klausimynas klausia, ar mes atliekame phishingo testus mūsų personalui

Phishing testai priklauso kibernetinei higijenai, o ne tik sąmoningumui

Phishing testas nėra atskira reikalavimas, bet įrodymas vieno iš dešimties priemonių pagal NIS2 21 straipsnio 2 dalį: g punktas, kibernetinė higijena ir saugumo mokymas. Pati direktyva nenumato phishing simuliacijos — ji nurodo "pagrindinius kibernetinės higienos ir kibernetinio saugumo mokymo praktikas". Klientas, kuris konkrečiai prašo phishing testų, vertina tą normą į konkretią, patikrintiną praktiką. ISO 27001 tai yra Priede A pagal kontrolę personalo sąmoningumo, mokymo ir treniravimo srityje: norma reikalauja programos, o phishing testas yra dažniausiai naudojamas jos įrodymo dokumentas.

Jei neturi struktūrizuotų phishing testų, tada "ne" yra sąžininga atsakymo — sąmoningumo mokymas be simuliacijos yra kitas dalykas ir kitoje pusėje esantis vertintojas tai paprastai žino. Daugelis klientų klausia toliau apie dažnumą (kasmet, kas ketvirtį), apie tai, kas atsitinka darbuotojams, kurie jais paveikti, ir ar prie to prisegta e-mokymas. Jei tai yra, bet nepavadinimas "phishing testu", tada aprašyk, ką tu dabar darai paaiškinti lauke, o ne tiesiog "taip" patvirtinti. Šis klausimas taip pat liečia mokymas dėl pagrindinių kibernetinės higienos praktikų, kur platesnis mokymo įpareigojimas — phishing testai ten paprastai yra viena eilutė iš didesnio politikos dokumento.

Kur tai yra richtlinėje ir standarte

NIS2 direktyvos (ES) 2022/2555 21 straipsnio 2 dalies g punktas nurodo kibernetinę higijeną ir saugumo mokyimą kaip vieną iš dešimties privalomų priemonių; Kibernetinio saugumo įstatymas tai vienas-į-vieną perkeičia, kai jis 2026 m. rugpjūčio 15 d. pradeda galioti. ISO/IEC 27001 Priedas A tai išplečia pagal personalo sąmoningumo ir mokymo kontrolės priemonę, kurioje phishing simuliacijos yra įprastinė peržiūros forma. Ar pati verslo įmonė turi čia griežtai atitikti, priklauso nuo atsakymo į ar įmonė pati patenkanti į NIS2 direktyvos taikymo sritį — netiesioginis tiekėjas paprastai gauna klausimą per sutarties persiuntimą, o ne per tiesioginę teisinę pareigą.