la lista di domande chiede se eseguiamo test di phishing tra il personale

I test di phishing sono prova di consapevolezza, non di accesso

Le simulazioni di phishing rientrano nel programma di consapevolezza dell'articolo 21 paragrafo 2 lettera g della NIS2, non nella gestione degli accessi o nell'MFA. La domanda quindi non verifica se la tua tecnologia è in ordine, ma se i dipendenti sono formati per riconoscere l'ingegneria sociale. Se disponi di un test di phishing periodico con rapporto e follow-up (ad esempio formazione aggiuntiva per chi clicca), allora questa è una chiara "sì" con un forte documento di prova allegato. Se hai solo un e-learning senza simulazione, la risposta a questa domanda specifica è spesso comunque "no" — la lista di controllo di solito chiede esplicitamente un test, non una formazione in senso generale.

Senza un test di phishing, "no, ma" è la risposta onesta qui: allora specifica cosa hai effettivamente, come una formazione sulla consapevolezza obbligatoria o un pulsante per segnalare email sospette. Non è un'offerta debole — molte aziende iniziano con la formazione e sviluppano le simulazioni in seguito. Se dubiti che la vostra campagna sia sufficientemente rappresentativa (ad esempio un test all'anno rispetto a mensilmente), allora preferibilmente inserisci "da determinare" e verifica internamente con chi gestisce le campagne, di solito IT o HR. Verifica anche se questo argomento è separato da la formazione che i dipendenti ricevono in materia di igiene informatica in senso più ampio — alcuni clienti lo chiedono in due domande separate, altri lo combinano insieme.

Dove nasce questo: articolo 21 paragrafo 2 lettera g

L'articolo 21 paragrafo 2 lettera g della NIS2 cita esplicitamente "pratiche di base in materia di igiene informatica e formazione in materia di sicurezza informatica" come una delle dieci misure obbligatorie. Le simulazioni di phishing rientrano nella pratica nell'obbligo di formazione; l'ISO/IEC 27001 Annex A cita misure di consapevolezza e formazione nello stesso spirito, senza menzionare un test di phishing come requisito separato. Se tu stesso rientri nella Legge sulla sicurezza informatica come entità che rientra nell'ambito di applicazione della direttiva NIS2, allora questa è una delle misure soggette a supervisione dalla data di entrata in vigore — per ora rimane principalmente una domanda che i clienti stessi già fanno, in anticipo rispetto a quella legge.