セキュリティ意識向上トレーニングプログラム
セキュリティ意識向上トレーニングプログラム
GitLabセキュリティ意識向上トレーニングプログラムは、サイバーセキュリティの脅威、脆弱性、攻撃に関する知識と識別力を高めるための継続的なトレーニングをGitLabチームメンバーに提供します。セキュリティ意識向上トレーニングは、GitLabのサードパーティプロバイダーであるProofPointによって提供され、外部規制要件を満たし、顧客への信頼を強化するのに役立ちます。トレーニングキャンペーンは、GitLabチームメンバーが自分自身とGitLabを損失や危害から保護するために必要な情報を提供し、毎日GitLabを保護する自分の役割を強調し、セキュリティのベストプラクティスを使って正しい意思決定をする力を与えるように設計されています。
セキュリティ意識向上トレーニングはいつ実施されますか？
新入社員向けセキュリティ意識向上トレーニングは、オンボーディング中に完了することが必須です。新入社員向けセキュリティトレーニングは、Okta経由でProofPointタイルにアクセスするとすぐに、オリエンテーションの初日にあなたに自動的に割り当てられます。
年次セキュリティ意識向上トレーニングは、各会計年度の第2四半期に実施されます。必要に応じて、追加の役割ベースの意識向上トレーニングが割り当てられる場合があります。セキュリティ意識向上トレーニングが行われる前に、#whats-happening-at-gitlab Slackチャンネルに、GitLab組織への一般的な通知が投稿されます。
セキュリティ意識向上トレーニングは誰が受け取りますか？
新入社員向けおよび年次セキュリティ意識向上トレーニングの完了は、GitLab, Inc.のコンプライアンス要件です。これらの要件の一部として、すべてのアクティブなGitLabチームメンバー、契約社員/Temporary Service Providers (TSP)、およびRed、Orange、Yellowのデータにアクセス権を持つその他の100%が、このトレーニングを正常に完了することが必須です。
例外は、キャンペーン開始時に長期休暇中の個人に対して設けられます。長期休暇からの復帰時には、後日キャッチアップキャンペーンに追加されます。
暦年内に同等のトレーニング完了の証拠を示すことができる契約社員/TSPは、キャンペーンの例外としてマークされます。
年次セキュリティ意識向上トレーニングについては、当年5月1日より前に採用されたすべてのチームメンバーは、トレーニングへのアクセスリンクを含むGitLab Security [email protected] からProofPoint経由でメールを受信します。当年5月1日以降に採用されたGitLabチームメンバーは、オンボーディングの一部として新入社員向けセキュリティオリエンテーショントレーニングを受けているため、翌年まで年次セキュリティ意識向上トレーニングを受講する必要はありません。
すべてのアクティブなGitLabチームメンバー＋契約社員/TSPの100%が、追加のセキュアコーディングトレーニングモジュールも完了する必要があります。
デフォルトでは、Cost of Sales、Development、Incubation Engineering、Infrastructure、Qualityのサブ部門および、エンジニアリング部門内のGitLabチームメンバーで、EngineerまたはDeveloperを含む役職を持ち、かつ役割の一部としてコードを書く（Infra-as-codeも含む）チームメンバーには、追加のトレーニングが割り当てられます。
エンジニアリング以外のFinanceやMarketingなどの他の部門にも、コードを書くチームメンバーが含まれており、トレーニングを完了する必要があります。
契約社員（Temporary Service Providers）
本番データへのアクセス権を持つ内部契約社員/TSP（GitLabメールアドレスあり）と外部契約社員/TSP（GitLab以外のメールアドレス）は、オンボーディング中に新入社員向けセキュリティトレーニングを完了し、その後年次セキュリティ意識向上トレーニングを完了することが必須です。
内部契約社員/TSPは、ProofPoint経由でトレーニングが割り当てられます。外部契約社員/TSPは、トレーニング動画とハンドブックリンクが含まれたメールを受信してレビューします。
トレーニングの例外
- 内部システムや機密データへのアクセス権を持たない契約社員/TSPは、GitLabの年次トレーニングを完了する必要がありません。ただし、オンボーディング中にトレーニングを完了する必要があります。
- オフボーディングされた契約社員/TSPは、トレーニングを完了する必要はありませんが、解除の証明としてオフボーディングIssueが提供される必要があります。
- 暦年内に同等のトレーニング完了の証拠を示すことができる契約社員/TSPは、キャンペーンの例外としてマークされます。例外リクエストが事前に存在する、または作成される必要があります。
長期休暇中で例外としてマークすべきチームメンバーがいる場合はどうすればよいですか？
People Ops＋セキュリティガバナンスは、長期休暇中のチームメンバーの例外をマークする自動化プロセスを作成するために協力しています。ただし、現在は手動プロセスのため、リストはリアルタイムではない場合があります。レポートはトレーニングキャンペーン開始の1週間前に提供され、レポートに含まれるチームメンバーは現在のトレーニングキャンペーンから削除され、例外としてマークされます。
