küsimustik küsib, kas me teeme phishing testingut töötajate seas

Phishingitestid on tõendid teadlikkuse kohta, mitte juurdepääsu kohta

Phishingisimulatsiooni kuuluvad teadlikkusprogrammi artikli 21 lõike 2 punkti g NIS2 kohaselt, mitte juurdepääsukontrolli või MFA alla. Küsimus ei testi seega, kas su tehnika on korras, vaid kas töötajaid koolitatakse sotsiaalse inseneriosa äratundmiseks. Kui sul on perioodiline phishingitesti koos aruandega ja järeltöötlusega (näiteks täiendav koolitus kellele klikkisid), siis on see selge "jah" tugevate tõendite saattel. Kui sul on ainult e-õpe ilma simulatsioonita, siis on vastus selle konkreetse küsimuse kohta sageli siiski "ei" — küsimustik küsib tavaliselt otseselt testi kohta, mitte koolituse kohta üldises mõttes.

Ilma phishingitestita on "ei, kuid" siinkohal aus vastus: nimetage siis, mis teil on olemas, näiteks kohustuslik teadlikkustraining või kahtlaste e-postide teatamise nupp. See ei ole nõrkuse pakkumine — paljud ettevõtted alustavad koolitusega ja arendavad simulatsioone hiljem välja. Kahtlete, kas teie kampaania on piisavalt esinduslik (näiteks üks test aastas versus igakuiselt), seadke siis pigem "veel määratlemata" ja küsige ettevõttesiseselt, kes kampanjaaid juhib, tavaliselt IT või HR. Kontrollige ka, kas see teema on eraldiseisvalt koolitusest, mida töötajad saavad küberhügieeni osas üldisemalt — mõned kliendid küsivad seda kahes eraldi küsimuses, teised koondavad selle.

Kust see pärineb: artikli 21 lõige 2 punkt g

Artikli 21 lõige 2 punkt g NIS2-st nimetab otseselt "küberhügieeni alaste põhiteadmiste ja küberturvalisuse valdkonna koolitust" üheks kümnest kohustuslikus abinõust. Phishingisimulatsiooni kuuluvad praktikas nende koolituskohustuste alla; ISO/IEC 27001 Lisa A nimetab teadlikkuse ja koolitusabinõusid samas vaimus, ilma et phishingitesti oleks eraldi nõudena nimetatud. Kui kuulud ise Küberturvalisuse seaduse reguleerimisalale üksus, kes kuulub NIS2-direktiivi alla, siis on see jõustumisest alates üks neist abinõudest, millele on järelevalve võimalik — praegu jääb see enamasti lihtsalt küsimuseks, mida kliendid ise esitavad, selle seadusega ette jõudmiseks.