Πώς να τεκμηριώσετε τις προσομοιώσεις phishing για έναν έλεγχο NIS2

Αν χρειάζεται να τεκμηριώσετε προσομοιώσεις phishing για έναν έλεγχο NIS2, ο στόχος δεν είναι να αποδείξετε ότι μία καμπάνια έκανε τον οργανισμό συμμορφούμενο. Ο χρήσιμος στόχος είναι πιο στενός: να δείξετε ότι η δραστηριότητα ευαισθητοποίησης στην ασφάλεια είναι σχεδιασμένη, ελεγχόμενη, επαναλαμβανόμενη, επανεξεταζόμενη και βελτιώνεται με τον χρόνο.

Οι προσομοιώσεις phishing μπορούν να στηρίξουν αυτή την ιστορία τεκμηρίωσης, επειδή δημιουργούν ένα ορατό αρχείο για το εύρος της εκπαίδευσης, τα σχόλια των εργαζομένων, τη συμπεριφορά αναφοράς, τις ενέργειες παρακολούθησης και την ανασκόπηση από τη διοίκηση. Δεν πρέπει να παρουσιάζονται από μόνες τους ως πλήρης έλεγχος NIS2. Η συμμόρφωση με το NIS2 εξαρτάται από το ευρύτερο μοντέλο διακυβέρνησης, διαχείρισης κινδύνου, χειρισμού περιστατικών, πολιτικών, τεχνικών ελέγχων, εποπτείας προμηθευτών και λογοδοσίας γύρω από το πρόγραμμα.

Αυτός ο οδηγός είναι αποκλειστικά αμυντικός. Δεν περιλαμβάνει πρότυπα phishing, τακτικές παράδοσης, βήματα συλλογής διαπιστευτηρίων, συμβουλές παράκαμψης ή οδηγίες για πραγματικές επιθέσεις.

Ξεκινήστε από το ερώτημα του ελέγχου

Πριν εξάγετε αναφορές, ορίστε το ερώτημα στο οποίο πρέπει να απαντούν τα αποδεικτικά σας στοιχεία. Για τις περισσότερες ομάδες ασφάλειας και συμμόρφωσης, το ερώτημα δεν είναι «πάτησαν οι άνθρωποι;». Είναι πιο κοντά στο:

• Έκανε ο οργανισμός δραστηριότητες ευαισθητοποίησης με καθορισμένη συχνότητα;
• Εγκρίθηκε η δραστηριότητα και ευθυγραμμίστηκε με την πολιτική;
• Καλύφθηκαν οι εργαζόμενοι σε ουσιαστικό επίπεδο;
• Ακολούθησαν τα επικίνδυνα συμπεριφορικά μοτίβα από ανατροφοδότηση ή εκπαίδευση;
• Επανεξετάστηκαν οι αναφορές και τα αποτελέσματα από τους υπεύθυνους;
• Βελτιώθηκε ή άλλαξε το πρόγραμμα με βάση τα αποτελέσματα;
• Χειρίστηκαν τα δεδομένα των εργαζομένων με αναλογικό τρόπο;

Αυτό το πλαίσιο έχει σημασία, γιατί ένα διάγραμμα ποσοστού κλικ από μόνο του είναι αδύναμο αποδεικτικό στοιχείο. Μια αναφορά προσομοίωσης phishing γίνεται πιο χρήσιμη όταν εντάσσεται σε ένα τεκμηριωμένο πρόγραμμα: πεδίο εφαρμογής, εγκρίσεις, ασφαλής σχεδιασμός σεναρίου, ρυθμίσεις απορρήτου, παρακολούθηση εκπαίδευσης, σημειώσεις ανασκόπησης και δεδομένα τάσεων.

Ο υπάρχων οδηγός της AutoPhish για NIS2 security awareness and phishing simulations καλύπτει το πού ταιριάζουν οι προσομοιώσεις στη ευρύτερη συζήτηση για το NIS2. Αυτό το άρθρο εστιάζει στο πακέτο αποδεικτικών στοιχείων.

Τι αλλάζει πραγματικά το NIS2 για τα αποδεικτικά ευαισθητοποίησης

Η Οδηγία NIS2 αυξάνει τις προσδοκίες γύρω από τη διαχείριση κινδύνων κυβερνοασφάλειας, τη διακυβέρνηση, τον χειρισμό περιστατικών και τη λογοδοσία για τις οντότητες που καλύπτει. Δεν ορίζει μία ενιαία, υποχρεωτική μορφή προσομοίωσης phishing.

