Működnek-e valójában a phishing szimulációk? Egy őszinte áttekintés

Küldjön egy hamis adathalász e-mailt a munkatársainak, számolja meg, ki kattintott, és jelentse a számot a vezetőségnek. Ez a biztonságtudatosság standard részévé vált, és a kattintási arány lett az a mérőszám, amelyet mindenki idéz.

Ez felvet egy jogos kérdést: az adathalász szimulációk valóban csökkentik az adatszivárgás esélyét, vagy inkább csak grafikonokat produkálnak? Az őszinte válasz az, hogy jól működhetnek, de sok programot úgy állítanak be, hogy garantáltan ne működjenek.

A kattintási arány a rossz szám

A kattintási arány könnyen mérhető, könnyen ábrázolható és könnyen mozgatható. Az utolsó rész a probléma. Küldjön egy nyilvánvaló tesztet, és az arány csökken. Küldjön valami valóban meggyőzőt, és újra emelkedik, mert kellő erőfeszítéssel egy támadó szinte bárkit megtéveszthet egy zsúfolt kedden.

A csökkenő kattintási arány jelentheti, hogy a munkatársai éberebbek. Ugyanúgy jelentheti azt is, hogy az adathalász szimulációk könnyebbé váltak, vagy hogy az emberek felismerik a küldési mintát, vagy hogy mindenki csendben elmondta egymásnak a konyhában. Ezek egyike sem tükrözi a valós ellenálló képességet.

Az ehelyett nyomon követendő szám a jelentési arány: az emberek hány százaléka továbbította a gyanús üzenetet valakinek. És ami még hasznosabb: milyen gyorsan érkezett be az első jelentés.

Miért jobb a jelentési idő, mint a kattintás

Tételezzük fel, hogy valaki kattintani fog. Egy ötven fős cégnél, egy év alatt, egy elszánt támadóval szemben valaki biztosan. Az Ön biztonsága nem függhet attól, hogy soha senki nem hibázik.

Az eredményt az határozza meg, hogy mi történik ezután. Ha az első jelentés három percen belül megérkezik, az üzenetet eltávolíthatja más postaládákból, visszaállíthatja a fiókot, és ellenőrizheti a gyanús bejelentkezéseket, mielőtt bármi történne. Ha senki sem szól két napig, a támadónak két napja volt.

Így mérve az adathalász szimulációk a detektálás és a válasz tesztjévé válnak, nem pedig az egyéni figyelmesség tesztjévé. Ez sokkal hasznosabb dolog, amit mérni lehet, mert ez az a rész, amit valóban javíthat.

Hogyan sülhetnek el visszafelé a phishing szimulációk

Van egy megbízható recept arra, hogyan lehet rontani a helyzeten, és sok szervezet akaratlanul is követi azt.

• Név és szégyen. Annak közzététele, hogy ki kattintott, még enyhén is, azt tanítja az embereknek, hogy a hibák kínosak. A következő személy, aki egy valódira kattint, nem szól semmit.
• Büntesse az ismételt kattintókat. Az eredmények teljesítményértékeléshez való kapcsolása a biztonsági gyakorlatot fenyegetéssé változtatja.
• Használjon kegyetlen csalit. Hamis bónuszbejelentések, hamis elbocsátási értesítések, hamis csomagproblémák egy nehéz időszakban. Ezek magas kattintási arányt eredményeznek, és tönkreteszik a belső e-mailekbe vetett bizalmat, amire minden máshoz szüksége van.
• Futtasson egy kampányt évente. Egyetlen éves gyakorlat egy pillanatot mér, nem egy szokást.
• Hagyja ki a nyomon követést. Egy szimuláció utólagos magyarázat nélkül egyáltalán nem tanít semmit.

A közös szál a félelem. A félelemre épülő biztonsági kultúra csendet eredményez, és a csendre pontosan egy támadónak van szüksége.

Hogyan néznek ki a jó phishing szimulációk

Jelentse be a programot, mielőtt elkezdené. Mondja el mindenkinek, hogy lesznek szimulációk, hogy az eredmények soha nem lesznek egyéniek, és hogy a jelentéstétel az a viselkedés, amit keres. Semmit sem veszít azzal, ha nyitott, mert nem az a célja, hogy csapdába ejtse az embereket.

Tegye könnyűvé a jelentéstételt. Egy gomb a levelezőprogramban, nem pedig egy utasítás, hogy továbbítson egy üzenetet egy olyan címre, amelyet senki sem jegyez meg. Ezután válaszoljon minden jelentésre, még a téves riasztásokra is, és köszönje meg az illetőnek. Ha a jelentéstétel olyan érzés, mintha a semmibe kiabálna, akkor abbamarad.

Mutassa meg a választ utána. Egy rövid üzenet, amely azt mondja, hogy ezt küldtük, és íme az a három részlet, ami leleplezte, jobban működik, mint bármely képzési modul. Tartsa mentesen a hibáztatástól, és az emberek el fogják olvasni, ahelyett, hogy csak átfutnák.

Szándékosan változtassa a nehézségi szintet, futtasson havonta vagy kéthavonta valami kisebbet egy nagy éves gyakorlat helyett, és párosítsa azt olyan biztonságtudatossági képzéssel, amely azokat a támadásokat fedi le, amelyekkel az emberek valójában találkoznak, különösen a banki adatok megváltoztatására vonatkozó kéréseket.

Ahol a szimulációk nem segíthetnek

Egy fontos korlát. Semmilyen képzés nem győz le egy jól megtervezett támadást, amely valós időben rögzíti a jelszavát és az egyszeri kódját. A modern adathalász készletek ezt rutinszerűen megteszik, és a felhasználó gyakran semmi láthatóan rosszat nem tesz.

Ez egy technikai probléma, amely technikai választ igényel: phishing-ellenálló bejelentkezés, hogy egy ellopott hitelesítő adatot ne lehessen máshol újra felhasználni. A tudatosság csökkenti, hogy az embereket milyen gyakran kapják el. Csak az alapul szolgáló beállítás dönti el, hogy egy sikeres elfogás mennyit ér a támadónak. Kezelje az adathalász szimulációkat egy rétegként a többi között, nem pedig a teljes védelemként.

Futtassuk ezt megfelelően

Jól elvégezve az adathalász szimulációk a biztonság valóban hasznos részét képezik. Megfelelőségi pipálókockaként elvégezve jelentést és némi ellenérzést generálnak.

Az EvolvingDesknél mi az első módon végezzük őket. Beállítjuk a jelentésküldő gombot, mérjük, milyen gyorsan érkeznek be a jelentések, nem pedig azt, hogy ki kattintott, anonim módon kezeljük az eredményeket, és minden kampányt egy rövid magyarázattal követünk, amelyet a csapata valóban el fog olvasni. Emellett kezeljük a technikai oldalt is, így egy kattintás nem válik incidenssé.

Olyan munkatársai lesznek, akik szólnak, ha valami rossznak tűnik, ami többet ér, mint bármilyen százalék egy dián.

Szeretné tesztelni, hogyan reagál a csapata? Tervezzen egy hívást, és együtt beállítunk egy első kampányt.

Olvasson tovább

• Hogyan tartsuk a távoli dolgozókat produktívnak és biztonságban
• A 3-2-1 biztonsági mentési szabály magyarázata
• Felügyelt IT szolgáltatások az EvolvingDesknél

További olvasmányok: az NCSC útmutatója az adathalászat elleni védekezésről és a CISA adathalászati útmutatója.