Ο πελάτης θέλει να γνωρίζει εάν διενεργούμε προσομοιώσεις phishing στους υπαλλήλους

Οι δοκιμές phishing αποτελούν μέρος της ευαισθητοποίησης, όχι ένα ξεχωριστό σημείο μέτρων

Οι προσομοιώσεις phishing εμπίπτουν στο άρθρο 21 παράγραφος 2 στοιχείο γ NIS2: κυβερνοϋγιεινή και κατάρτιση στην ασφάλεια. Δεν υπάρχει απαίτηση ότι πρέπει να είναι ειδικά μια δοκιμή phishing — η οδηγία αναφέρει «βασικές πρακτικές κυβερνοϋγιείας και κατάρτιση στη σφαίρα της κυβερνοασφάλειας». Μια προσομοίωση phishing είναι μία από τις συνήθεις εφαρμογές αυτής, όχι αυτόνομη υποχρέωση. Όποιος δεν διεξάγει προσομοιώσεις αλλά έχει άλλες δραστηριότητες ευαισθητοποίησης — ηλεκτρονική μάθηση, συνεδρίες εργαλείων, ένα μήνυμα intranet σχετικά με ένα τρέχον κίνδυνο — πληροί τη βασική αρχή, παρότι η απάντηση στο κυριολεκτικό ερώτημα είναι «όχι».

Η ετικέτα εξαρτάται από αυτό που κάνετε στην πραγματικότητα. Αν διεξάγετε περιοδικά δοκιμές phishing με αναφορά προς τη διοίκηση, τότε το «ναι» είναι τεκμηριωμένο και μπορείτε κατά περίπτωση να παρέχετε τη συχνότητα και το τελευταίο αποτέλεσμα (ποσοστό κλικ, ποσοστό αναφοράς). Αν δεν το κάνετε, τότε το «όχι» είναι η σωστή απάντηση — μην συμπληρώνετε αυτό που θέλει ο πελάτης σας. Αν αμφιβάλλετε αν το πρόγραμμα κατάρτισης χωρίς προσομοιώσεις μπορεί ωστόσο να θεωρηθεί ως επαρκής ευαισθητοποίηση, τότε βοηθάει να κοιτάξετε πρώτα το ευρύτερο ερώτημα αν οι υπάλληλοι λαμβάνουν κατάρτιση στις βασικές πρακτικές κυβερνοϋγιείας· οι δοκιμές phishing αποτελούν μέρος αυτού, όχι το σύνολο.

Όπου βρίσκεται: άρθρο 21 παράγραφος 2 στοιχείο γ και Παράρτημα A.6.3

Το άρθρο 21 παράγραφος 2 στοιχείο γ NIS2 αναφέρει κυβερνοϋγιεινή και κατάρτιση ως ένα από τα δέκα υποχρεωτικά μέτρα για τις οντότητες που εμπίπτουν στο πεδίο εφαρμογής της οδηγίας — αν ισχύει, περιγράφεται στο αν η επιχείρηση αυτή καθαυτή εμπίπτει στη NIS2. Το ISO/IEC 27001 Παράρτημα A αναπτύσσει αυτό στο μέτρο A.6.3, «information security awareness, education and training», χωρίς να αναφέρει τις προσομοιώσεις phishing ως υποχρεωτικό εργαλείο. Ο ολλανδικός Νόμος Κυβερνοασφάλειας θα μεταφέρει αυτό το άρθρο μόλις ο νόμος αυτός τεθεί σε ισχύ στις 15 Αυγούστου 2026· έως τότε η ίδια η οδηγία είναι η πηγή αναφοράς για όποιον αξιολογεί έναντι NIS2, και η αρχή για όποιον αξιολογεί έναντι ISO 27001.