küsimustik küsib, kas me teeme phishing testingut meie töötajatega

Phishingkatse kuulub küberihügieenisse, mitte ainult teadlikkuse kujundamisse

Phishingtest ei ole eraldiseisev nõue, vaid tõend NIS2 artikli 21 lõige 2 ühest kümnest meetmest: punkt g, küberihügieen ja turvalisuse koolitus. Direktiiv ise ei nõua phishingsimulatsioon — ta mainib "põhilisi küberihügieeni parimusi ja kiber turvalisuse koolitust". Klient, kes konkreetselt phishingkatsete kohta küsib, tõlgib selle normi konkreetseks, kontrollitavaks praktikas. ISO 27001 puhul on see Annex A all juhtimismeetme all töötajate teadlikkuse, koolituse ja õpetuse kohta: standard nõuab programmi, ja phishingtest on sellest kõige sagedamini kasutatav tõendusmaterjal.

Kui sul pole struktureeritud phishingkatseid, siis on "ei" aus vastus — teadlikkuse koolitus ilma simulatsioonita on midagi erinevat ja vastaspoolne hindaja teab tavaliselt ka seda. Paljud kliendid küsivad edasi sageduse kohta (aastane, iga kvartali järgi), mis juhtub töötajatega, kes sellesse langevad, ja kas sellega on seotud e-õpe. Kui see on küll olemas, aga pole nimetatud "phishingkatseks", siis kirjelda sellisel juhul oma toetamistekstis seda, mida sa tegelikult teed, selle asemel, et lihtsalt "jah" märkida. See teema puudutab ka koolitus küberhügieeni aluspraktikateskus on laiem koolituskohustus — phishingkatse on seal tavaliselt üks rida suuremast poliitikadokumendist.

Kus see juhendis ja normi sees asub

Direktiivi (EU) 2022/2555 artikli 21 lõige 2 punkt g nimetab küberihügieeni ja turvalisuse koolitust ühe kümne kohustusliku meetme hulgast; Küberturbealus paneb selle 1:1 ellu alates 15. augustist 2026. ISO/IEC 27001 Annex A töötab selle välja juhtimismeetme all töötajate teadlikkuse ja koolituse kohta, mille puhul phishingsimulatsioonid on tavapärane kontrollivorm. Kas oma ettevõte peab siin rangelt vastama, sõltub vastusest või ettevõte ise ei kuulu NIS2-direktiivi alla — kaudne tarnija saab küsimuse sageli lepingulise edastamise kaudu, mitte otsese seaduslike kohustuse kaudu.