lista pytań pyta, czy przeprowadzamy testy phishingowe wśród pracowników

Testy phishingowe to dowód świadomości, a nie dostępu

Symulacje phishingowe są częścią programu świadomości z artykułu 21 ust. 2 lit. g dyrektywy NIS2, a nie kontroli dostępu ani MFA. Pytanie testuje zatem nie to, czy twoja technika jest w porządku, ale czy pracownicy są szkoleni w rozpoznawaniu inżynierii społecznej. Jeśli masz okresowy test phishingowy z raportowaniem i wdrażaniem (na przykład dodatkowe szkolenie dla osób, które klikają), to jest to wyraźna "tak" z mocnym dowodem. Jeśli masz tylko e-learning bez symulacji, odpowiedź na to konkretne pytanie jest często jednak "nie" — lista pytań zwykle wyraźnie pyta o test, a nie o szkolenie w ogólnym sensie.

Bez testu phishingowego, "nie, ale" jest tu uczciwą odpowiedzią: wymień wtedy to, co jest, na przykład obowiązkowe szkolenie ze świadomości lub przycisk do zgłaszania podejrzanych wiadomości e-mail. To nie jest słaba oferta — wiele firm zaczyna od szkolenia i rozbudowuje symulacje później. Jeśli wątpisz, czy twoja kampania jest wystarczająco reprezentatywna (na przykład jeden test na rok versus miesięcznie), wybierz raczej "do ustalenia" i zapytaj wewnętrznie osobę odpowiedzialną za kampanie, zwykle IT lub HR. Sprawdź też, czy ten temat jest oddzielny od szkolenia, które pracownicy otrzymują w zakresie cyberhigieny w ogólnym sensie — niektórzy klienci zadają to w dwóch oddzielnych pytaniach, inni łączą je razem.

Skąd to pochodzi: artykuł 21 ust. 2 lit. g

Artykuł 21 ust. 2 lit. g dyrektywy NIS2 wyraźnie wymienia "podstawowe praktyki w dziedzinie cyberhigieny i szkolenie z zakresu bezpieczeństwa cybernetycznego" jako jeden z dziesięciu obowiązkowych środków. Symulacje phishingowe w praktyce wchodzą w skład tego obowiązku szkoleniowego; norma ISO/IEC 27001 Annex A wymienia środki świadomości i szkolenia w tym samym duchu, bez wymieniania testu phishingowego jako odrębnego warunku. Jeśli sam podlegasz Ustawie o Bezpieczeństwie Cybernetycznym jako podmiot podlegający dyrektywie NIS2, to od wejścia w życie jest to jeden ze środków, na które możliwy jest nadzór — na razie pozostaje to głównie pytaniem, które sami już zadają klienci, w przewidywaniu tej ustawy.