client vrea să știe dacă efectuăm simulări de phishing cu angajații

Testele de phishing fac parte din conștientizare, nu din punct de măsură separat

Simulările de phishing se încadrează în articolul 21 alineatul 2 litera g NIS2: igienă cibernetică și instruire în materie de securitate cibernetică. Nu există o cerință care să specifice în mod expres că trebuie să fie o testare de phishing — directiva menționează "practici de bază în domeniul igienei cibernetice și instruire în materie de securitate cibernetică". O simulare de phishing este una dintre aplicările obișnuite ale acesteia, nu o obligație autonomă. Cine nu efectuează simulări, dar are alte activități de conștientizare — e-learning, sesiuni de instrumentar, un mesaj pe intranetul intern în caz de amenințare actuală — respectă norma de fond, chiar dacă răspunsul la întrebarea literală este "nu".

Eticheta depinde de ceea ce faci de fapt. Dacă efectuezi teste periodice de phishing cu raportare către management, atunci "da" este fundamentat și poți furniza, dacă se solicită, frecvența și ultimul rezultat (procentul de clicuri, procentul de denunțări). Dacă nu faci acest lucru, atunci "nu" este răspunsul corect — nu completa ceea ce clientul tău vrea să audă. Dacă îți pui semne de întrebare cu privire la faptul că programul tău de instruire fără simulări totuși se numără ca conștientizare adecvată, atunci ajută să te uiți mai întâi la întrebarea mai largă dacă angajații primesc instruire în practici de bază pentru igienă cibernetică; testele de phishing sunt o parte din acestea, nu totalitatea.

Locul unde se găsește: articolul 21 alineatul 2 litera g și Anexa A.6.3

Articolul 21 alineatul 2 litera g din NIS2 menționează igienă cibernetică și instruire în materie de securitate ca una dintre cele zece măsuri obligatorii pentru entitățile care se încadrează în directivă — dacă se întâmplă așa, se descrie la dacă întreprinderea însuși cade sub NIS2. ISO/IEC 27001 Anexa A dezvoltă acest lucru în măsura A.6.3, "sensibilizare, educație și instruire în materie de securitate a informațiilor", fără a menționa simulările de phishing ca instrument obligatoriu. Legea olandeză privind securitatea cibernetică transpune acest articol odată ce acea lege intră în vigoare pe 15 august 2026; până la acel moment, directiva însăși este locul de referință pentru cei care evaluează în funcție de NIS2, și norma pentru cei care evaluează în funcție de ISO 27001.