klausimynas klausia, ar atliekame phishingo testus tarp personalo

Phishingo testai yra įrodymas sąmoningumui, o ne prieigai

Phishingo simuliacijos priklauso straipsnio 21 2 dalies g punkto NIS2 sąmoningumo programai, o ne prieigos kontrolei ar MFA. Todėl klausimas netikrina, ar jūsų technika yra tvarkoje, bet ar darbuotojai yra mokyti atpažinti socialinę inžineriją. Jei turite periodinį phishingo testą su ataskaita ir stebėsena (pavyzdžiui, papildomą mokymą tiems, kurie paspaudė), tai yra aiškus "taip" su stipriu įrodymu. Jei turite tik e-learningą be simuliacijos, atsakymas į šį konkretų klausimą dažnai vis tiek yra "ne" — klausimynas paprastai tiksliai klausia apie testą, o ne apie mokymą apskritai.

Be fishing testo nėra, čia „ne, bet mokymas, kurį darbuotojai gauna kibernetinio higienos srityje platesniu prasme — kai kurie klientai tai klausia dviem atskira klausimais, kiti tai sujungia į vieną.

Iš kur tai kilę: 21 straipsnio 2 dalies g punktas

21 straipsnio 2 dalies g punktas iš NIS2 aiškiai nurodo "pagrindinius kibernetinio higienos tikslus ir kibernetinio saugumo mokymus" kaip vieną iš dešimties privalomų priemonių. Phishingo simuliacijos praktikoje patenka į šią mokymo pareigą; ISO/IEC 27001 Priedas A mini informavimo ir mokymo priemones tuo pačiu tikslu, neminėdamas phishingo testo kaip atskiros reikalavimo. Jei jūs esate subjektas, kuris patenka į NIS2 direktyvą, tai nuo jos įsigaliojimo momento tai yra viena iš priemonių, kurioms gali būti taikyta priežiūra — kol kas tai lieka daugiausia klausimu, kurį patys klientai jau užduoda, numatydami tą įstatymą.