въпросникът пита дали провеждаме фишинг тестове сред персонала

Фишинг тестовете са доказателство при повишаване на осведомеността, не при контрол на достъпа

Фишинг симулациите са част от програмата за повишаване на осведомеността на член 21, параграф 2, буква г NIS2, а не от контрола на достъпа или MFA. Въпросът следователно не тества дали техниката ти е в ред, а дали служителите са обучени да разпознават социална инженерия. Ако имаш периодичен фишинг тест с докладване и последващо действие (например допълнително обучение за този, който щракне), тогава това е ясна "да" със силен доказателствен документ. Ако имаш само електронно обучение без симулация, отговорът често все пак е "не" на този конкретен въпрос — въпросникът обикновено изрично пита за тест, а не за обучение в общ смисъл.

Без фишинг тест "не, но" е честният отговор тук: посочи тогава какво има всъщност, като например задължително обучение за повишаване на осведомеността или бутон за докладване на подозрителни имейли. Това не е слаба позиция — много компании започват с обучение и разширяват симулациите по-късно. Ако се съмняваш дали кампанията ти е достатъчно представителна (например един тест годишно в сравнение с месечно), тогава е по-добре да постави "все още да се определи" и да попита вътрешно при това, кой управлява кампаниите, обикновено IT или HR. Проверете също дали тази тема е отделена от обучението, което служителите получават в областта на кибер хигиената в по-широк смисъл — някои клиенти пътят това в два отделни въпроса, други го събират заедно.

Откъде идва това: член 21, параграф 2, буква г

Член 21, параграф 2, буква г на NIS2 изрично споменава "основни практики на кибер хигиена и обучение в областта на кибер сигурността" като една от десетте задължителни мерки. Фишинг симулациите на практика попадат под това задължение за обучение; ISO/IEC 27001 Приложение A споменава мерки за повишаване на осведомеността и обучение в същия дух, без да поименува фишинг тест като отделна изискване. Ако сам попадаш под Закона за кибер сигурността като субект, който попада под NIS2 директивата, тогава от влизането в сила на закона това е една от мерките, върху които е възможен надзор — за сега остава главно въпрос, който клиентите уже задават сами, предварително на този закон.