Ad Hoc Phishing Testing: Πότε βοηθούν οι μεμονωμένες προσομοιώσεις — και πότε χρειάζεστε ένα πραγματικό πρόγραμμα

Εάν σκέφτεστε να πραγματοποιήσετε ad hoc δοκιμές phishing, συνήθως προσπαθείτε να απαντήσετε σε ένα πρακτικό ερώτημα:

Χρειαζόμαστε ήδη ένα πλήρες πρόγραμμα προσομοίωσης phishing ή απλώς χρειαζόμαστε μια δοκιμή με σαφή πεδίο εφαρμογής αυτή τη στιγμή;

Αυτό είναι ένα εύλογο ερώτημα. Μια εφάπαξ εκστρατεία μπορεί να είναι χρήσιμη.

Ωστόσο, μπορεί επίσης να δημιουργήσει ψευδή αίσθηση ασφάλειας, ασαφή αναφορές και περιττές εντάσεις μεταξύ των εργαζομένων, εάν τη χρησιμοποιήσετε ως υποκατάστατο μιας πραγματικής ροής εργασιών ευαισθητοποίησης.

Αυτή είναι η διαφορά που πρέπει να έχουν κατά νου οι ομάδες ασφάλειας:

• Οι ad hoc δοκιμές phishing είναι χρήσιμες για μια συγκεκριμένη απόφαση, ένα βήμα επικύρωσης ή μια βάση αναφοράς.
• Ένα πρόγραμμα προσομοίωσης phishing είναι χρήσιμο για τη συνεχή αλλαγή συμπεριφοράς, την παρακολούθηση τάσεων και τη διακυβέρνηση.

Δεν είναι το ίδιο πράγμα.

Σημείωση ασφαλείας: αυτό το άρθρο αφορά αμυντικές προσομοιώσεις phishing και τη μέτρηση της ευαισθητοποίησης. Δεν περιλαμβάνει οδηγίες για πραγματικό phishing, κλοπή διαπιστευτηρίων ή επιχειρήσεις επίθεσης.

Τι σημαίνει στην πραγματικότητα η ad hoc δοκιμή phishing

Στην πράξη, η ad hoc δοκιμή phishing συνήθως σημαίνει μια εκστρατεία που ξεκινά για έναν συγκεκριμένο λόγο και όχι ως μέρος ενός σταθερού μηνιαίου ή τριμηνιαίου κύκλου.

Παραδείγματα περιλαμβάνουν:

• την επαλήθευση του κατά πόσον οι εργαζόμενοι αναγνωρίζουν ένα συγκεκριμένο μοτίβο δόλου
• τον έλεγχο του κατά πόσον χρησιμοποιείται μια νέα ροή εργασιών αναφοράς
• τη δημιουργία μιας βάσης αναφοράς πριν από την αγορά μιας πλατφόρμας
• τη δοκιμή μιας επιχειρηματικής μονάδας που εντάχθηκε πρόσφατα μετά από συγχώνευση ή αναδιάρθρωση
• τη συλλογή αποδεικτικών στοιχείων για μια συγκεκριμένη εσωτερική αναθεώρηση

Αυτό μπορεί να είναι απολύτως λογικό.

Το λάθος είναι να υποθέτουμε ότι οι εφάπαξ δοκιμές προσφέρουν την ίδια αξία με ένα επαναλαμβανόμενο πρόγραμμα ευαισθητοποίησης.

Δεν προσφέρουν.

Μια μεμονωμένη εκστρατεία μπορεί να σας δείξει μια συγκεκριμένη χρονική στιγμή. Συνήθως δεν μπορεί να δείξει αν η συμπεριφορά βελτιώνεται, αν ένα αποτέλεσμα παραμορφώθηκε από την παραδοσιμότητα ή αν ο οργανισμός έχει δημιουργήσει ισχυρότερες συνήθειες αναφοράς.

