το ερωτηματολόγιο ρωτά εάν διεξάγουμε δοκιμές phishing στο προσωπικό

Τα phishing tests είναι απόδειξη κατά της επίγνωσης, όχι κατά της πρόσβασης

Οι phishing simulations ανήκουν στο πρόγραμμα συνειδητοποίησης του άρθρου 21 παράγραφος 2 στοιχείο γ NIS2, όχι στη διαχείριση πρόσβασης ή στο MFA. Επομένως, η ερώτηση δεν δοκιμάζει αν η τεχνική σας είναι σωστή, αλλά αν οι υπάλληλοι εκπαιδεύονται να αναγνωρίζουν την κοινωνική μηχανική. Εάν έχετε περιοδική δοκιμή phishing με αναφορά και παρακολούθηση (για παράδειγμα πρόσθετη εκπαίδευση για όσους κάνουν κλικ), τότε αυτό είναι μια σαφή "ναι" με ένα ισχυρό στοιχείο απόδειξης. Εάν έχετε μόνο ηλεκτρονική μάθηση χωρίς προσομοίωση, τότε η απάντηση είναι συχνά και πάλι "όχι" σε αυτήν την συγκεκριμένη ερώτηση — η ερωτηματολόγιο συνήθως ζητάει ρητά μια δοκιμή, όχι εκπαίδευση με γενική έννοια.

Χωρίς phishing test, το "όχι, αλλά" είναι η ειλικρινής απάντηση εδώ: τότε καταγράψτε τι υπάρχει πραγματικά, όπως υποχρεωτική εκπαίδευση ευαισθητοποίησης ή κουμπί αναφοράς για ύποπτα μηνύματα. Αυτό δεν είναι ένα αποδεκτό ασθενές σημείο — πολλές εταιρείες ξεκινούν με εκπαίδευση και αναπτύσσουν προσομοιώσεις αργότερα. Αν αμφιβάλλετε αν η εκστρατεία σας είναι αρκετά αντιπροσωπευτική (για παράδειγμα ένα test ανά έτος έναντι μηνιαίως), τότε προτιμήστε "ακόμη να προσδιοριστεί" και ρωτήστε εσωτερικά σε όποιον διαχειρίζεται τις εκστρατείες, συνήθως IT ή HR. Ελέγξτε επίσης αν αυτό το θέμα είναι χωριστό από την εκπαίδευση που λαμβάνουν οι υπάλληλοι στην κυβερνοασφάλεια με ευρύτερη έννοια — ορισμένοι πελάτες θέτουν αυτό σε δύο χωριστές ερωτήσεις, άλλοι το συνδυάζουν.

Από πού προέρχεται αυτό: άρθρο 21 παράγραφος 2 στοιχείο γ

Το άρθρο 21 παράγραφος 2 στοιχείο γ της NIS2 αναφέρει ρητά "βασικές πρακτικές στη σφαίρα της κυβερνοασφάλειας και κατάρτιση στη σφαίρα της κυβερνοασφάλειας" ως ένα από τα δέκα υποχρεωτικά μέτρα. Οι phishing simulations εμπίπτουν στην πράξη σε αυτή την υποχρέωση κατάρτισης· το ISO/IEC 27001 Annex A αναφέρει μέτρα ευαισθητοποίησης και κατάρτισης με τον ίδιο πνεύμα, χωρίς να αναφέρει ένα phishing test ως ξεχωριστή απαίτηση. Αν πέσετε σας υπό την οντότητα που εμπίπτει στο πεδίο εφαρμογής της οδηγίας NIS2, τότε αυτό είναι ένα από τα μέτρα στα οποία είναι δυνατή η εποπτεία από την έναρξη ισχύος — προς το παρόν παραμένει κυρίως μια ερώτηση που οι πελάτες ήδη θέτουν, σε ανταπόκριση σε αυτόν τον νόμο.