a kérdőív azt kérdezi, végzünk-e adathalász teszteket a személyzet körében

A phishing-tesztek a tudatosság bizonyítékai, nem a hozzáférés-vezérlésé

A phishing-szimulációk a NIS2 21. cikkének 2. bekezdése g) pontjában szereplő tudatossági programhoz tartoznak, nem a hozzáférés-vezérléshez vagy az MFA-hoz. A kérdés tehát nem azt vizsgálja, hogy a technológiád rendben van-e, hanem azt, hogy az alkalmazottakat képzik-e a szociális mérnökösség felismerésére. Ha van egy időszakos phishing-teszteseted jelentésadással és nyomon követéssel (például extra képzés azoknak, akik rákattintanak), akkor ez egy egyértelmű "igen" egy erős bizonyítékkal együtt. Ha csak egy e-learning van szimuláció nélkül, akkor a válasz erre a konkrét kérdésre gyakran mégis "nem" — a kérdőív általában kifejezetten egy tesztre kérdez, nem az általános értelemben vett képzésre.

Phishing-teszt nélkül az "nem, de" itt az őszinte válasz: nevezz meg akkor olyat, ami van, például kötelező tudatossági képzés vagy gyanús e-mailekről szóló bejelentési gomb. Ez nem gyengesége — sok vállalat képzéssel indul és szimulációkat később bővít. Ha bizonytalan vagy, hogy a kampányod elég reprezentatív-e (például egy teszt évente szemben havontival), akkor inkább írd azt, hogy "még meghatározandó", és kérdezz rá belülről annak fellelőségére, általában az IT vagy az HR-nél. Ellenőrizd azt is, hogy ez a téma elkülönül-e attól, hogy az alkalmazottak általában kapnak képzést a kiberbiztonsági higiéniáról — egyesek ezt két külön kérdésben kérdezik, mások összecsukják.

Ez honnan származik: NIS2 21. cikkének 2. bekezdése g) pontja

A NIS2 21. cikkének 2. bekezdése g) pontja kifejezetten a "kiberbiztonsági higiéniára vonatkozó alapvető eljárásokat és kiberbiztonsági képzést" említi a tíz kötelező intézkedés egyikeként. A phishing-szimulációk a gyakorlatban e képzési kötelezettség alá tartoznak; az ISO/IEC 27001 Annex A hasonló szellemben említ tudatossági és képzési intézkedéseket, anélkül, hogy a phishing-tesztet külön követelményként említené. Ha magad a Kiberbiztonsági törvény alá tartozó NIS2-irányelv hatálya alá tartozó szerv vagy az NIS2-irányelv hatálya alá tartozó entitás, akkor ez a jogszabály hatálybalépésétől az intézkedések közül egy, amely felügyelet tárgya lehet — jelenleg főleg olyan kérdés marad, amelyet az ügyfelek már maguk feltesznek, előírányozva azt a törvényt.