Dotazník sa pýta, či robíme phishingové testy u nášho personálu

Phishingové testy patria do kybernetickej hygieny, nie iba do povedomia

Phishingový test nie je samostatnou požiadavkou, ale dôkazom pri jednom z desiatich opatrení z článku 21 ods. 2 NIS2: písm. g), kybernetická hygiena a bezpečnostné školenie. Samotná smernica nepredpisuje phishingovu simuláciu — spomína "základné postupy v oblasti kybernetickej hygieny a vzdelávanie v oblasti kybernetickej bezpečnosti". Zákazník, ktorý konkrétne požaduje phishingové testy, prekladá túto normu na konkrétnu, overiteľnú prax. V norme ISO 27001 sa to nachádza v Prílohe A pod opatrením riadenia na povedomie, vzdelávanie a školenie personálu: norma vyžaduje program a phishingový test je jeho najčastejšie používaným dokladom.

Ak nemáš štruktúrované phishingové testy, potom je "nie" čestná odpoveď — školenie povedomia bez simulácie je niečo iné a zvyčajne to vie aj posudzovateľ na druhej strane. Mnohí zákazníci sa pýtajú na frekvenciu (ročne, štvrťročne), na to, čo sa stane so zamestnancami, ktorí v teste selžú, a či sa k tomu váže e-learning. Ak áno, ale nenazýva sa to "phishingový test", popíš, čo naozaj robíš, v poli s vysvetlením namiesto toho, aby si jednoducho zaškrtol "áno". Táto téma sa dotýka aj základný výcvik v praktikách kybernetickej hygieny, kde sa nachádza širšia povinnosť školenia — phishingové testy sú tam zvyčajne jeden riadok z väčšieho politického dokumentu.

Kde je to uvedené v smernici a norme

Článok 21 odsek 2 písmeno g Smernice (EÚ) 2022/2555 spomína bezpečnosť kybernetiky a bezpečnostné školenia ako jedno z desiatich povinných opatrení; Zákon o kybernetickej bezpečnosti to implementuje jeden na jedného od doby, kedy vstúpi do platnosti 15. augusta 2026. ISO/IEC 27001 Príloha A to ďalej rozpracúva v rámci kontrolného opatrenia na povedomie a školenie personálu, v rámci ktorého sú simulácie phishingu obvyklou formou testovania. To, či vlastný podnik musí tu podľa toho striktne dodržiavať, závisí od odpovede na alebo či podnik sám spadá pod smernicu NIS2 — nepriamy dodávateľ dostane otázku často prostredníctvom zmluvného prenosu, nie prostredníctvom priamej právnej povinnosti.