popis pitanja pita provodimo li testove phishinga među zaposlenicima

Phishing testovi su dokaz pri podizanju svijesti, a ne pri pristupu

Phishing simulacije dio su programa podizanja svijesti iz članka 21 stavka 2 podstavka g NIS2, a ne dio upravljanja pristupom ili MFA. Pitanje dakle ne testira je li vaša tehnika u redu, već jesu li zaposlenici obučeni da prepoznaju društveno inženjerstvo. Ako imate periodički phishing test s izvješćem i praćenjem (na primjer dodatnom obukama za one koji kliknu), tada je jasno "da" s jakim dokazima. Ako imate samo e-learning bez simulacije, tada je odgovor često ipak "ne" na to specifično pitanje — upitnik obično eksplicitno traži test, a ne obuku u općem smislu.

Bez phishing testa, "ne, ali" je ovdje iskren odgovor: tu navedu što postoji umjesto toga, kao obavezna obuka o svijesti ili gumb za prijavu sumnjivих e-mailova. To nije nudi slabosti — mnoga poduzeća počinju s obukama i simulacije kasnije razvijaju. Ako niste sigurni je li vaša kampanja dovoljno reprezentativna (na primjer jedan test godišnje prema mjesečno), prije radije stavite "još se određuje" i interno se raspitajte kod onoga koji upravlja kampanjama, obično IT ili HR. Također provjerite je li ova tema odvojena od obuke koju zaposlenici dobivaju u vezi s cyber higijenom u širem smislu — neki kupci to pitaju u dva odvojena pitanja, a drugi ga kombiniraju.

Odakle ovo dolazi: članak 21 stavak 2 podstavka g

Članak 21 stavak 2 podstavka g NIS2 eksplicitno navodi "osnovne prakse na području kibernetske higijene i osposobljavanje na području kibernetske sigurnosti" kao jednu od deset obaveznih mjera. Phishing simulacije su u praksi obuhvaćene ovom obvezom osposobljavanja; ISO/IEC 27001 Annex A navodi mjere za svjesnost i obuku u istom duhu, bez da phishing test navodi kao poseban zahtjev. Ako spadaš pod Zakon o kibernetskoj sigurnosti kao subjekt koji podleže NIS2 direktivi, tada je ovo od stupanja na snagu jednom od mjera na koje je moguć nadzor — za sada ostaje uglavnom pitanje koju su sami klijenti već postavljali, predviđajući taj zakon.