asiakas kysyy, suoritammeko phishing-testejä työntekijöillä

Tietophishing-testit ovat todiste, ei erillinen vaatimus

Tietophishing-testit eivät ole erillisesti mainittu direktiivin (EU) 2022/2555 21 artiklan 2 kappaleen kohdassa — ne ovat todistusmateriaali, jolla osoitat, että koulutusvelvoite kohdan g mukaisesti (kybernetiikan perusteet ja tietoturvakoulutus) todella toimii. Jos asiakkaasi nimenomaisesti kysyy tietophishing-testeistä, hän ei halua tietää, oletko antanut koulutusta, vaan osoittatko mittauksella, jääkö koulutus mieleen. Jos sinulla on nämä testit, vastaus on yksinkertainen: kyllä, viimeisen testitapahtuman päivämäärällä ja prosenttiosuudella työntekijöistä, jotka ovat klikkailleet tai ilmoittaneet. Jos sinulla ei ole niitä, "ei" on oikea vastaus — ei "kyllä", koska e-learning on olemassa.

Jos et tee tietophishing-testejä mutta teet jotakin muuta — koulutus perehdyttämisen yhteydessä, vuosittainen toolbox-tilaisuus, sisäinen uutiskirje epäilyttävistä sähköposteista — se on erillinen vastaus, ei korvike esitetylle kysymykselle. Monet kyselylomakkeet jättävät tilaa selitykselle; käytä sitä kuvaamaan, mitä sinulla on, ilman että vihjaat sen olevan tietophishing-testi. Tämä kuuluu samaan luokkaan kuin koulutus kybernetiikan perusteiden parissa: jos siinä on jo "ei", tähän kysymykseen on luultavasti "ei", ja todennäköisyys, että sinulla olisi tässä yhtäkkiä todiste, on pieni.

Perustelut: direktiivin (EU) 2022/2555 21 artiklan 2 kappaleen kohta g ja sen arviointi

Direktiivin (EU) 2022/2555 21 artiklan 2 kappaleen g kohdassa mainitaan nimenomaisesti "kybernetiikan perusturvakäytännöt ja kyberturvallisuuskoulutus" yhtenä kymmenen pakollisesta toimenpiteestä; ISO/IEC 27001 Liite A kehittää tätä edelleen henkilöstön tietoisuuden ja koulutuksen hallintamenettelyissä. Tietophishing-testit ovat käytännössä mittaustyökalu, jolla yritykset osoittavat, että koulutusta ei vain anneta vaan sillä on myös vaikutusta — vertailukelpoinen sen kanssa, mitä kysytään turvallisuustoimenpiteiden säännölliseen testaukseen. Alankomaiden kyberturvallisuuslaki kohentaa tätä velvoitetta yksi yhteen, voimaantulon ajankohdaksi 15. elokuuta 2026.