チームメンバーがアクティブキャンペーンの期日までにトレーニングを完了できない場合、例外リクエストを提出し、People Opsによって承認される必要があります。チームメンバーは例外としてマークされ、アクティブキャンペーンから削除されます。
あなたがマネージャーで、ダイレクトレポートの1人がトレーニングを完了していないが、長期休暇中であると通知された場合、例外リクエストを提出し、@sec-governance をタグ付けして、更新を提供してください。アクティブキャンペーンからチームメンバーを削除するための正しい手順に従います。
トレーニングにはどのくらい時間がかかりますか？
セキュリティ意識向上トレーニングは、チームメンバーの時間からのセキュリティ投資のベストリターンを見つけるために、30分に制限されています。
トレーニングでは何がカバーされますか？
セキュリティ意識向上トレーニングはGitLabのセキュリティプログラムの重要な構成要素であり、GitLabチームメンバーがセキュリティの中核コンピテンシーで継続的に教育されることを保証する鍵です。
GitLabにカスタマイズされたハンドブックファーストのトレーニングがProofPoint経由で提供されます。完全なクレジットを受け取るには、トレーニング＋年次ポリシーレビューを完了して、学んだことを識別する必要があります。
トレーニングが完了しない場合はどうなりますか？
チームメンバーはトレーニングを完了するために最大15日間与えられます。トレーニングが完了しない場合、セキュリティガバナンスはトレーニング完了を要請する週次リマインダー通知を送信します。 必要に応じて、完了支援のために未完了の割り当てトレーニングをマネージャーに伝達し、必要に応じてVPにエスカレーションします。完了したトレーニングのデモンストレーションは、セキュリティ意識向上トレーニングプログラムへの準拠をサポートし、規制要件を強化します。
私たちは規制目的のために100%の参加を達成する必要があります。必要な期間内（例外を除く）にトレーニングを完了しないチームメンバーは、トレーニングが完了するまでアクセスが無効化されるという結果になる場合があります。さらなるペナルティはケースバイケースで発生する場合があります。
セキュリティ意識向上トレーニングメトリクス
セキュリティガバナンスチームは、年次セキュリティ意識向上トレーニング完了メトリクスを追跡し、GitLab Issueに公開します。トレーニングキャンペーンが完了すると、セキュリティガバナンスチームはSecurity Awareness Training Programプロジェクトで結果を提供します。
セキュリティ意識向上トレーニングプログラム成熟度モデル
GitLabは、プログラムの成熟度を測るためにSANS Security Awareness Maturity Modelを活用しています。GitLabの現在の成熟度レベルはStage 2 - Compliance Focusedです。
質問と回答
なぜ外部ベンダーを使用しているのですか？
- GitLabの内部学習プラットフォームは、まだセキュリティトレーニング要件をサポートするために必要な機能を備えていません。堅牢なトレーニングと信頼できる一貫したプロセスを提供できる外部ソリューションを利用することが決定されました。私たちは現在、年次FY2xセキュリティ意識向上トレーニングキャンペーンを実施するためにProofPointと協力しています。
トレーニングにはどうやってアクセスしますか？
- すべてのユーザーは、OktaアカウントダッシュボードにProofPointタイルが追加され、シングルサインオン経由で管理されます。トレーニングが割り当てられると、すべてのユーザーは割り当てられたトレーニングにアクセスするためのパーソナライズされたリンクを受け取ります。
なぜ私が選ばれたのですか？
- すべてのGitLabチームメンバー、契約社員、および公開可能ではなく、GitLabや顧客に何らかの危害や重大な影響を与える可能性のあるデータにアクセス権を持つすべての人が、新入社員オリエンテーション中であれ年次であれ、セキュリティ意識向上トレーニングを完了する必要があります。
新入社員トレーニングを受けたばかりです、なぜ再度受ける必要があるのですか？
- 最近オンボードされたチームメンバーが新入社員セキュリティトレーニングを受けていることは認識していますが、年次セキュリティ意識向上トレーニングには皆にとって価値があると考える追加コンテンツがあるため、5月1日より前に採用された人は誰でもトレーニングを完了する必要があります。
含まれたくありません、どうすれば自分を除外できますか？
- すべてのGitLabチームメンバーには、自分自身、チームメンバー、会社、顧客の安全を保つ責任があります。すべての人が割り当てられたトレーニングを完了する必要があります。
トレーニングのステータスは公に投稿されますか？
- いいえ、私たちはチームメンバーの成功や失敗をトレーニングに直接関連付けるメトリクスを投稿または作成することは決してありません。会社全体でメトリクスをリリースする場合、社内および公開で共有される非識別メトリクスを生成します。
体験についてフィードバックを提供するにはどうすればよいですか？
- フィードバック、コメント、懸念事項を、このフィードバックIssueに自由に追加してください。
追加の質問、コメント、懸念事項？
セキュリティガバナンスチームに連絡してください！
c955a93f)