Клиент пита дали провеждаме фишинг тестове при служителите, какво ако не го правим

Тестовете за phishing са доказателство, не е задължителна форма

Не, тестовете за phishing не са задължителни като такива. Това, което наистина се брои, е че служителите редовно получават обучение по кибер хигиена, и тест за phishing е най-конкретното доказателство, което клиентът може да провери. Обучение без тест е по-трудно за проверка; симулация с процент на кликване и доклад е пряко проверяемо за клиента. Затова този конкретен елемент често се появява отделно в анкетите, отделно от по-общия въпрос дали служителите получават обучение по основни практики за кибер хигиена.

Ако не се провежда тест за phishing, най-честния отговор е "не", евентуално допълнен с какво се прави наместо това: e-learning, инструкция при наемане, вътрешно съобщение за последни случаи на измами. Това не е еквивалентна замяна, но показва, че се предприемат някои мерки за повишаване на осведомеността. Симулиране на тест за phishing като отговор, когато той не се провежда, е неуместно — досието попълва само онова, което е проверяемо, и "да" без източник не се предлага тук. Освен това phishing често е причина за инцидент в сигурността, така че този, който отговори с "не", може да очаква последващ въпрос от клиента относно процедурата за обработка на инциденти в областта на сигурността.

Където е това: член 21, параграф 2, буква g

Член 21, параграф 2 на Директива NIS2 посочва сред десетте мерки "основни практики в областта на кибер хигиената и подготовката в областта на кибер сигурността" (буква g). Директивата не предписва инструмент — нито тест за phishing, нито специфичен метод на обучение — а оставя прилагането на лицето. ISO/IEC 27001 съдържа в Приложение A подобна контролна мярка относно осведомеността и обучението, също без задължителна форма. Законът за кибер сигурност е нидерландската имплементация на тази директива и влиза в сила на 15 август 2026 г.; до тогава това не е законова задължение за повечето компании, но клиент може да пита чрез своята собствена анкета, предвидейки тази дата или защото самият той вече е под надзор.