Πότε οι μεμονωμένες προσομοιώσεις phishing έχουν νόημα

1) Χρειάζεστε μια γρήγορη βασική αξιολόγηση πριν επιλέξετε μια πλατφόρμα

Μερικές φορές μια ομάδα ασφάλειας βρίσκεται στα αρχικά στάδια της πορείας της προς την ευαισθητοποίηση σχετικά με το phishing και χρειάζεται μια γρήγορη εικόνα του τρέχοντος κινδύνου.

Μια εφάπαξ καμπάνια με στενά καθορισμένο πεδίο εφαρμογής μπορεί να βοηθήσει στην απάντηση ερωτήσεων όπως:

• Αναφέρουν καθόλου οι χρήστες ύποπτα μηνύματα;
• Ποιες ομάδες χρειάζονται παρακολούθηση πρώτα;
• Υπάρχει προφανής σύγχυση γύρω από τους συνηθισμένους τύπους δόλωμα;
• Χρειάζεται η διοίκηση περισσότερα στοιχεία πριν εγκρίνει μια ευρύτερη εφαρμογή;

Σε αυτή την περίπτωση, οι ad hoc δοκιμές phishing μπορούν να αποτελέσουν ένα χρήσιμο διαγνωστικό εργαλείο.

Είναι ιδιαίτερα χρήσιμο αν εξακολουθείτε να συγκρίνετε μοντέλα λειτουργίας, όπως η αντιστάθμιση μεταξύ χειροκίνητων εκστρατειών και αυτοματοποίησης. Ο οδηγός του AutoPhish για αυτοματοποιημένες δοκιμές phishing έναντι χειροκίνητων εκστρατειών καλύπτει αυτή την απόφαση με περισσότερες λεπτομέρειες.

2) Επαληθεύετε μια συγκεκριμένη αλλαγή ελέγχου

Οι εφάπαξ δοκιμές μπορεί επίσης να έχουν νόημα μετά από μια σημαντική αλλαγή, για παράδειγμα:

• ένα νέο κουμπί αναφοράς ύποπτων μηνυμάτων
• ενημερωμένες εσωτερικές διαδικασίες έγκρισης χρηματοοικονομικών
• μια αναδιατυπωμένη πολιτική ασφάλειας για τους υπαλλήλους
• ένας κύκλος αποκατάστασης μετά από περιστατικό

Εδώ, ο στόχος δεν είναι «να διεξάγετε εκστρατείες ευαισθητοποίησης για πάντα με ad hoc αποστολές».

Ο στόχος είναι να επαληθεύσετε εάν μια πρόσφατη αλλαγή βελτίωσε πράγματι τη συμπεριφορά.

Αυτή είναι μια καλή περίπτωση χρήσης — αρκεί η εκστρατεία να έχει σαφώς καθορισμένο σκοπό και κριτήρια επιτυχίας.

3) Χρειάζεστε ένα σημείο εκκίνησης χωρίς εντάσεις

Ορισμένοι οργανισμοί δεν είναι ακόμη έτοιμοι για ένα πλήρες επαναλαμβανόμενο πρόγραμμα.

Ίσως το νομικό τμήμα, το τμήμα ανθρώπινου δυναμικού, το τμήμα συμμόρφωσης ή ένα συμβούλιο εργαζομένων θέλει να δει πρώτα πώς θα διέπεται η διαδικασία. Ίσως η ομάδα ασφάλειας είναι μικρή. Ίσως η διοίκηση θέλει ένα πιλοτικό πρόγραμμα πριν δεσμευτεί σε ένα ευρύτερο πρόγραμμα.

Σε αυτές τις περιπτώσεις, μια προσεκτικά σχεδιασμένη εκστρατεία μπορεί να είναι ο λιγότερο διαταρακτικός τρόπος για να ξεκινήσετε.

Η φράση-κλειδί είναι προσεκτικά σχεδιασμένη.

