asiakas kysyy, toteutammeko phishing-testejä työntekijöille, entä jos emme

Phishing-testit ovat todiste, ei pakollinen muoto

Ei, phishing-testit eivät ole sinänsä pakollisia. Ratkaisevaa on, että työntekijät saavat säännöllistä koulutusta kyberturvallisuuden perusperiaatteista, ja phishing-testi on siitä konkreettisin todiste, jonka asiakas voi tarkistaa. Koulutus ilman testiä on vaikeampi todentaa; simulaatio, jossa on klikkausprosentti ja raportointi, on asiakkaalle välittömästi osoitettavissa. Tämän vuoksi tämä erityiskysymys esiintyy kysymyslistoissa usein erikseen, erillään yleisemmästä kysymyksestä siitä, ovatko työntekijät saaneet koulutusta kyberturvallisuuden perusperiaatteista.

Jos phishing-testiä ei toteuteta, rehellisesti vastaten sanotaan "ei", tarvittaessa täydennettynä sillä, mitä muuta tehdään: e-learning, ohjeistus perehdytyksessä, sisäinen viestintä äskettäisistä petostapuksista. Se ei ole vastaava vaihtoehto, mutta osoittaa, että tietoisuutta lisätään jollain tavalla. Phishing-testin simulointi vastauksena silloin, kun sitä ei ole toteutettu, ei ole kysymys — tiedostoon kirjataan vain todennettavissa olevat asiat, ja "kyllä" ilman lähdettä ei ole vaihtoehtona. Muistettavaksi: phishing esiintyy usein turvallisuuspoikkeaman syynä, joten jos vastaat tähän "ei", asiakkaasi voi odottaa seurannais kysymystä turvallisuuspoikkeamien käsittelystä johtuvaan menettelyyn.

Missä tämä on määrätty: artikla 21 luku 2, kohta g

Artikla 21 luku 2 NIS2-direktiivistä mainitsee kymmenen toimenpiteen joukossa "kyberturvallisuuden perusperiaatteet ja kyberturvallisuuskoulutus" (kohta g). Direktiivi ei määrää mitään välinettä — ei phishing-testiä, ei erityistä opetusmenetelmää — vaan jättää toteuttamisen entiteetin omaksi valinnaksi. ISO/IEC 27001 sisältää liitteen A:ssa samanlaisen hallintakontrollin tietoisuudesta ja koulutuksesta, myöskään ei pakollista muotoa. Kyberturvallisuuslaki on tämän direktiivin kansallinen täytäntöönpano ja tulee voimaan 15. elokuuta 2026; tähän saakka tämä ei ole useimmille yrityksille vielä laillinen vaatimus, mutta asiakas voi kysyä siitä kysymyslistassaan nyt jo, ennakoidessaan sitä päivämäärää tai koska hän itse on jo valvonnan alaisena.