ISO 27001: Προσομοιώσεις phishing στο Παράρτημα Α 6.3 και

Εάν αξιολογείτε προσομοιώσεις phishing σύμφωνα με το ISO 27001, η πρακτική απάντηση είναι απλή: οι προσομοιώσεις phishing μπορούν να υποστηρίξουν τους στόχους ευαισθητοποίησης του Παραρτήματος Α 6.3, αλλά μόνο όταν εκτελούνται ως τεκμηριωμένος, επαναλαμβανόμενος έλεγχος με σαφείς κανόνες, αναφορές και παρακολούθηση. Από μόνες τους δεν καθιστούν έναν οργανισμό «συμμορφούμενο με το ISO 27001», και οποιοσδήποτε προμηθευτής ισχυρίζεται το αντίθετο υπερβάλλει.

Αυτή η διάκριση έχει σημασία, επειδή το ερώτημα πίσω από αυτό το θέμα προέρχεται συνήθως από μια πραγματική ερώτηση αγοράς ή ελέγχου: πού ταιριάζουν οι προσομοιώσεις phishing μέσα σε ένα πρόγραμμα ευαισθητοποίησης ασφάλειας σύμφωνα με το ISO 27001 και τι αποδεικτικά στοιχεία πρέπει να διατηρούμε;

Αυτός ο οδηγός απαντά σε αυτό το ερώτημα για μηχανικούς ασφάλειας, διαχειριστές IT, CISO και υπεύθυνους συμμόρφωσης.

Σημείωση ασφαλείας: αυτό το άρθρο αφορά αμυντικές προσομοιώσεις phishing και εκπαίδευση ευαισθητοποίησης. Δεν περιλαμβάνει οδηγίες για πραγματικό phishing, κλοπή διαπιστευτηρίων, παράδοση payload ή παράκαμψη ελέγχων ασφαλείας.

Τι σημαίνει στην πραγματικότητα το Παράρτημα Α 6.3 για τις προσομοιώσεις phishing

Σύμφωνα με το ISO/IEC 27001, η ευαισθητοποίηση, η εκπαίδευση και η κατάρτιση είναι θέματα διακυβέρνησης, όχι μεμονωμένες ασκήσεις περιεχομένου.

Αυτό έχει σημασία επειδή πολλές ομάδες εξακολουθούν να διεξάγουν δράσεις ευαισθητοποίησης με έναν από τους δύο αδύναμους τρόπους:

ετήσια εκπαίδευση χωρίς καμία μέτρηση πέρα από την παρουσία
περιστασιακές εκστρατείες phishing χωρίς τεκμηριωμένο σκοπό, διαδικασία αξιολόγησης ή παρακολούθηση

Καμία από τις δύο προσεγγίσεις δεν δημιουργεί ισχυρά αποδεικτικά στοιχεία.

Ένα πρόγραμμα προσομοίωσης phishing καθίσταται χρήσιμο στο πλαίσιο του ISO 27001 όταν σας βοηθά να δείξετε ότι η ευαισθητοποίηση είναι:

προγραμματισμένη
επαναλαμβανόμενη
σχετική με τον κίνδυνο της εργασίας
αξιολογείται με την πάροδο του χρόνου
συνδεδεμένη με διορθωτικά μέτρα ή ενίσχυση

Αυτή είναι η πραγματική αξία. Όχι «στείλαμε ψεύτικα email», αλλά «εφαρμόζουμε έναν ελεγχόμενο μηχανισμό ευαισθητοποίησης και μπορούμε να εξηγήσουμε πώς λειτουργεί».

Πού οι προσομοιώσεις phishing βοηθούν πραγματικά ένα πρόγραμμα ευαισθητοποίησης σύμφωνα με το ISO 27001

1. Μετατρέπουν την ευαισθητοποίηση σε έναν επαναλαμβανόμενο μηχανισμό ελέγχου

Ένα επαναλαμβανόμενο πρόγραμμα είναι ευκολότερο να υπερασπιστεί κανείς από μια ad hoc δραστηριότητα.