Εάν η πρώτη εμπειρία φαίνεται τιμωρητική, συγκεχυμένη ή πρόχειρη, η ad hoc δοκιμή σας δεν παράγει απλώς αδύναμα δεδομένα — μπορεί επίσης να δυσχεράνει την έναρξη ενός μελλοντικού επαναλαμβανόμενου προγράμματος.

Όταν οι ad hoc δοκιμές phishing γίνονται κακή συνήθεια

1) Όταν κάθε εκστρατεία ξεκινά από το μηδέν

Εάν κάθε μεμονωμένη δοκιμή απαιτεί νέες συζητήσεις με τους ενδιαφερόμενους, χειροκίνητο καθαρισμό του κοινού, χειροκίνητη αναφορά και μια εξατομικευμένη εξήγηση στη συνέχεια, η διαδικασία δεν θα είναι κλιμακωτή.

Η ομάδα ασφάλειας καταλήγει να κάνει επαναλαμβανόμενη διοικητική εργασία χωρίς να αποκομίζει τα οφέλη ενός πραγματικού προγράμματος:

• δεδομένα τάσεων
• καθαρότερη διακυβέρνηση
• επαναχρησιμοποιήσιμες αναφορές
• προβλέψιμη επικοινωνία με τους υπαλλήλους
• ευκολότερες ενημερώσεις της ηγεσίας

Σε αυτό το σημείο, το «ad hoc» είναι συχνά απλώς μια άλλη λέξη για το «δεν το έχουμε θέσει σε λειτουργία ακόμα».»

2) Όταν το αποτέλεσμα ερμηνεύεται υπερβολικά

Μια καμπάνια μπορεί να σας πει κάτι.

Δεν μπορεί να σας πει τα πάντα.

Για παράδειγμα, μια μεμονωμένη δοκιμή μπορεί να παραμορφωθεί από:

• μηνύματα που καταλήγουν στα ανεπιθύμητα ή στην καραντίνα
• ζητήματα χρονισμού κατά τη διάρκεια διακοπών ή περιόδων αυξημένης δραστηριότητας στο τμήμα οικονομικών
• ασυνήθιστο οργανωτικό πλαίσιο
• ένα θέμα-δόλωμα που ήταν είτε πολύ προφανές είτε πολύ εξειδικευμένο

Γι' αυτό η ποιότητα της αναφοράς έχει τόσο μεγάλη σημασία. Αν θέλετε ένα πιο καθαρό πλαίσιο αξιολόγησης, το άρθρο της AutoPhish σχετικά με τις λειτουργίες αναφοράς προσομοίωσης phishing είναι ο σωστός κατάλογος ελέγχου.

3) Όταν χρησιμοποιείται ως συντόμευση συμμόρφωσης

Μια εφάπαξ δοκιμή phishing μπορεί να υποστηρίξει μια συζήτηση σχετικά με τη συμμόρφωση.

Δεν αποτελεί το πρόγραμμα συμμόρφωσης.

Εάν πρέπει να αποδείξετε διακυβέρνηση, συνέπεια και στοιχεία με την πάροδο του χρόνου, μια μεμονωμένη εκστρατεία σπάνια αρκεί. Οδηγίες υψηλής εγκυρότητας όπως το NIST SP 800-53 Rev. 5 αντιμετωπίζουν την ευαισθητοποίηση και την εκπαίδευση ως συνεχή δραστηριότητα ελέγχου, όχι ως μια εφάπαξ ενέργεια.

Αυτό έχει σημασία επειδή πολλές ομάδες δημιουργούν κατά λάθος μια αδύναμη εικόνα:

• διεξήχθη μία δοκιμή
• αποθηκεύτηκε ένα screenshot του πίνακα ελέγχου
• κανείς δεν μπορεί να εξηγήσει τι άλλαξε στη συνέχεια

Αυτά είναι αδύναμα αποδεικτικά στοιχεία.

