обучение по DORA
Преди покупката поискайте от доставчика да демонстрира реален урок, оценяване по сценарий и примерен експорт на доказателства. Проверете дали обучението разглежда решенията на управителния орган относно риска, непрекъсваемостта, възстановяването, ресурсите, одита и договореностите с трети страни. Общото обучение за осведоменост на служителите може да даде полезни знания, но няма същата учебна цел като управлението на риска в областта на ИКТ. Изяснете за каква аудитория е предназначен продуктът и кои области изискват допълнителна работа, съобразена с компанията.
Попитайте как доставчикът описва продължителността и честотата на обучението. Три часа може да са ориентировъчно време за учене, включващо упражнения; не бива да се представят като законово установен минимум. Ежегодното опреснително обучение може да е практическа препоръка; не бива да се рекламира като универсален законов интервал. Попитайте как съществените промени водят до актуализиране на съдържанието и как платформата съхранява по-старите версии. Ако доставчикът твърди, че има акредитация, поискайте да посочи точната схема и проверете независимо какво обхваща тя, вместо да разчитате на общ знак за акредитация.
Накрая проверете как на практика се събират и използват доказателствата за обучението. Могат ли администраторите Ви да възлагат обучения на правилните хора, да виждат незавършените модули, да експортират резултати и да установяват версията на сертификата? Могат ли обучаемите да получат собствения си запис за обучението? Разграничават ли се присъствието на семинар и оценяването? Обяснява ли доставчикът ограниченията на автоматичното оценяване? Тези въпроси помагат да прецените какво означава сертификатът на практика и дали продуктът подпомага управлението Ви, вместо просто да добавя още един документ в папка.
8. Какво записва BlueTeam Academy
DORA обучение по киберсигурност за мениджъри включва осем модула, всеки с писмена задача и въпрос за вземане на решение, както и финално оценяване с 16 въпроса по сценарии. За завършване трябва да преминете проверките в модулите и да предадете писмените задачи, след което да постигнете поне 80% на финалното оценяване. Това са критерии на академията. Ориентировъчното време за обучение е около три часа, включително задачите и оценяването. Всеки участник работи със собствено темпо.
Сертификатът за завършено обучение запазва данните за обучаемия, организацията, декларираната професионална роля, версията, целите, датите на модулите и резултата от оценяването към момента на издаване. Писмените отговори се съхраняват като доказателства, но професионалното им качество не се оценява автоматично. Сървърът създава сертификата след успешен опит. Документът за печат може да се запази като PDF от браузъра, а експортирането на доказателства предоставя на упълномощените потребители структурирания запис, на който той се основава.
Фирменият отчет включва също възложените модули, пропуските, идентификаторите на сертификатите, историята на опреснителните обучения и записите от работните сесии. Отделното опреснително обучение помага знанията да останат актуални; дискусията за конкретната компания помага те да бъдат относими към реалните услуги. Обхватът на твърдението е ограничен до следното: записът документира обучението в академията и критериите ѝ за завършване. Той не представлява акредитация от ЕС, лиценз за професионална практика или заключение относно съответствието на финансовия субект с DORA.
Въпроси на ръководителите
Изисква ли се по член 5, параграф 4 или член 13, параграф 6 одобрен от ЕС сертификат за обучение по DORA?
Тези разпоредби не посочват задължителна схема за акредитация или предписан сертификат. Доставчикът може да издава сертификат за завършване според собствени, оповестени критерии. Купувачът трябва да прегледа учебната програма, оценяването, съответствието с ролята и доказателствата и не бива да приема оформлението или формулировките на документа като знак за одобрение от ЕС.
Изтича ли валидността на сертификата след дванадесет месеца?
Една програма може да препоръчва интервал за опреснително обучение или преглед, но това е различно от твърдението, че DORA определя за всеки сертификат за обучение универсален законов срок на валидност от дванадесет месеца. Вземете предвид приложимата рамка, надзорните очаквания, ролята, риска и съществените промени. Запазете първоначалната дата на завършване и версията и документирайте последващото обучение като отделна дейност.
Може ли участието в семинар да замени оценяването по сценарий?
В програмата на академията участието в практическо занятие е отделно от завършването с оценяване и не води автоматично до издаване на сертификат за курса. Компанията може да използва практическите занятия за задълбочаване на знанията и преглед на аргументацията, но в записа трябва да е посочено какво е наблюдавано, от кого и по какви критерии. Не представяйте участието като независимо оценен резултат.
Източници и допълнителна информация
Първично законодателство и надзорни материали. Практическите примери и шаблони в това ръководство са предложения, а не предписани от регулатора формуляри.
- DORA: разпоредби за управлението и обучението
- EIOPA: Акт за цифровата оперативна устойчивост
- Въпроси и отговори на EIOPA 250–3380: пропорционалност на обучението
Това ръководство има образователна цел. Потвърдете обхвата, приложимата рамка и надзорните изисквания с правния си екип и екипа по съответствие.
