kyselylomake kysyy, teemmekö tietojenkalastelutestejä henkilöstön keskuudessa

Phishingtestit ovat näyttöä tietoisuuden lisäämisestä, eivät pääsynhallinnasta

Phishing-simulaatiot kuuluvat artiklan 21 kohdan 2 alakohdan g NIS2 tietoisuuden lisäämisen ohjelmaan, eivät pääsynhallintaan tai monivaiheiseen todentamiseen. Kysymys ei siis testaa, onko tekniikkasi kunnossa, vaan sitä, taivatko työntekijät tunnistaa sosiaalista manipulaatiota. Jos sinulla on säännöllinen phishingtest raportoinnilla ja seurannalla (esimerkiksi lisäkoulutus niille, jotka naksahtavat), niin tämä on selkeä "kyllä" vahvan näytön kanssa. Jos sinulla on vain e-learning-koulutus ilman simulaatiota, vastaus on usein silti "ei" tähän spesifiin kysymykseen — kysymyslistassa pyydetään yleensä eksplisiittisesti testia, ei koulutusta yleisesti.

Ilman phishingtestiä "ei, mutta" on rehellinen vastaus tässä: mainitse sitten, mitä sinulla on, kuten pakollinen tietoisuuden lisäämisen koulutus tai epäilyttävien sähköpostien ilmoituspainike. Se ei ole heikkouksien myöntämistä — monet yritykset aloittavat koulutuksella ja laajentavat simulaatioita myöhemmin. Oletko epävarma, onko kampanjoissasi riittävä edustus (esimerkiksi yksi testi vuodessa verrattuna kuukausittaisiin), aseta mieluummin "vielä määritettävänä" ja kysy sisäisesti siltä, joka kampanjoita hallinnoi, yleensä IT tai henkilöstöhallinto. Tarkista myös, ovatko nämä aiheet erillisinä koulutuksesta, jonka työntekijät saavat kyberturvallisuudesta laajemmin — jotkut asiakkaat kysyvät tämän kahdessa erillisessä kysymyksessä, toiset yhdistävät sen.

Mistä tämä tulee: artikla 21 kohta 2 alakohta g

Direktiivin NIS2 artiklan 21 kohdan 2 alakohta g mainitsee eksplisiittisesti "kyberturvallisuushygienian peruskäytännöt ja kyberturvallisuuden koulutus" yhtenä kymmenestä pakollisesta toimenpiteestä. Phishing-simulaatiot kuuluvat käytännössä tähän koulutusvelvollisuuteen; ISO/IEC 27001 liite A mainitsee tietoisuuden lisäämisen ja koulutustoimenpiteet samalla tavalla, ilman erillistä phishingtestin vaatimusta. Jos sinä olet yhteisö, joka kuuluu NIS2-direktiivin soveltamisalaan, tämä on yksi toimenpiteistä, joihin voidaan kohdistaa valvontaa sen jälkeen, kun kyberturvallisuuslaki tulee voimaan — toistaiseksi se on pääasiassa kysymys, jonka asiakkaat jo esittävät, ennakoiden tätä lakia.