ο πελάτης ρωτά αν πραγματοποιούμε δοκιμές phishing στους υπαλλήλους

Τα τεστ phishing είναι απόδειξη, όχι ανεξάρτητη απαίτηση

Τα τεστ phishing δεν αναφέρονται ξεχωριστά στο άρθρο 21 παράγραφος 2 NIS2 — είναι το στοιχείο απόδειξης με το οποίο αποδεικνύεις ότι η υποχρέωση κατάρτισης δυνάμει του σημείου g (κυβερνοϋγιεινή και κατάρτιση ασφάλειας) λειτουργεί πραγματικά. Αν ο πελάτης σας ρωτήσει συγκεκριμένα για τεστ phishing, δεν θέλει να ξέρει αν έχετε παράσχει κατάρτιση, αλλά αν μετράτε αν αυτή η κατάρτιση έχει αποτέλεσμα. Αν έχεις αυτά τα τεστ, η απάντηση είναι απλή: ναι, με την τελευταία ημερομηνία τεστ και το ποσοστό των υπαλλήλων που έκλικαν ή ανέφεραν. Αν δεν τα έχεις, τότε το «όχι» είναι η σωστή απάντηση — όχι «ναι» επειδή υπάρχει ένα e-learning.

Αν δεν κάνεις τεστ phishing αλλά κάτι άλλο — κατάρτιση κατά τη διενέργεια, ετήσιο πακέτο εργαλείων, εσωτερικό ενημερωτικό σημείωμα σχετικά με ύποπτα μηνύματα ηλεκτρονικής αλληλογραφίας — αυτό είναι μια ξεχωριστή απάντηση, όχι αντικατάσταση της ερώτησης όπως τέθηκε. Πολλές ερωτηματολόγια αφήνουν χώρο για περαιτέρω επεξήγηση· χρησιμοποιήστε το για να περιγράψετε τι υπάρχει πραγματικά, χωρίς να υποδηλώσετε ότι είναι ένα τεστ phishing. Αυτό ανήκει στην ίδια κατηγορία με κατάρτιση σε βασικές πρακτικές κυβερνοϋγιεινής: αν εκεί υπάρχει ήδη «όχι», τότε το «όχι» σε αυτήν την ερώτηση είναι προφανές, και υπάρχει μικρή πιθανότητα να έχεις ξαφνικά απόδειξη εδώ.

Θεμελίωση: άρθρο 21 παράγραφος 2, σημείο g και ο έλεγχος του

Το άρθρο 21 παράγραφος 2 στοιχείο g της Οδηγίας (ΕΕ) 2022/2555 αναφέρει ρητώς «βασικές πρακτικές στον τομέα της κυβερνοϋγιεινής και κατάρτιση στον τομέα της κυβερνοασφάλειας» ως ένα από τα δέκα υποχρεωτικά μέτρα· το ISO/IEC 27001 Annex A το αναπτύσσει περαιτέρω στη συμμόρφωση με τα μέτρα ελέγχου για την επίγνωση και την κατάρτιση του προσωπικού. Τα τεστ phishing είναι στην πράξη το μέσο μέτρησης με το οποίο οι επιχειρήσεις αποδεικνύουν ότι η κατάρτιση αυτή όχι μόνο έχει παρασχεθεί, αλλά έχει και αποτέλεσμα — παρόμοια με αυτό που ζητείται σε την περιοδική δοκιμή των μέτρων ασφάλειας. Ο ολλανδικός Κανόνας Κυβερνοασφάλειας θέτει αυτήν την υποχρέωση ένα προς ένα, με ημερομηνία εισόδου σε ισχύ στις 15 Αυγούστου 2026.