το ερωτηματολόγιο ρωτά εάν κάνουμε δοκιμές phishing στο προσωπικό μας

Οι δοκιμές phishing είναι μέρος της κυβερνοϋγιεινής, όχι μόνο της ευαισθητοποίησης

Μια δοκιμή phishing δεν είναι ένα απομονωμένο απαίτημα, αλλά αποδεικτικό στοιχείο για ένα από τα δέκα μέτρα του άρθρου 21 παράγραφος 2 NIS2: σημείο g, κυβερνοϋγιεινή και κατάρτιση ασφάλειας. Η ίδια η οδηγία δεν προβλέπει φαινομενολογικά προσομοίωση phishing — αναφέρει «βασικές πρακτικές κυβερνοϋγιεινής και κατάρτιση κυβερασφάλειας». Ένας πελάτης που ρωτά συγκεκριμένα για δοκιμές phishing μεταφράζει αυτόν το πρότυπο σε μια συγκεκριμένη, δοκιμάσιμη πρακτική. Στο ISO 27001 αυτό βρίσκεται στο Annex A κάτω από το μέτρο ελέγχου για την ευαισθητοποίηση, την κατάρτιση και την εκπαίδευση του προσωπικού: το πρότυπο απαιτεί ένα πρόγραμμα, και μια δοκιμή phishing είναι το πιο χρησιμοποιούμενο αποδεικτικό στοιχείο.

Εάν δεν έχετε δομημένες δοκιμές phishing, τότε το "όχι" είναι η ειλικρινής απάντηση — μια κατάρτιση ευαισθητοποίησης χωρίς προσομοίωση είναι κάτι διαφορετικό και συνήθως το γνωρίζει και ο αξιολογητής στην άλλη πλευρά. Πολλοί πελάτες ρωτούν περαιτέρω σχετικά με τη συχνότητα (ετησίως, ανά τρίμηνο), τι συμβαίνει με τους υπαλλήλους που πέφτουν σε αυτές, και εάν υπάρχει συνδεδεμένη e-learning. Εάν υπάρχει αλλά δεν ονομάζεται "δοκιμή phishing", περιγράψτε τότε τι κάνετε στο πεδίο σχολιασμού αντί να ενεργοποιήσετε απλώς το "ναι". Αυτό το θέμα αγγίζει επίσης κατάρτιση σε βασικές πρακτικές κυβερνοϋγιεινής, όπου βρίσκεται η ευρύτερη υποχρέωση κατάρτισης — οι δοκιμές phishing είναι συνήθως ένας κανόνας από ένα μεγαλύτερο έγγραφο πολιτικής.

Όπου αυτό υπάρχει στην κατευθυντήρια γραμμή και το πρότυπο

Το άρθρο 21 παράγραφος 2 στοιχείο g της Οδηγίας (ΕΕ) 2022/2555 αναφέρει την κυβερνοϋγιεινή και την κατάρτιση ασφάλειας ως ένα από τα δέκα υποχρεωτικά μέτρα· ο Νόμος Κυβερασφάλειας το εφαρμόζει ένα προς ένα από τότε που τίθεται σε ισχύ στις 15 Αυγούστου 2026. Το ISO/IEC 27001 Annex A το αναπτύσσει περαιτέρω κάτω από το μέτρο ελέγχου για την ευαισθητοποίηση και την κατάρτιση του προσωπικού, εντός του οποίου οι προσομοιώσεις phishing είναι η συνηθισμένη μορφή αξιολόγησης. Το εάν η ίδια η επιχείρηση πρέπει να συμμορφωθεί σκληρά εδώ, εξαρτάται από την απάντηση στο εάν ο οργανισμός εμπίπτει αυτοτελώς στην Οδηγία NIS2 — ένας έμμεσος προμηθευτής συχνά λαμβάνει την ερώτηση μέσω συμβατικής μετάδοσης, όχι μέσω άμεσης νομικής υποχρέωσης.