Αντί να αποδεικνύετε ότι πραγματοποιήθηκε μία εκστρατεία, μπορείτε να παρουσιάσετε έναν δομημένο κύκλο:

προγραμματίστε εκστρατείες με καθορισμένη συχνότητα
ορίστε σκόπιμα το εύρος των χρηστών ή των ρόλων
καταγράψτε τα αποτελέσματα με συνέπεια
παρέχετε καθοδήγηση ή εκπαίδευση παρακολούθησης
αναθεωρήστε τις τάσεις και βελτιώστε τον επόμενο κύκλο

Αυτός ο ρυθμός λειτουργίας ταιριάζει πολύ καλύτερα με τον τρόπο που οι περισσότερες ομάδες εξηγούν την ευθύνη ελέγχου κατά τη διάρκεια εσωτερικών αναθεωρήσεων, ερωτηματολογίων πελατών ή προετοιμασίας πιστοποίησης.

2. Σας παρέχουν στοιχεία πέρα από τα αρχεία παρουσίας

Τα στοιχεία ευαισθητοποίησης χάνουν γρήγορα την αξία τους όταν το μόνο αποδεικτικό στοιχείο είναι ότι «οι εργαζόμενοι ολοκλήρωσαν την εκπαίδευση».

Οι προσομοιώσεις phishing μπορούν να προσθέσουν πιο χρήσιμα στοιχεία, όπως:

ιστορικό και χρονοδιάγραμμα καμπάνιας
κάλυψη ανά επιχειρηματική μονάδα ή ρόλο
συμπεριφορά αναφοράς
ολοκλήρωση παρακολούθησης μετά από επικίνδυνες ενέργειες
δεδομένα τάσεων σε πολλαπλούς κύκλους
εγκρίσεις και αλλαγές διαχειριστή

Αν θέλετε ένα συγκεκριμένο σημείο αναφοράς για το πώς πρέπει να μοιάζει μια καλή αναφορά, ο οδηγός της AutoPhish για τις λειτουργίες αναφοράς προσομοίωσης phishing αποτελεί ένα ισχυρό σημείο εκκίνησης.

3. Υποστηρίζουν την ευαισθητοποίηση βάσει ρόλων αντί για γενική επιδεικτική ευαισθητοποίηση

Δεν αντιμετωπίζουν όλες οι ομάδες την ίδια πίεση από το phishing.

Οι ομάδες των οικονομικών, των ανθρώπινων πόρων, των διαχειριστών IT, των στελεχών, των προμηθειών και της υποστήριξης αντιμετωπίζουν όλες διαφορετικές ροές εργασίας, δελεαστικά μηνύματα και συνέπειες. Ένα ισχυρότερο πρόγραμμα ευαισθητοποίησης σύμφωνα με το ISO 27001 αντανακλά αυτή την πραγματικότητα αντί να προσποιείται ότι μια γενική εκστρατεία διδάσκει όλους εξίσου καλά.

Γι' αυτό έχει σημασία ο σχεδιασμός βάσει ρόλων:

τα σενάρια μπορούν να ταιριάζουν με το πραγματικό πλαίσιο λήψης αποφάσεων
η καθοδήγηση μπορεί να αντανακλά τον κίνδυνο των επιχειρηματικών διαδικασιών
οι αναφορές μπορούν να εξεταστούν σε επίπεδο ομάδας
η ευαισθητοποίηση γίνεται ευκολότερη να εξηγηθεί ως επιχειρηματικός έλεγχος

Το άρθρο της AutoPhish σχετικά με τις προσομοιώσεις phishing βάσει ρόλων δείχνει πώς μοιάζει αυτή η ωριμότητα στην πράξη.

4. Σας επιτρέπουν να μετρήσετε τη διόρθωση, όχι μόνο την αποτυχία

Το ποσοστό κλικ από μόνο του δεν είναι αρκετό.

Για τις περισσότερες συζητήσεις σχετικά με την ασφάλεια και τη συμμόρφωση, η καλύτερη ερώτηση είναι: τι συνέβη μετά την επικίνδυνη ενέργεια;

Μια ώριμη πλατφόρμα θα πρέπει να σας βοηθά να δείξετε πράγματα όπως:

εκπαίδευση παρακολούθησης που ανατίθεται αυτόματα ή σκόπιμα
παρακολούθηση της ολοκλήρωσης με την πάροδο του χρόνου
μείωση της επαναλαμβανόμενης επικίνδυνης συμπεριφοράς μετά την καθοδήγηση
βελτίωση της συμπεριφοράς αναφοράς, όχι μόνο αλλαγή της συμπεριφοράς κλικ

Αυτό μετατοπίζει τη συζήτηση μακριά από την επίρριψη ευθυνών και προς τη βελτίωση του ελέγχου.