4) Όταν υπονομεύει την εμπιστοσύνη των εργαζομένων

Οι εφάπαξ εκστρατείες μπορεί να είναι πολιτικά πιο ευαίσθητες από τα επαναλαμβανόμενα προγράμματα, επειδή οι εργαζόμενοι δεν έχουν σταθερό πλαίσιο για το τι συμβαίνει.

Χωρίς σαφείς κατευθυντήριες γραμμές, μια ad hoc δοκιμή μπορεί να φανεί τυχαία ή προσωπική.

Αυτός είναι ένας λόγος για τον οποίο η στάση απέναντι στην προστασία της ιδιωτικής ζωής έχει σημασία από την πρώτη μέρα. Εάν το περιβάλλον σας περιλαμβάνει ισχυρή εκπροσώπηση των εργαζομένων ή αυστηρή εσωτερική αξιολόγηση, αξίζει να ενσωματώσετε στον σχέδιο υλοποίησης τον οδηγό της AutoPhish για εκπαίδευση σε θέματα phishing που σέβεται την ιδιωτική ζωή.

Τι να συγκρίνετε αν χρειάζεστε μόνο περιστασιακές δοκιμές

Αν αγοράζετε τώρα για ad hoc δοκιμές phishing, αλλά ενδέχεται να επεκταθείτε αργότερα, μην αξιολογείτε τις πλατφόρμες σαν εργαλεία μιας μόνο ημέρας.

Αξιολογήστε τις ως πιθανή πορεία από εφάπαξ επικύρωση σε επαναλαμβανόμενο πρόγραμμα.

1) Ταχύτητα εγκατάστασης χωρίς μακροπρόθεσμη δέσμευση

Για περιστασιακές δοκιμές, θέλετε γρήγορη εγκατάσταση.

Αλλά η «γρήγορη εγκατάσταση» δεν πρέπει να σημαίνει:

• σύγχυση στη ρύθμιση του αποστολέα
• ευάλωτη εισαγωγή χρηστών
• χειροκίνητο καθαρισμό δεδομένων κάθε φορά
• απουσία επαναχρησιμοποιήσιμης ροής εργασίας έγκρισης

Μια καλή πλατφόρμα πρέπει να σας επιτρέπει να ξεκινήσετε γρήγορα μια εφάπαξ καμπάνια και να διατηρήσετε τη βάση σε ισχύ αν αποφασίσετε να την εκτελέσετε ξανά.

2) Αναφορές που εξηγούν το πλαίσιο, όχι μόνο τα κλικ

Για ad hoc δοκιμές phishing, οι αναφορές πρέπει να απαντούν στα εξής:

• ποιοι ήταν στο πεδίο εφαρμογής
• τι παραδόθηκε πραγματικά
• τι έκαναν οι χρήστες
• τι συνέβη στη συνέχεια
• ποιες επιφυλάξεις επηρέασαν το αποτέλεσμα

Αν το μόνο αποτέλεσμα είναι ένα γράφημα κλικ, θα δυσκολευτείτε να χρησιμοποιήσετε το αποτέλεσμα με τη διοίκηση, το τμήμα συμμόρφωσης ή ακόμα και τον μελλοντικό εαυτό σας.

3) Προστατευτικά μέτρα που κρατούν τη δοκιμή «βαρετή» με τον καλύτερο τρόπο

Οι ομάδες ασφάλειας υποτιμούν μερικές φορές πόσο λειτουργικό πόνο προκαλούν οι «δημιουργικές» εφάπαξ δοκιμές.

Η καλύτερη προσέγγιση είναι πιο βαρετή και πιο ασφαλής:

• σαφείς εξαιρέσεις για ευαίσθητες ομάδες
• προεπιλογές χωρίς κυρώσεις
• καμία συλλογή δεδομένων που ενέχει κίνδυνο
• καθορισμένη έγκριση πριν από την έναρξη
• άμεση εκπαίδευση ή καθοδήγηση αναφοράς μετά την αλληλεπίδραση

Μια καλή πλατφόρμα πρέπει να κάνει την ασφαλή έκδοση της καμπάνιας ευκολότερη από την απερίσκεπτη έκδοση.

