jautājumā tiek vaicāts, vai mēs veicam pikšķerēšanas testus starp personālu

Phishing testi ir pierādījums par izpratni, nevis par piekļuvi

Phishing simulācijas pieder pie izpratnes programmas saskaņā ar NIS2 21. panta 2. punkta g apakšpunktu, nevis pie piekļuves kontroles vai MFA. Tāpēc jautājums netesta, vai jūsu tehnika ir kārtībā, bet gan vai darbinieki ir apmācīti, lai atpazītu sociālo inženieriju. Ja jums ir periodiski phishing testi ar pārskatu un turpinājumu (piemēram, papildu apmācība tiem, kuri klikšķina), tad šis ir skaidrs "jā" ar spēcīgu pierādījumu. Ja jums ir tikai e-apmācība bez simulācijas, tad atbilde uz šo konkrēto jautājumu bieži vien tomēr ir "nē" — jautājumnieks parasti skaidri prasa par testu, nevis par apmācību vispārīgā nozīmē.

Bez phishing testa, "nē, bet" ir godīga atbilde: norādiet, kas pastāv, piemēram, obligātā apziņas apmācība vai paziņošanas poga aizdomīgiem e-pastiem. Tas nav vājums — daudzi uzņēmumi sāk ar apmācību un vēlāk paplašina simulācijas. Ja šaubāties, vai jūsu kampanja ir pietiekami reprezentatīva (piemēram, viens tests gadā pret mēnešiem), labāk iestatiet "vēl jānosaka" un jautājiet iekšēji pie tiem, kuri pārvalda kampanjas, parasti IT vai HR. Pārbaudiet arī, vai šis jautājums ir neatkarīgs no apmācības, ko darbinieki saņem kyberpamatprasībās plašākā nozīmē — daži klienti to jautā divos atsevišķos jautājumos, citi to apvieno.

Izcelsme: NIS2 21. panta 2. punkta g apakšpunkts

NIS2 21. panta 2. punkta g apakšpunkts skaidri nosaka "pamatprakses kyberdrošības un kiberdrošības apmācības jomā" kā vienu no desmit obligātajiem pasākumiem. Phishing simulācijas praksē ietilpst šajā apmācības pienākumā; ISO/IEC 27001 Annex A piemin apzinātības un apmācības pasākumus tāpat, neminot phishing testu kā atsevišķu prasību. Ja jūs paši esat entītija, uz kuru attiecas NIS2 direktīvatad tas ir viens no pasākumiem, uz kuriem var attiekties uzraudzība kopš pieņemšanas spēka — pagaidām tas paliek galvenokārt jautājums, ko klienti jau paši uzdod, anticipējot šo likumu.