Πού οι προσομοιώσεις phishing δεν λύνουν το πρόβλημά σας με το ISO 27001

Αυτό είναι το σημείο που αξίζει να τονιστεί ξεκάθαρα.

Δεν εγγυώνται την πιστοποίηση

Καμία πλατφόρμα phishing δεν μπορεί να κάνει έναν οργανισμό πιστοποιημένο κατά ISO 27001.

Η πιστοποίηση εξαρτάται από το ευρύτερο σύστημα διαχείρισης, τη διαχείριση κινδύνων, τη διακυβέρνηση, τα αποδεικτικά στοιχεία, το πεδίο εφαρμογής και τον τρόπο με τον οποίο λειτουργούν στην πράξη οι έλεγχοι. Ένα προϊόν προσομοίωσης phishing μπορεί να υποστηρίξει ένα μέρος αυτής της εικόνας που σχετίζεται με την ευαισθητοποίηση. Δεν μπορεί να αντικαταστήσει τα υπόλοιπα.

Δεν αντικαθιστούν τους τεχνικούς ελέγχους

Η ευαισθητοποίηση υποστηρίζει τη μείωση του κινδύνου. Δεν αντικαθιστά:

την επαλήθευση και το φιλτράρισμα email
τους ελέγχους τερματικών και ταυτότητας
τις ροές εργασίας αναφοράς
την ανταπόκριση σε περιστατικά
τις αναθεωρήσεις πρόσβασης
αποφάσεις πολιτικής και διακυβέρνησης

Εάν τα τεχνικά σας θεμέλια είναι αδύναμα, οι προσομοιώσεις μπορεί να αποκαλύψουν κενά, αλλά δεν θα τα διορθώσουν από μόνες τους.

Δεν δικαιολογούν τον απερίσκεπτο ρεαλισμό

Ορισμένες ομάδες υπερβάλλουν και υποθέτουν ότι ένα «σοβαρό» πρόγραμμα πρέπει να είναι αυστηρό.

Συνήθως αυτό δημιουργεί νέα προβλήματα:

μειώνεται η εμπιστοσύνη των εργαζομένων
αλλοιώνεται η ποιότητα των αναφορών
αυξάνονται οι τριβές με το τμήμα ανθρώπινου δυναμικού ή το συμβούλιο εργαζομένων
η ηγεσία βλέπει περισσότερο θόρυβο παρά αξία

Μια καλύτερη προσέγγιση είναι οι ασφαλείς, εξηγήσιμες, αναλογικές προσομοιώσεις με σαφείς κανόνες, επιλογές διατήρησης και περιορισμένη ορατότητα των αποτελεσμάτων όπου είναι κατάλληλο. Για περιβάλλοντα με έντονη παρουσία της ΕΕ, ο οδηγός της AutoPhish για την εκπαίδευση σε θέματα phishing που σέβεται την ιδιωτικότητα αποτελεί το σωστό πρότυπο.

Ποια αποδεικτικά στοιχεία πρέπει να διατηρούνται για τις προσομοιώσεις phishing σύμφωνα με το ISO 27001

Εάν θέλετε οι προσομοιώσεις phishing να υποστηρίζουν τις συζητήσεις του Παραρτήματος Α 6.3, διατηρήστε αποδεικτικά στοιχεία που είναι σαφή, συνεπή και εύκολα αναπαραγώγιμα.

Χάρτης προγράμματος

Τεκμηριώστε:

τον σκοπό του προγράμματος προσομοίωσης phishing
ποιος είναι ο υπεύθυνος
ποιος εγκρίνει τις εκστρατείες
πώς ορίζεται η επιτυχία
για ποια σκοπούς το πρόγραμμα δεν χρησιμοποιείται ρητά
τυχόν εξαιρούμενα θέματα ή όρια ευαίσθητων σεναρίων

Ρυθμός και πεδίο εφαρμογής της εκστρατείας

Τηρείτε αρχείο για:

πότε διεξήχθησαν οι εκστρατείες
ποιες ομάδες συμπεριλήφθηκαν
ποιες ομάδες εξαιρέθηκαν και για ποιο λόγο
αν τα σενάρια ήταν γενικά ή βασισμένα σε ρόλους
ποιος ενέκρινε την έναρξη

Αρχεία αποτελεσμάτων και παρακολούθησης

Τα χρήσιμα αποδεικτικά στοιχεία συνήθως περιλαμβάνουν:

