Dotazník sa pýta, či robíme phishingové testy u personálu

Phishingové testy sú dôkazom povedomia, nie prístupu

Phishingové simulácie patria do programu zvyšovania povedomia podľa článku 21 ods. 2 písm. g smernice NIS2, nie do správy prístupu alebo viacfaktorovej autentifikácie. Otázka teda netestuje, či je vaša technika v poriadku, ale či sú zamestnanci trénovaní na rozpoznávanie sociálneho inžinierstva. Máte-li pravidelný phishingový test so správou a nasledujúcim postupom (napríklad dodatočné školenie pre tých, ktorí kliknu), ide o jasné "áno" so silným dokladom. Máte-li iba e-learning bez simulácie, odpoveď na túto špecifickú otázku je často napriek tomu "nie" — otázky zvyčajne výslovne požadujú test, nie školenie v bežnom zmysle.

Bez phishingového testu je tu počestná odpoveď "nie, ale": v tom prípade pomenujte, čo máte, ako napríklad povinné školenie o bezpečnosti alebo tlačidlo na hlásenie podozrivých e-mailov. To nie je slabá ponuka — veľa firiem začína s školením a simulácie si rozširuje neskôr. Máte-li pochybnosti, či je vaša kampaň dostatočne reprezentatívna (napríklad jeden test za rok oproti mesačným), dajte radšej "zatiaľ neurčené" a spýtajte sa interných postihov, zvyčajne IT alebo HR. Skontrolujte tiež, či je táto téma oddelená od školenia, ktoré zamestnanci dostávajú v oblasti kybernetickej hygieny vo všeobecnom zmysle — niektorí klienti to požadujú v dvoch samostatných otázkach, iní to spájajú.

Odkiaľ to pochádza: článok 21 ods. 2 písm. g

Článok 21 ods. 2 písm. g smernice NIS2 výslovne spomína "základné postupy v oblasti kybernetickej hygieny a vzdelávanie v oblasti kybernetickej bezpečnosti" ako jedno z desiatich povinných opatrení. Phishingové simulácie v praxi spadajú pod túto povinnosť vzdelávania; ISO/IEC 27001 príloha A spomína opatrenia na zvyšovanie povedomia a vzdelávania v rovnakom duchu, bez toho aby phishingový test menovala ako samostatnú požiadavku. Ak spadáte pod Zákon o kybernetickej bezpečnosti ako subjekt, na ktorý sa vzťahuje smernica NIS2, ide od vstupu do platnosti o jedno z opatrení, v súvislosti s ktorým je možný dohľad — zatiaľ to zostáva najmä otázkou, ktorú si klienti sami už kladú, v očakávaní tejto legislatívy.