въпросникът пита дали провеждаме фишинг тестове при нашия персонал

Тестовете за фишинг са част от киберхигиената, не само от повишаването на осведомеността

Тестът за фишинг не е самостоятелно изискване, а доказателство за една от десетте мерки по член 21, параграф 2 на Директива (EU) 2022/2555: подточка g, киберхигиена и обучение по кибербезопасност. Самата директива не предписва фишинг симулация — тя се позовава на "основни практики в областта на киберхигиената и обучението в областта на кибербезопасността". Клиент, който конкретно попита за тестове за фишинг, преобразува този стандарт в конкретна, проверяема практика. По ISO 27001 това е включено в приложение A под контролната мяра за осведомяване, обучение и обучение на персонала: стандартът изисква програма, а фишинг тестът е най-често използваното доказателство за това.

Ако нямаш структурирани тестове за фишинг, тогава "не" е честният отговор — обучение по повишаване на осведомеността без симулация е нещо различно и преценяващият на другата страна обикновено това също знае. Много клиенти задават допълнителни въпроси относно честотата (годишно, тримесечно), относно това какво се случва със служителите, които попадат в капана, и дали има e-learning придружаващо. Ако има, но не е назовано като "тест за фишинг", опиши тогава какво вършиш в пояснителното поле вместо просто да отметнеш "да". Тази тема се отнася и до обучение в основни практики за кибер хигиенакъдето е по-широката задължителност за обучение — тестовете за фишинг обикновено са един ред от по-голямо политическо постановление.

Където това е посочено в директивата и стандарта

Член 21, параграф 2, подточка g на Директива (EU) 2022/2555 посочва киберхигиената и обучението по кибербезопасност като една от десетте задължителни мерки; Законът за кибербезопасност преобразува това един-към-един, когато влезе в сила на 15 август 2026 г. ISO/IEC 27001 приложение A разработва това по-нататък под контролната мяра за осведомяване и обучение на персонала, в рамките на която фишинг симулациите са обичайната форма на проверка. Дали собственото предприятие трябва да отговори строго на това, зависи от отговора на дали предприятието самостоятелно попада под NIS2 директивата — непрямият доставчик често получава въпроса чрез договорна преальба, не чрез преки законови задължения.