4) Μια σαφής πορεία από το ad hoc στο επαναλαμβανόμενο

Αυτή είναι η πιο σημαντική ερώτηση κατά την αγορά.

Ρωτήστε τους προμηθευτές:

• Μπορεί αυτή η εφάπαξ καμπάνια να γίνει αργότερα επαναλαμβανόμενη ροή εργασίας;
• Θα παραμείνουν οι αναφορές μας συγκρίσιμες με την πάροδο του χρόνου;
• Μπορούμε να επαναχρησιμοποιήσουμε πρότυπα, ακροατήρια και εγκρίσεις;
• Μπορούμε να μεταβούμε από ονομαστικές σε ανώνυμες αναφορές αν αλλάξουν οι εσωτερικές προσδοκίες;
• Πόση επιπλέον διοικητική εργασία προκύπτει όταν περνάμε από μία καμπάνια σε δώδεκα;

Εάν η απάντηση είναι ασαφής, ενδέχεται να αγοράζετε μια βραχυπρόθεσμη ευκολία που θα μετατραπεί σε μακροπρόθεσμο έργο μετεγκατάστασης.

Ένας πρακτικός κανόνας λήψης αποφάσεων για ομάδες ασφάλειας

Εάν η ανάγκη σας μοιάζει με τις παρακάτω, οι ad hoc δοκιμές phishing συνήθως αρκούν προς το παρόν:

• «Χρειαζόμαστε μια βάση αναφοράς.»
• «Πρέπει να επικυρώσουμε μια αλλαγή στη διαδικασία.»
• «Χρειαζόμαστε ένα πιλοτικό πρόγραμμα πριν από την ευρύτερη εφαρμογή.»
• «Πρέπει να ελέγξουμε μια νέα επιχειρηματική μονάδα που προστέθηκε.»

Αν η ανάγκη σας μοιάζει με αυτές, πιθανότατα χρειάζεστε ένα πραγματικό πρόγραμμα προσομοίωσης phishing:

• «Χρειαζόμαστε αποδεικτικά στοιχεία σε βάθος χρόνου.»
• «Θέλουμε αλλαγή συμπεριφοράς, όχι απλώς το αποτέλεσμα μιας καμπάνιας.»
• «Θέλουμε λιγότερη χειροκίνητη διοικητική εργασία κάθε τρίμηνο.»
• «Χρειαζόμαστε προβλέψιμη αναφορά για τη διοίκηση ή τη συμμόρφωση.»
• «Θέλουμε η ευαισθητοποίηση να επιβιώσει από την εναλλαγή προσωπικού και τις περιόδους αιχμής.»

Αυτό έχει σημασία, διότι το λάθος μοντέλο λειτουργίας δημιουργεί σπατάλη και προς τις δύο κατευθύνσεις:

• ένα πλήρες πρόγραμμα μπορεί να είναι υπερβολικό αν χρειάζεστε μόνο μία δοκιμή για την υποστήριξη της λήψης αποφάσεων αυτή τη στιγμή
• ένα εφάπαξ εργαλείο ή διαδικασία μπορεί να είναι ανεπαρκές αν γνωρίζετε ήδη ότι αυτό πρέπει να γίνει ένας συνεχής έλεγχος

Η καλύτερη ad hoc δοκιμή σχεδιάζεται σαν το πρώτο βήμα ενός προγράμματος

Αυτός είναι ο απλούστερος τρόπος για να αποφύγετε την επανάληψη της εργασίας.