Αυτό σημαίνει ότι οι ομάδες ασφάλειας πρέπει να αποφεύγουν διατυπώσεις όπως «αυτό το phishing test μάς καθιστά συμμορφούμενους με το NIS2». Μια ασφαλέστερη διατύπωση είναι:

«Το πρόγραμμα προσομοιώσεων phishing που έχουμε υποστηρίζει την ευαισθητοποίηση στην ασφάλεια και τα αποδεικτικά στοιχεία διαχείρισης κινδύνου, τεκμηριώνοντας επαναλαμβανόμενη δραστηριότητα, ανατροφοδότηση εργαζομένων, συμπεριφορά αναφοράς και ανασκόπηση από τη διοίκηση.»

Αυτή η δήλωση είναι πιο εύκολο να υποστηριχθεί. Συνδέει τις προσομοιώσεις με τη διακυβέρνηση χωρίς να προσποιείται ότι μια πλατφόρμα εκπαίδευσης αντικαθιστά τη νομική ανάλυση, την αξιολόγηση κινδύνου, την αντιμετώπιση περιστατικών, τους ελέγχους πρόσβασης ή τα τεχνικά μέτρα ασφάλειας.

Για την προετοιμασία του ελέγχου, η τεκμηρίωσή σας πρέπει να δείχνει ωριμότητα διαδικασίας και όχι επιφανειακή εντύπωση. Μια μοναδική, εντυπωσιακή καμπάνια μπορεί να κερδίσει ένα dashboard. Ένα σταθερό πρόγραμμα με εγκρίσεις, δεδομένα κάλυψης, παρακολούθηση και σημειώσεις ανασκόπησης είναι πολύ πιο χρήσιμο για τους ενδιαφερόμενους της συμμόρφωσης.

Φτιάξτε ένα πακέτο αποδεικτικών στοιχείων πριν το ζητήσει ο ελεγκτής

Δημιουργήστε ένα επαναχρησιμοποιήσιμο πακέτο αποδεικτικών στοιχείων για κάθε περίοδο αναφοράς. Κρατήστε το απλό, σταθερό και εύκολο στην ανανέωση.

Χρήσιμα στοιχεία περιλαμβάνουν:

• ιδιοκτήτη του προγράμματος ευαισθητοποίησης και ονόματα ή ρόλους των αναθεωρητών
• εγκεκριμένο ημερολόγιο καμπανιών ή συχνότητα
• αναφορά πολιτικής ή διαδικασίας για προσομοιώσεις phishing
• πεδίο εφαρμογής καμπάνιας, ημερομηνίες και ομάδες-στόχους
• κατηγορία σεναρίου και έλεγχο ασφάλειας
• επικοινωνία ή ειδοποίηση προς εργαζομένους, όπου εφαρμόζεται
• ρυθμίσεις απορρήτου και διατήρησης
• σύνοψη παράδοσης και γνωστές επιφυλάξεις παράδοσης
• ποσοστό αναφορών, χρόνος μέχρι την αναφορά και ολοκλήρωση παρακολούθησης
• περιεχόμενο εκπαίδευσης που εμφανίζεται μετά από επικίνδυνες αλληλεπιδράσεις
• συγκεντρωτικά δεδομένα τάσεων σε πολλές καμπάνιες
• εξαιρέσεις, αποκλίσεις και σημειώσεις αποκατάστασης
• σημειώσεις ανασκόπησης και αποφάσεις της διοίκησης

Το πακέτο αποδεικτικών στοιχείων πρέπει να είναι κατανοητό χωρίς να δίνετε σε έναν ελεγκτή πρόσβαση σε ακατέργαστα logs συμβάντων σε επίπεδο εργαζομένου. Οι συγκεντρωτικές αναφορές είναι συχνά αρκετές για ανασκόπηση από τη διοίκηση και τη συμμόρφωση. Οι λεπτομέρειες σε ατομικό επίπεδο πρέπει να περιορίζονται σε όσους έχουν σαφή επιχειρησιακή ανάγκη.

Κρατήστε την τεκμηρίωση των σεναρίων ασφαλή και υψηλού επιπέδου

Τα αποδεικτικά στοιχεία του ελέγχου πρέπει να περιγράφουν το θέμα κινδύνου και τον στόχο του ελέγχου, όχι να παρέχουν επαναχρησιμοποιήσιμα εγχειρίδια επιτιθέμενου.

