lista de întrebări cere dacă efectuăm teste de phishing la personal

Testele de phishing sunt dovezi în ceea ce privește conștientizarea, nu accesul

Simulările de phishing fac parte din programul de conștientizare din articolul 21 alineatul 2 litera g NIS2, nu din controlul accesului sau MFA. Deci întrebarea nu testează dacă tehnica dvs. este în regulă, ci dacă angajații sunt instruiți să recunoască ingineria socială. Dacă aveți un test de phishing periodic cu raportare și urmărire (de exemplu, training suplimentar pentru cei care fac clic), atunci aceasta este un clar "da" cu o dovadă puternică în sprijin. Dacă aveți doar o curs online fără simulare, atunci răspunsul la această întrebare specifică este adesea totuși "nu" — lista de întrebări cere de obicei în mod explicit un test, nu training în sens general.

Fără un test de phishing, "nu, dar" este răspunsul corect aici: specificați atunci ce există, cum ar fi training de conștientizare obligatoriu sau un buton de raportare pentru e-mailuri suspecte. Aceasta nu este o ofertă slabă — multe companii încep cu training și construiesc simulări mai târziu. Dacă dvs. aveți dubii dacă campania dvs. este suficient de reprezentativă (de exemplu, un test pe an versus lunar), opțiunea "încă de determinat" este mai potrivită și cereți intern informatii la cei care gestionează campaniile, de obicei IT sau HR. Verificați de asemenea dacă acest subiect este separat de training pe care îl primesc angajații în ceea ce privește igiena cibernetică în sens mai larg — unii clienți pun aceasta în două întrebări separate, alții o combină.

De unde vine aceasta: articolul 21 alineatul 2 litera g

Articolul 21 alineatul 2 litera g din NIS2 menționează în mod explicit "practicile de bază în materie de igienă cibernetică și instruire în materie de securitate cibernetică" ca una dintre cele zece măsuri obligatorii. Simulările de phishing intră în practică sub această obligație de instruire; ISO/IEC 27001 Anexa A menționează măsuri de conștientizare și instruire în același spirit, fără a numi un test de phishing ca o cerință separată. Dacă dvs. vă încadrați ca entitate care se încadrează în domeniul de aplicare al directivei NIS2, atunci aceasta este una dintre măsurile de supraveghere posibilă din momentul intrării în vigoare — pentru acum rămâne în principal o întrebare pe care clienții o pun deja, anticipând acea lege.