περιλήψεις παράδοσης και αλληλεπίδρασης
τάσεις ποσοστού αναφοράς ή χρόνου αναφοράς
εργασίες εκπαίδευσης ή καθοδήγησης
αρχεία ολοκλήρωσης
μοτίβα επαναλαμβανόμενου κινδύνου με την πάροδο του χρόνου

Ρυθμίσεις πρόσβασης, απορρήτου και διατήρησης

Θα πρέπει επίσης να μπορείτε να εξηγήσετε:

ποιος μπορεί να δει αποτελέσματα σε ατομικό επίπεδο
ποιος βλέπει μόνο συγκεντρωτικές προβολές
για πόσο καιρό διατηρούνται τα δεδομένα
αν οι εξαγωγές είναι περιορισμένες
πώς αντιμετωπίζονται οι ευαίσθητες περιπτώσεις

Αρχείο βελτιώσεων

Μετά από κάθε κύκλο, καταγράψτε τι άλλαξε.

Παραδείγματα:

ενημερωμένες οδηγίες αναφοράς
προσαρμοσμένη στόχευση ρόλων
βελτιωμένα όρια σεναρίων
νέο περιεχόμενο καθοδήγησης
αλλαγές στα δικαιώματα διαχειριστή ή στη ροή ελέγχου

Αυτό το αρχείο καταγραφής βελτιώσεων είναι συχνά αυτό που μετατρέπει την ευαισθητοποίηση από «δραστηριότητα» σε ένα αμυντικό μέτρο ελέγχου.

Τι να συγκρίνετε σε μια πλατφόρμα προσομοίωσης phishing για ομάδες που γνωρίζουν το πρότυπο ISO 27001

Εάν αυτό το θέμα αποτελεί μέρος της αξιολόγησης προμηθευτών, κάντε ερωτήσεις που αναδεικνύουν την επιχειρησιακή ωριμότητα και όχι την επιδεξιότητα της επίδειξης.

1. Μπορεί το πρόγραμμα να λειτουργεί συνεχώς χωρίς βαρύ διοικητικό φόρτο εργασίας;

Αναζητήστε:

επαναλαμβανόμενο προγραμματισμό
επαναχρησιμοποιήσιμη τμηματοποίηση
προβλέψιμη συλλογή αποδεικτικών στοιχείων
εισαγωγές ή συγχρονισμούς χωρίς προβλήματα
διαχειρίσιμες εγκρίσεις

Εάν ο έλεγχος λειτουργεί μόνο όταν ένας ενθουσιώδης μηχανικός θυμάται να τον εκτελέσει, είναι αδύναμος.

2. Μπορείτε να παράγετε αποδεικτικά στοιχεία εκτός του περιβάλλοντος χρήστη της πλατφόρμας;

Ρωτήστε αν το εργαλείο υποστηρίζει:

εξαγώγιμες αναφορές
προβολές τάσεων στο χρόνο
ιστορικό καμπανιών
αρχεία καταγραφής διαχείρισης ή ελέγχου
παρακολούθηση διορθωτικών μέτρων

Ένα όμορφο ταμπλό είναι λιγότερο χρήσιμο από καθαρά, εξηγήσιμα αποδεικτικά στοιχεία.

3. Είναι οι έλεγχοι απορρήτου αρκετά ισχυροί για το περιβάλλον σας;

Ελέγξτε για:

πρόσβαση στα αποτελέσματα βάσει ρόλων
επιλογές συγκεντρωτικής αναφοράς
διαμορφώσιμη διατήρηση
περιορισμένες εξαγωγές
σαφή όρια για τους ελεγκτές

Αυτό δεν είναι απλώς ένα νομικό ζήτημα. Συχνά είναι αυτό που διατηρεί το πρόγραμμα ευαισθητοποίησης αρκετά αξιόπιστο ώστε να επιβιώσει.

4. Υποστηρίζει η πλατφόρμα ροές εργασίας βάσει ρόλων και παρακολούθησης;

Ένα αξιοπρεπές εργαλείο θα πρέπει να καθιστά πρακτική την προσαρμογή της ευαισθητοποίησης ανά λειτουργία και να δείχνει τι συνέβη στη συνέχεια μετά από μια αποτυχία ή μια αναφορά. Χωρίς αυτό, το πρόγραμμα συχνά παραμένει στάσιμο σε γενικά πρότυπα και μετρήσεις ματαιοδοξίας.