Ακόμα και αν ξεκινάτε μόνο μία καμπάνια σήμερα, αντιμετωπίστε την σαν την αρχή μιας ώριμης διαδικασίας:

1. καθορίστε τον σκοπό
2. καθορίστε τα κριτήρια επιτυχίας
3. συμφωνήστε στους κανόνες απορρήτου και έγκρισης
4. καταγράψτε το πλαίσιο στην αναφορά
5. αποφασίστε τι θα συμβεί στη συνέχεια αν το αποτέλεσμα είναι αδύναμο

Με αυτόν τον τρόπο, η καμπάνια παραμένει χρήσιμη είτε σταματήσετε μετά από μία δοκιμή είτε την επεκτείνετε σε ένα επαναλαμβανόμενο πρόγραμμα.

Συχνές ερωτήσεις

Αποτελεί η ad hoc δοκιμή phishing ένα καλό υποκατάστατο της τακτικής εκπαίδευσης ευαισθητοποίησης;

Συνήθως όχι.

Μπορεί να είναι χρήσιμη ως βασική, πιλοτική ή έλεγχος ελέγχου, αλλά σπάνια παρέχει τη συνέπεια, το ίχνος αποδεικτικών στοιχείων και τον κύκλο αλλαγής συμπεριφοράς ενός επαναλαμβανόμενου προγράμματος προσομοίωσης phishing.

Ποιος είναι ο μεγαλύτερος κίνδυνος με τις εφάπαξ προσομοιώσεις phishing;

Η υπερβολική αυτοπεποίθηση.

Οι ομάδες συχνά αντιμετωπίζουν μια καμπάνια ως οριστικό μέτρο, παρόλο που το αποτέλεσμα μπορεί να είναι παραμορφωμένο από το χρονοδιάγραμμα, τη δυνατότητα παράδοσης ή την επιλογή σεναρίου.

Είναι οι πλατφόρμες αυτοεξυπηρέτησης για δοκιμές phishing κατάλληλες για περιστασιακή χρήση;

Μπορούν να είναι — αν η ρύθμιση, η αναφορά και τα μέτρα ασφαλείας είναι ισχυρά.

Το βασικό ερώτημα είναι αν η πλατφόρμα μπορεί να υποστηρίξει μια εφάπαξ εκστρατεία χωρίς να σας αναγκάσει σε ακατάστατη χειροκίνητη εργασία και αν μπορεί να εξελιχθεί σε επαναλαμβανόμενη ροή εργασίας αργότερα.

Μπορούν οι ad hoc δοκιμές phishing να βοηθήσουν στην απόδειξη συμμόρφωσης;

Μπορούν να συνεισφέρουν αποδεικτικά στοιχεία, αλλά δεν πρέπει να παρουσιάζονται ως πλήρης απάντηση συμμόρφωσης.

Μια ισχυρότερη ιστορία συμμόρφωσης απαιτεί συνήθως επαναληψιμότητα, εγκρίσεις, συνέπεια αναφορών και τεκμηριωμένη παρακολούθηση με την πάροδο του χρόνου.

Τι πρέπει να μετρήσουμε σε μια εφάπαξ καμπάνια;

Τουλάχιστον:

• την ποιότητα παράδοσης
• το ποσοστό αναφοράς
• τη συμπεριφορά κλικ ή αλληλεπίδρασης στο πλαίσιο
• τις ενέργειες παρακολούθησης
• τυχόν προειδοποιήσεις που καθιστούν το αποτέλεσμα λιγότερο αξιόπιστο από ό,τι φαίνεται

Θέλετε εφάπαξ δοκιμές phishing που μπορούν να εξελιχθούν σε ένα πραγματικό πρόγραμμα;

Το AutoPhish βοηθά τις ομάδες ασφαλείας να εκτελούν ασφαλείς προσομοιώσεις phishing με χαμηλό διοικητικό κόστος, αναφορές που σέβονται την ιδιωτικότητα και μια σαφή πορεία από πιλοτικές καμπάνιες έως επαναλαμβανόμενες ροές εργασιών ευαισθητοποίησης.

Εγγραφείτε