Seznam vprašanj vprašuje, ali testiramo ribolov med našim osebjem

Testi lova na ribičke sodijo k kibernetski higieni, ne le k ozaveščanju

Test lova na ribičke ni samostojna zahteva, ampak dokaz pri eni od desetih ukrepov iz člena 21(2) direktive NIS2: točka g, kibernetska higiena in varnostno usposabljanje. Sama direktiva ne predpisuje simulacije lova na ribičke — omenja »osnovne prakse na področju kibernetske higiene in usposabljanja na področju kibernetske varnosti«. Odjemalec, ki konkretno sprašuje po testih lova na ribičke, to normo prevede v konkretno, preverljivo prakso. Pri ISO 27001 je to v Prilogah A pod ukrep nadzora za ozaveščenost, usposabljanje in izobraževanje osebja: standard zahteva program, test lova na ribičke pa je najpogostejši dokaz zanj.

Če nemaš strukturiranih testov lova na ribičke, je »ne« pošten odgovor — usposabljanje ozaveščanja brez simulacije je nekaj drugega in to ve tudi ocenjevalec na drugi strani običajno. Številni odjemalci dodatno sprašujejo po pogostosti (letno, četrtletno), kaj se zgodi z zaposlenci, ki v past padejo, in ali je pri tem vključeno e-učenje. Če je to sicer prisotno, vendar ne kot »test lova na ribičke«, tedaj v razlagalnem polju namesto preprostega obkljukavanja »ja« opiši, kaj dejansko počneš. To temo se dotika tudi usposabljanje v osnovnih praksah kibernetske higiene, kjer je širša obveznost usposabljanja — testi lova na ribičke so tam običajno ena vrstica v večjem dokumentu politike.

Kje je to v Direktivi in normi

Člen 21(2) točka g Direktive (EU) 2022/2555 navaja kibernetsko higieno in varnostno usposabljanje kot enega od desetih obveznih ukrepov; Zakon o kibernetski varnosti to prenese en na en, ko začne veljati 15. avgusta 2026. ISO/IEC 27001 Prilog A to naprej razdelava pod ukrepom nadzora za ozaveščenost in usposabljanje osebja, v katerem so simulacije lova na ribičke običajna oblika testiranja. Ali mora lastno podjetje tu strogo ustrezati, je odvisno od odgovora na ali podjetje samo spada pod Direktivo NIS2 — posrednemu dobavitelju vprašanje pogosto pride preko pogodbene preusmeritve, ne preko neposredne zakonske obveze.