Καλή τεκμηρίωση σεναρίου θα μπορούσε να λέει:

• «Σενάριο ευαισθητοποίησης για business email compromise με θέμα τα τιμολόγια, για χρήστες του finance»
• «Σενάριο ευαισθητοποίησης με QR code για ροές εργασίας πρώτα στο κινητό»
• «Σενάριο ευαισθητοποίησης για διαμοιρασμό εγγράφων σχετικά με κίνδυνο από εργαλεία συνεργασίας»
• «Σενάριο ευαισθητοποίησης για επαναφορά κωδικού χωρίς πραγματική συλλογή διαπιστευτηρίων»

Αποφύγετε να αποθηκεύετε περιττές βήμα προς βήμα λεπτομέρειες σε γενικούς φακέλους συμμόρφωσης. Μην τεκμηριώνετε ακριβώς τα δολώματα, τα domains, τους μηχανισμούς των landing pages ή το κείμενο των μηνυμάτων πιο αναλυτικά από ό,τι απαιτεί η εσωτερική διαδικασία ασφάλειας. Ο στόχος είναι να αποδείξετε ότι το σενάριο εγκρίθηκε, ήταν ασφαλές, σχετικό και επανεξετάστηκε.

Αν μια προσομοίωση περιλαμβάνει landing pages, τεκμηριώστε καθαρά τα προστατευτικά μέτρα. Ένα ασφαλέστερο πρόγραμμα καταγράφει ελεγχόμενα συμβάντα εκπαίδευσης και ολοκλήρωση ανατροφοδότησης, αντί να συλλέγει πραγματικούς κωδικούς πρόσβασης, κωδικούς MFA, tokens, στοιχεία πληρωμής ή ευαίσθητες προσωπικές πληροφορίες. Για περισσότερες λεπτομέρειες, δείτε τον οδηγό της AutoPhish για safe phishing simulation landing pages.

Χρησιμοποιήστε μετρήσεις που καταλαβαίνουν ελεγκτές και στελέχη

Το ποσοστό κλικ είναι γνωστό, αλλά μπορεί να παραπλανήσει. Δεν πρέπει να είναι η μόνη μέτρηση σε ένα πακέτο αποδεικτικών στοιχείων για το NIS2.

Πιο χρήσιμες μετρήσεις περιλαμβάνουν:

• κάλυψη χρηστών κατά την περίοδο αναφοράς
• ποσοστό αναφορών για τα μηνύματα προσομοίωσης
• χρόνος μέχρι την αναφορά
• συμπεριφορά αναφοράς πριν το κλικ
• ολοκλήρωση εκπαίδευσης παρακολούθησης
• τάσεις επαναλαμβανόμενου κινδύνου με τον χρόνο
• ποιότητα παράδοσης και false positives
• ενέργειες βελτίωσης που δημιουργήθηκαν μετά την ανασκόπηση

Οι καλύτερες μετρήσεις δείχνουν έναν κύκλο μάθησης. Έγινε μια καμπάνια. Οι εργαζόμενοι έλαβαν ανατροφοδότηση. Οι αναφορές επανεξετάστηκαν. Η ομάδα άλλαξε κάτι. Αργότερα, τα αποτελέσματα έδειξαν αν η συμπεριφορά βελτιώθηκε.

Ο οδηγός της AutoPhish για phishing simulation reporting features είναι ένα χρήσιμο σημείο αναφοράς για να ξεχωρίσετε τις λειτουργικές μετρήσεις από τα vanity charts.

Τεκμηριώστε τη διακυβέρνηση, όχι μόνο τα αποτελέσματα

Για συζητήσεις σχετικές με το NIS2, τα αποδεικτικά διακυβέρνησης συχνά μετρούν όσο και το αποτέλεσμα της καμπάνιας.

Καταγράψτε:

• ποιος μπορεί να εγκρίνει προσομοιώσεις
• ποιος μπορεί να ξεκινά καμπάνιες
• ποιος μπορεί να βλέπει αποτελέσματα σε ατομικό επίπεδο
• πώς διατηρούνται ή διαγράφονται τα δεδομένα εργαζομένων
• ποια θέματα σεναρίων απαγορεύονται
• πώς εμπλέκονται, όπου ισχύει, εργατικά συμβούλια, εκπρόσωποι εργαζομένων, HR ή ενδιαφερόμενοι για το απόρρητο
• πώς κλιμακώνονται τα αποτελέσματα προς τη διοίκηση
• πώς ανατίθεται η εκπαίδευση παρακολούθησης

Αυτό προστατεύει το πρόγραμμα από δύο συνηθισμένα προβλήματα. Πρώτον, οι προσομοιώσεις μπορούν να γίνουν ad hoc ασκήσεις που εξαρτώνται από έναν ενθουσιώδη διαχειριστή. Δεύτερον, η εκπαίδευση ευαισθητοποίησης μπορεί να μετατραπεί σε παρακολούθηση ευαίσθητη για την ιδιωτικότητα, αν οι έλεγχοι πρόσβασης και οι κανόνες διατήρησης είναι ασαφείς.

