seznam otázek se ptá, zda provádíme testování phishingu u zaměstnanců

Phishingtesty jsou důkazem při povědomí, ne při přístupu

Phishingové simulace patří do programu zvyšování povědomí podle článku 21 odst. 2 písm. g směrnice NIS2, nikoli do řízení přístupu nebo MFA. Otázka tedy netestuje, zda máte techniku v pořádku, ale zda jsou zaměstnanci trénováni, aby poznali sociální inženýrství. Máte-li periodický phishingtest se zprávou a následnou péčí (například dodatečné školení pro ty, kdo kliknou), jedná se o jasné "ano" se silným důkazním materiálem. Máte-li pouze e-learning bez simulace, je odpověď na tuto konkrétní otázku často stále "ne" — seznam otázek se obvykle explicitně ptá na test, nikoli na školení v obecném smyslu.

Bez phishingtesty je "ne, ale" zde čestná odpověď: pak pojmenujte to, co máte, například povinné školení o povědomí nebo tlačítko pro hlášení podezřelých e-mailů. Není to slabá nabídka — mnoho podniků začíná školením a simulace později rozšiřují. Pokud si nejste jisti, zda je vaše kampaň dostatečně reprezentativní (například jeden test za rok versus měsíčně), raději zvolte "ještě se určí" a ptejte se interně u těch, kdo kampanně řídí, obvykle IT nebo HR. Zkontrolujte také, zda je toto téma oddělené od školení, které zaměstnanci získávají v oblasti kybernetické hygieny v širším smyslu — někteří zákazníci se na to ptají dvěma samostatnými otázkami, jiní to spojují.

Odkud to pochází: článek 21 odst. 2 písm. g

Článek 21 odst. 2 písm. g směrnice NIS2 explicitně uvádí "základní postupy v oblasti kybernetické hygieny a vzdělání v oblasti kybernetické bezpečnosti" jako jednu z deseti povinných opatření. Phishingové simulace v praxi spadají pod tuto vzdělávací povinnost; ISO/IEC 27001 Příloha A uvádí opatření pro povědomí a školení stejným způsobem, bez samostatného požadavku na phishingtest. Spadáte-li sami pod Zákon o kybernetické bezpečnosti jako subjekt podléhající směrnici NIS2, pak je to od jejího vstupu v platnost jedním z opatření, na která je možné dohlížet — zatím to zůstává především otázkou, kterou si sami zákazníci už kladou, v očekávání tohoto zákona.