az ügyfél azt kérdezi, végzünk-e adathalászat elleni teszteket a munkavállalókon

A phishing tesztek bizonyítékok, nem önálló követelmény

A phishing tesztek nem önálló kategóriaként szerepelnek a NIS2 21. cikk 2. bekezdésében — ezek az a bizonyítékanyag, amellyel igazolod, hogy a g) pont szerinti képzési kötelezettség (a kiberbiztonsági higiénia és biztonsági képzés) valóban működik. Ha az ügyfeled kifejezetten phishing teszteket kér, nem azt akarja tudni, hogy végeztek-e képzést, hanem azt, hogy mérik-e, hogy a képzésnek van-e hatása. Ha vannak ilyen tesztjeid, akkor a válasz egyszerű: igen, az utolsó teszt dátumával és az erre kattintott vagy bejelentett alkalmazottak százalékos arányával. Ha nincsenek ilyen tesztjeid, akkor a "nem" a helyes válasz — nem "igen" azért, mert létezik egy e-learning.

Ha nem végzel phishing teszteket, de van valami más — képzés a bejelentkezéskor, éves biztonsági tanácskozás, belső hírlevelezés a gyanús e-mailekről — akkor az egy külön válasz, nem a feltett kérdés helyettesítése. Sok kérdőív helyet hagy egy megjegyzésnek; használd ezt arra, hogy leírja, hogy mi van valójában, anélkül, hogy sugallnád, hogy phishing teszt — Ez ugyanabba a kategóriába tartozik, mint a kiberbiztonsági higiénia alapvető gyakorlatainak képzése: ha erre már "nem" szerepel, akkor "nem" valószínűleg erre a kérdésre is adódik, és kicsi az esélye annak, hogy itt hirtelen bizonyítékod legyen.

Indoklás: (EU) 2022/2555 irányelv 21. cikk 2. bekezdés g) pontja és ennek tesztelése

Az (EU) 2022/2555 irányelv 21. cikk 2. bekezdésének g) pontja kifejezetten említi a "kiberbiztonsági higiénia alapvető gyakorlatait és a kiberbiztonsági képzést" mint az egyik tíz kötelező intézkedést; az ISO/IEC 27001 Annex A ezt tovább fejleszti a személyzeti tudatosság és képzés ellenőrzési intézkedéseiként. A phishing tesztek a gyakorlatban az a mérőeszköz, amellyel a vállalatok igazolják, hogy a képzés nem csak megtörtént, hanem hatása is van — hasonlóan ahhoz, amit kérnek a a biztonsági intézkedések rendszeres auditálásához. A holland Kiberbiztonsági törvény ezt a kötelezettséget egy az egyben átülteti, 2026. augusztus 15-i hatályba lépéssel.