kyselylomake kysyy, teemmekö tietojenkalastelutestejä henkilöstöllemme

Phishing-testit kuuluvat kybernetiikan hygieniaan, eivät vain tietoisuuteen

Phishing-testi ei ole itsenäinen vaatimus, vaan todiste yhdestä kymmenestä Direktiivin (EU) 2022/2555 21 artiklan 2 kappaleen mukaisesta toimenpiteestä: kohta g, kybernetiikan hygienia ja tietoturvaopiskelu. Direktiivi ei itse edellytä phishing-simulaatiota – se mainitsee "kybernetiikan hygienian perustavanomaiset käytännöt ja kyberturvallisuuskoulutusta". Asiakas, joka erityisesti kysyy phishing-testeistä, muuntaa tämän normin konkreettiseksi, testattavaksi käytännöksi. ISO 27001:ssä tämä on Lisäosassa A henkilöstön tietoisuuden, koulutuksen ja harjoittelun hallintamenetelmässä: standardi edellyttää ohjelmaa, ja phishing-testi on sen yleisimmin käytetty todiste.

Jos sinulla ei ole järjestelmällistä phishing-testiä, "ei" on rehellinen vastaus – tietoisuuskoulutus ilman simulaatiota on eri asia ja toteuttaja toisella puolella tietää sen yleensä myös. Monet asiakkaat kysyvät edelleen frekvenssiasta (vuosittain, neljännesvuosittain), siitä, mitä tapahtuu työntekijöille, jotka osuvat siihen, ja onko siihen liitetty verkko-oppimista. Jos se on olemassa mutta ei ole nimetty "phishing-testiksi", kuvaile ne asiakasta puolestaan tekemäsi asiat selitysosassa sen sijaan, että merkitsisit vain "kyllä". Tämä aihe koskee myös koulutus kybernetiikan perusteiden parissa, jossa on laajempi koulutusvelvoite – phishing-testit ovat siellä yleensä yksi rivi suuremmasta politiikkadokumentista.

Missä se on ohjausasiakirjassa ja standardissa

Direktiivin (EU) 2022/2555 21 artiklan 2 kappaleen g alakohta mainitsee kybernetiikan hygienian ja tietoturvaopetuksen yhtenä kymmenestä pakollisesta toimenpiteestä; Kyberturvallisuuslaki muuttaa tämän yksi yhteen yhdessä, kun se tulee voimaan 15. elokuuta 2026. ISO/IEC 27001 Annex A kehittää tätä edelleen henkilöstön tietoisuuden ja koulutuksen hallintamenetelmän osalta, jonka sisällä phishing-simulaatiot ovat yleinen tarkistusmuoto. Se, kuinka kovasti oman yrityksen on täytettävä tämä, riippuu vastauksen tai kuuluuko yritys itse NIS2-direktiivin soveltamisalaan – välillinen toimittaja saa kysymyksen usein sopimusperusteisen välityksen kautta, ei suoraa laillista velvoitetta.