Αν ο οργανισμός σας έχει απαιτήσεις ανασκόπησης από εκπροσώπους εργαζομένων ή για το απόρρητο, τεκμηριώστε τις νωρίς. Ο οδηγός της AutoPhish για privacy-friendly phishing training καλύπτει την πλευρά της εμπιστοσύνης των εργαζομένων σε αυτή τη συζήτηση.

Checklist αποδεικτικών στοιχείων για κάθε καμπάνια

Χρησιμοποιήστε αυτό το checklist για να διατηρείτε συνεπή την τεκμηρίωση των καμπανιών:

1. Όνομα καμπάνιας και εσωτερικό ID
2. Επιχειρησιακή αιτία ή θέμα κινδύνου
3. Εγκεκριμένη ομάδα-στόχος
4. Εύρος ημερομηνιών και ζώνη ώρας
5. Κατηγορία σεναρίου, όχι οδηγίες τύπου επιτιθέμενου
6. Επιβεβαίωση ελέγχου ασφάλειας
7. Ρυθμίσεις απορρήτου και διατήρησης
8. Αναφορά ειδοποίησης ή επικοινωνίας προς εργαζομένους, αν χρησιμοποιήθηκε
9. Σύνοψη παράδοσης
10. Μετρήσεις αναφοράς και αλληλεπίδρασης
11. Σύνοψη εκπαίδευσης παρακολούθησης ή ανατροφοδότησης
12. Εξαιρέσεις και αποκλίσεις
13. Υπεύθυνος ανασκόπησης
14. Ενέργειες βελτίωσης
15. Ημερομηνία εξαγωγής και τοποθεσία αποθήκευσης

Το checklist δεν χρειάζεται να γίνει βαρύ workflow. Πρέπει να είναι αρκετά επαναλήψιμο ώστε η επόμενη περίοδος ελέγχου να μη χρειάζεται εγκληματολογική αρχαιολογία μέσα από παλιά spreadsheets, threads συνομιλιών και screenshots.

Τι να αποφεύγετε στα αποδεικτικά του ελέγχου

Αποφύγετε αποδεικτικά που δημιουργούν περισσότερο ρίσκο απ’ όσο αφαιρούν.

Συνηθισμένα λάθη περιλαμβάνουν:

• να βασίζεστε μόνο σε screenshots χωρίς σημειώσεις ανασκόπησης
• να αποθηκεύετε ακατέργαστα δεδομένα εργαζομένων πολύ ευρέως
• να κρατάτε επ’ αόριστον δεδομένα προσομοίωσης χωρίς λόγο
• να παρουσιάζετε μία καμπάνια ως απόδειξη συμμόρφωσης
• να χρησιμοποιείτε τιμωρητικά leaderboards ως «αποδεικτικά ευαισθητοποίησης»
• να τεκμηριώνετε ακριβείς μηχανισμούς δολώματος σε κοινόχρηστους φακέλους συμμόρφωσης
• να συλλέγετε πραγματικά διαπιστευτήρια για να φαίνονται τα αποτελέσματα πιο ρεαλιστικά
• να αγνοείτε προβλήματα παράδοσης που παραμορφώνουν τις μετρήσεις

Οι ελεγκτές και τα στελέχη δεν χρειάζονται μια δραματική ιστορία. Χρειάζονται μια ιστορία που στέκεται. Αν τα αποδεικτικά δείχνουν πεδίο εφαρμογής, δικλίδες ασφαλείας, ανασκόπηση και βελτίωση, το πρόγραμμα είναι πιο εύκολο να εμπνεύσει εμπιστοσύνη.

Πώς βοηθά η AutoPhish

Η AutoPhish έχει σχεδιαστεί για ομάδες ασφάλειας που χρειάζονται οι προσομοιώσεις phishing να είναι επαναλήψιμες, να λαμβάνουν υπόψη το απόρρητο και να μπορούν να εξηγηθούν. Αυτό έχει σημασία όταν οι προσομοιώσεις αποτελούν μέρος μιας ιστορίας συμμόρφωσης με αποδεικτικά στοιχεία.

