klientas klausia, ar mes atliekame phishingo testus su darbuotojais

Phishingo testai yra įrodymas, o ne atskiras reikalavimas

Phishingo testai neišvardyti atskirai straipsnio 21 straipsnio 2 dalyje NIS2 — jie yra įrodymo dalis, pagal kurią parodai, kad mokymo pareiga pagal g punktą (kibernetinės higienos ir saugumo mokymas) iš tiesų veikia. Jei jūsų klientas konkrečiai prašo phishingo testų, jis nori žinoti ne tai, ar jūs suteikėte mokymą, bet ar jūs matuojate, ar tas mokymas davė rezultatų. Jei turite tuos testus, atsakymas yra paprastas: taip, su paskutinio testo data ir procentine dalimi darbuotojų, kurie paspaude nuorodą arba pranešė apie tai. Jei jų neturite, "ne" yra teisingas atsakymas — o ne "taip", nes egzistuoja e-mokymas.

Jei neatliksite phishingo testų, bet darykite ką nors kita — mokymą įdarbinimo metu, metinį priešpiešines susitikimas, vidinę naujienlaiškio skiltį apie įtartinas el. laiškus — tai yra atskiras atsakymas, ne klausimo pakeitimas. Tai priklauso tai pačiai kategorijai kaip mokymas dėl pagrindinių kibernetinės higienos praktikų: jei čia jau rašote "ne", žinote, kad šiame klausime greičiausiai taip pat "ne", ir nėra didelės tikimybės, kad čia staiga turėtumėte įrodymą.

Pagrindimas: straipsnio 21 straipsnio 2 dalis, g punktas ir jo vertinimas

Direktyvos (ES) 2022/2555 straipsnio 21 straipsnio 2 dalies g punkte aiškiai nurodyta "pagrindinės kibernetinės higienos praktikos ir kibernetinio saugumo mokymas" kaip viena iš dešimties privalomų priemonių; ISO/IEC 27001 B priedas tai toliau detalizuoja personalo saugumo ir mokymo kontrolės priemonėse. Phishingo testai praktikoje yra matavimo įrankis, kuriuo įmonės parodo, kad mokymas buvo ne tik suteiktas, bet ir jis turi poveikį — panašiai kaip ir tada, kai prašoma atliktų saugumo priemonių periodinio vertinimo Olandiški Kibernetinio saugumo įstatymai šią pareigą perima tiesiogiai, jis pradedamas naudoti 2026 m. rugpjūčio 15 d.