klients jautā, vai mēs veicam phishinga testus darbinieku vidū

Phishinga testi ir pierādījums, nevis atsevišķa prasība

Phishinga testi nav atsevišķi iekļauti Direktīvas (ES) 2022/2555 21. panta 2. punktā — tie ir pierādījuma dokuments, ar kuru tu parādi, ka apmācības pienākums saskaņā ar punktu g (kiberdrošības un drošības higiēna un apmācība) patiešām darbojas. Ja tavs klients konkrēti jautā par phishinga testiem, viņš vēlas zināt nevis to, vai jūs esat rīkojuši apmācību, bet gan to, vai jūs mērat, vai tā apmācība ir deļķi pielikusi. Ja tev ir šie testi, atbilde ir vienkārša: jā, ar pēdējā testa datumu un darbinieku procentuālo daļu, kas noklikšķinājusi vai ziņojusi. Ja tev to nav, tad "nē" ir pareizā atbilde — ne "jā", tikai tāpēc, ka pastāv e-apmācība.

Ja tu nveic phishinga testus, bet dari ko citu — apmācību pieņemšanas laikā, ikgadīgu darba vietas sapulci, iekšēju biļetenu par aizdomīgiem epastiem — tad tas ir atsevišķa atbilde, nevis aizstāšana jautājumam, kā tas ir formulēts. Daudz anketu atstāj vietu skaidrojumiem; izmanto to, lai aprakstītu, kas patiešām pastāv, nesugerojot, ka tas ir phishinga tests. Tas pieder tai pašai kategorijai kā apmācība kiberdrošības pamatpraksēs: ja šeit jau ir "nē", tad "nē" arī šim jautājumam ir pašsaprotams, un iespēja, ka jums te pēkšņi ir pierādījumi, ir maza.

Pamatojums: Direktīvas (ES) 2022/2555 21. panta 2. punkts g un tā pārbaude

Direktīvas (ES) 2022/2555 21. panta 2. punkts g skaidri norāda "kiberdrošības pamatprakses un kiberdroša uzvedības apmācību" kā vienu no desmit obligātajiem pasākumiem; ISO/IEC 27001 Pielikums A to turpina attīstīt personāla izglītošanas un apmācības vadības pasākumos. Phishinga testi ir praktiski mērīšanas instruments, ar kuru uzņēmumi pierāda, ka apmācība nav tikai sniegta, bet arī iedarbojusies — līdzīgi tam, ko prasa drošības pasākumu periodiska pārbaude. Nīderlandes Kiberdroša tiesību akts šo pienākumu pārvieš vienu pret vienu, stājoties spēkā 2026. gada 15. augustā.