Με τον σωστό σχεδιασμό προγράμματος, η AutoPhish μπορεί να βοηθήσει τις ομάδες να τεκμηριώσουν:

• επαναλαμβανόμενη δραστηριότητα προσομοίωσης phishing
• ασφαλέστερο χειρισμό σεναρίων
• συμπεριφορά αναφοράς εργαζομένων
• ολοκλήρωση εκπαίδευσης παρακολούθησης
• αναφορές έτοιμες για τη διοίκηση
• χειρισμό αποτελεσμάτων με σεβασμό στο απόρρητο
• εξαγωγές αποδεικτικών στοιχείων για ανασκόπηση

Η πλατφόρμα δεν αντικαθιστά τη νομική συμβουλή ούτε ένα πλήρες πρόγραμμα ετοιμότητας για NIS2. Βοηθά τις ομάδες ασφάλειας να εκτελούν και να τεκμηριώνουν το κομμάτι της ευαισθητοποίησης αυτού του προγράμματος με μεγαλύτερη συνέπεια.

FAQ

Αποδεικνύουν οι προσομοιώσεις phishing τη συμμόρφωση με το NIS2;

Όχι. Οι προσομοιώσεις phishing μπορούν να στηρίξουν αποδεικτικά για την ευαισθητοποίηση στην ασφάλεια, τη συμπεριφορά αναφοράς και τη συνεχή βελτίωση. Δεν αποδεικνύουν από μόνες τους τη συμμόρφωση με το NIS2.

Τι πρέπει να περιλαμβάνει ένα πακέτο αποδεικτικών στοιχείων για προσομοίωση phishing σχετική με το NIS2;

Περιλάβετε το πεδίο της καμπάνιας, την έγκριση, το εύρος ημερομηνιών, την κάλυψη του κοινού, την κατηγορία του σεναρίου, τον έλεγχο ασφάλειας, τις ρυθμίσεις απορρήτου, τις μετρήσεις αναφοράς, την εκπαίδευση παρακολούθησης, τις σημειώσεις ανασκόπησης και τις ενέργειες βελτίωσης.

Πρέπει οι ελεγκτές να βλέπουν τα ατομικά αποτελέσματα προσομοίωσης phishing;

Συνήθως όχι, από προεπιλογή. Οι συγκεντρωτικές αναφορές συχνά απαντούν στο ερώτημα της συμμόρφωσης. Τα δεδομένα σε ατομικό επίπεδο πρέπει να περιορίζονται σε όσους έχουν σαφή επιχειρησιακή ανάγκη και να χειρίζονται με καθορισμένους κανόνες διατήρησης και πρόσβασης.

Αρκεί το ποσοστό κλικ για αποδεικτικό υλικό ελέγχου;

Όχι. Το ποσοστό κλικ είναι μόνο ένα σήμα. Το ποσοστό αναφοράς, ο χρόνος μέχρι την αναφορά, η ολοκλήρωση παρακολούθησης, η κάλυψη, οι τάσεις επαναλαμβανόμενου κινδύνου και οι τεκμηριωμένες ενέργειες ανασκόπησης είναι συνήθως πιο χρήσιμα.

Πόσο συχνά πρέπει να ανανεώνονται τα αποδεικτικά στοιχεία για τις προσομοιώσεις phishing;

Ανανεώστε το πακέτο αποδεικτικών στοιχείων μετά από κάθε καμπάνια ή σε σταθερή συχνότητα αναφοράς. Το σημαντικό είναι η συνέπεια: ο οργανισμός πρέπει να μπορεί να δείξει ότι η δραστηριότητα ευαισθητοποίησης συμβαίνει επανειλημμένα και επανεξετάζεται.

Τελικό συμπέρασμα

Ο καλύτερος τρόπος να τεκμηριώσετε προσομοιώσεις phishing για έναν έλεγχο NIS2 είναι να δείξετε ένα ελεγχόμενο πρόγραμμα ευαισθητοποίησης, όχι ένα μεμονωμένο τεστ. Κρατήστε τα αποδεικτικά πρακτικά: πεδίο εφαρμογής, εγκρίσεις, ασφαλής σχεδιασμός σεναρίου, έλεγχοι απορρήτου, μετρήσεις, παρακολούθηση και ανασκόπηση από τη διοίκηση.

Αν θέλετε προσομοιώσεις phishing που είναι πιο εύκολες να εκτελεστούν, να επανεξεταστούν και να τεκμηριωθούν, Εγγραφείτε.