klientas nori sužinoti, ar mes atliekame phishingo simuliacijas darbuotojams

Phishingo testai priklauso informacinio saugumo žinybai, o ne atskiram priemonės punktui

Phishingo simuliacijos patenka pagal NIS2 21 straipsnio 2 dalies g punktą: kibernetinė higiena ir saugumo mokymai. Nėra reikalavimo, kad tai būtų konkretūs phishingo testai — direktyvoje nurodomi „pagrindiniai kibernetinės higienos darbuotojų pažintumo praktika ir kibernetinio saugumo mokymai". Phishingo simuliacija yra vienas iš įprastų jų įgyvendinimo variantų, o ne savarankiška pareiga. Tie, kurie neatlieka simuliacijų, bet turi kitų informacinio saugumo pažintumo veiklų — elektroninį mokymą, dėžutės sesijas, intranetinį pranešimą dėl aktualios grėsmės — atitinka pagrindinę normą, net jei atsakas į tiesiogiai užduodamą klausimą yra „ne".

Žymė priklauso nuo to, ką iš tikrųjų darote. Jei periodiškai atliekate phishingo testus su ataskaita vadovybei, tada „taip" yra pagrįstas ir esant prašymui galite pateikti dažnumą bei paskutinį rezultatą (spustelėjimo procentinę dalį, pranešimo procentinę dalį). Jei to nedarote, tada „ne" yra teisingas atsakymas — ne užpildykite tai, ką nori jūsų klientas. Jei abejojate, ar jūsų mokymo programa be simuliacijų vis tiek gali būti laikoma tinkama informacinio saugumo pažintumi, tada padeda pirmiausia apžvelgti platesnį klausimą ar darbuotojai gauna mokymą pagrindinėmis kibernetinės higienos praktikomis; phishingo testai yra to dalis, ne visuma.

Kur tai rašoma: NIS2 21 straipsnio 2 dalies g punktas ir Priedas A.6.3

NIS2 21 straipsnio 2 dalies g punkte kibernetinė higiena ir mokymo programa nurodomi kaip viena iš dešimties privalomų priemonių subjektams, kuriems taikoma ši direktyva — ar taip yra, aprašoma ar įmonė pati patenka į NIS2. ISO/IEC 27001 Priedas A tai išplėtoja priemone A.6.3 „informacinio saugumo žinybą, švietimą ir mokymą" neatsižvelgiant į phishingo simuliacijas kaip privalomą instrumentą. Nyderlandų Kibernetinio saugumo įstatymas perima šį straipsnį, kai tas įstatymas įsigalios 2026 m. rugpjūčio 15 d.; kol to neįvyks, pačia direktyva vadovaujasi tie, kurie tikrina NIS2 atitiktį, ir norma galioja tiems, kurie tikrina ISO 27001 atitiktį.