Seznam vprašanj vprašuje, ali med osebjem testiramo lov na ribe

Phishingpreizkusi so dokaz za ozaveščenost, ne za dostop

Phishingsimuacije spadajo v program ozaveščenosti po členu 21(2) člen g Direktive NIS2, ne v upravljanje dostopa ali MFA. Vprašanje torej ne preverja, ali je vaša tehnologija v redu, temveč ali so zaposleni usposobljeni za prepoznavanje socialnega inženiringa. Če imate periodičen phishingpreizkus s poročanjem in nadaljnjim ukrepanjem (na primer dodatno usposabljanje za tiste, ki kliknejo), je to jasen "da" z močnim dokazom. Če imate le e-učenje brez simulacije, je odgovor pogosto kljub temu "ne" na to specifično vprašanje — vprašalnik običajno eksplicitno sprašuje po preizkusu, ne po usposabljanju v splošnem smislu.

Brez phishingpreizkusa je "ne, ampak" tu pošten odgovor: navedite, kaj dejansko imate, kot je obvezno usposabljanje za ozaveščenost ali gumb za prijavo sumljivih e-poštnih sporočil. To ni šibka ponudka — mnoga podjetja začnejo z usposabljanjem in kasneje razširijo simulacije. Če ste negotovi, ali je vaša kampanja dovolj reprezentativna (na primer en preizkus na leto v primerjavi z mesečnimi), raje nastavite "še ne vem" in se interno posvetujte s tistim, ki upravlja kampanje, običajno IT ali HR. Preverite tudi, ali je ta tema ločena od usposabljanja, ki ga zaposleni prejemajo na področju kibernetske higiene v širšem smislu — nekateri kupci to sprašujejo v dveh ločenih vprašanjih, drugi pa jih kombinirajo.

Odkod to prihaja: članek 21 odstavek 2 točka g

Članek 21 odstavek 2 točka g direktive NIS2 izrecno navaja »osnovne prakse na področju kibernetske higiene in usposabljanja na področju kibernetske varnosti« kot en od desetih obveznih ukrepov. Phishingsimuacije so v praksi del te usposabljalne obveznosti; ISO/IEC 27001 Annex A omenja ukrepe za ozaveščanje in usposabljanje v istem duhu, ne da bi preizkus phishinga omenjen kot ločena zahteva. Če spadaš med subjekte, ki spadajo pod direktivo NIS2, je to od začetka veljavnosti en od ukrepov, na katere je možen nadzor — za zdaj ostaja predvsem vprašanje, ki si ga zastavljajo že sami odjemalci, v pričakovanje tega zakona.