5. Μπορεί η ομάδα να εξηγήσει ακριβώς τι δεν κάνει η πλατφόρμα;

Αυτό είναι ένα υποτιμημένο κριτήριο αγοράς.

Η ασφαλέστερη απάντηση ενός προμηθευτή είναι συνήθως κάτι σαν:

υποστηρίζουμε δραστηριότητες ευαισθητοποίησης
βοηθάμε στην τεκμηρίωση των αποτελεσμάτων και της παρακολούθησης
δεν προβαίνουμε σε δηλώσεις πιστοποίησης εκ μέρους σας

Αυτού του είδους η αυτοσυγκράτηση είναι καλό σημάδι.

Συχνές ερωτήσεις

Απαιτεί το ISO 27001 προσομοιώσεις phishing;

Όχι συγκεκριμένα. Το ISO 27001 αναμένει από τους οργανισμούς να εφαρμόζουν κατάλληλους ελέγχους, συμπεριλαμβανομένων ελέγχων που σχετίζονται με την ευαισθητοποίηση, στο πλαίσιο ενός ευρύτερου συστήματος διαχείρισης. Οι προσομοιώσεις phishing μπορούν να υποστηρίξουν αυτό το έργο, αλλά αποτελούν μία επιλογή, όχι μια καθολική απαίτηση.

Μπορούν οι προσομοιώσεις phishing να βοηθήσουν με το Παράρτημα Α 6.3;

Ναι, όταν υποστηρίζουν την ευαισθητοποίηση, την εκπαίδευση, την ενίσχυση και τη μετρήσιμη παρακολούθηση. Είναι πιο χρήσιμες όταν τεκμηριώνονται ως επαναλαμβανόμενος έλεγχος παρά όταν χρησιμοποιούνται ως μεμονωμένες δοκιμές.

Ποια είναι η πιο χρήσιμη μέτρηση για τις προσομοιώσεις phishing του ISO 27001;

Συνήθως όχι μόνο το ποσοστό κλικ. Η αναφορά συμπεριφοράς, η ολοκλήρωση της παρακολούθησης, η μείωση του κινδύνου επανάληψης, ο ρυθμός των εκστρατειών και τα αποδεικτικά στοιχεία που μπορούν να αξιολογηθούν με την πάροδο του χρόνου τείνουν να είναι πιο χρήσιμα.

Πρέπει οι ελεγκτές ή οι διευθυντές να βλέπουν κάθε μεμονωμένη αποτυχία;

Συνήθως όχι, εξ ορισμού. Η ελεγχόμενη πρόσβαση, η συγκεντρωτική αναφορά και οι σαφώς καθορισμένες εξαιρέσεις είναι συχνά ευκολότερο να υπερασπιστούν από ό,τι η ευρεία ορατότητα σε συγκεκριμένα αποτελέσματα.

Μπορεί μια πλατφόρμα phishing να αποδείξει τη συμμόρφωση με το ISO 27001;

Όχι. Μπορεί να υποστηρίξει αποδεικτικά στοιχεία για δραστηριότητες ευαισθητοποίησης και ροές εργασιών αποκατάστασης, αλλά η πιστοποίηση εξαρτάται από το πλήρες σύστημα διαχείρισης και τον τρόπο με τον οποίο διέπονται οι έλεγχοι σε ολόκληρο τον οργανισμό.

Το πρακτικό συμπέρασμα

Οι καλύτερες προσομοιώσεις phishing για το ISO 27001 δεν είναι οι πιο δραματικές. Είναι αυτές που η ομάδα σας μπορεί να εκτελέσει με ασφάλεια, να εξηγήσει με σαφήνεια, να αναθεωρήσει με συνέπεια και να βελτιώσει με την πάροδο του χρόνου.

Αν αυτό είναι που χρειάζεστε, επιλέξτε την πλατφόρμα που σας προσφέρει επαναληψιμότητα, αποδεικτικά στοιχεία, παρακολούθηση και λογικά όρια ασφαλείας, όχι εκείνη που κάνει υπερβολικές υποσχέσεις συμμόρφωσης.

Αν θέλετε έναν τρόπο με χαμηλό κόστος και σεβασμό της ιδιωτικότητας για να εκτελείτε προσομοιώσεις phishing και να τεκμηριώνετε τα αποτελέσματα με σαφήνεια, Εγγραφείτε.

Ευαισθητοποίηση σε θέματα ασφάλειας ISO 27001: Πού εντάσσονται οι προσομοιώσεις phishing στο Παράρτημα Α 6.3