Εκπαίδευση ευαισθητοποίησης των εργαζομένων σχετικά με το phishing:

Η εκπαίδευση ευαισθητοποίησης των εργαζομένων σχετικά με το phishing πρέπει να αλλάξει τον τρόπο με τον οποίο οι άνθρωποι αντιδρούν όταν λαμβάνουν ένα ύποπτο αίτημα: να σταματούν, να επαληθεύουν μέσω ενός αξιόπιστου καναλιού, να αποφεύγουν την αποκάλυψη εμπιστευτικών πληροφοριών και να αναφέρουν αμέσως το περιστατικό. Ένα ετήσιο βίντεο μπορεί να τεκμηριώνει την ολοκλήρωση της εκπαίδευσης, αλλά σπάνια αποδεικνύει ότι αυτές οι συμπεριφορές λειτουργούν υπό κανονικές συνθήκες εργασιακής πίεσης. Ένα πιο αποτελεσματικό πρόγραμμα συνδυάζει σύντομη μάθηση, ασφαλείς πρακτικές, απλή αναφορά περιστατικών και στοχευμένη ενίσχυση.

Για τους αγοραστές, αυτό σημαίνει να συγκρίνουν περισσότερα από τις βιβλιοθήκες μαθημάτων. Οι μηχανικοί ασφάλειας χρειάζονται ελεγχόμενες προσομοιώσεις και αξιόπιστη τηλεμετρία. Οι διαχειριστές IT χρειάζονται ενσωματώσεις που δεν δημιουργούν ένα δεύτερο έργο διαχείρισης ταυτότητας. Οι CISO χρειάζονται αποδείξεις βελτίωσης. Οι ενδιαφερόμενοι για την προστασία της ιδιωτικής ζωής και τη συμμόρφωση χρειάζονται σαφή όρια σχετικά με τα δεδομένα των υπαλλήλων.

Αυτός ο οδηγός έχει αμυντικό χαρακτήρα. Δεν παρέχει πρότυπα phishing, οδηγίες συλλογής διαπιστευτηρίων, τεχνικές αποφυγής παράδοσης ή βήματα για μη εξουσιοδοτημένες δοκιμές.

Καθορίστε τη συμπεριφορά πριν επιλέξετε το περιεχόμενο

Τα προγράμματα ευαισθητοποίησης συχνά ξεκινούν με έναν κατάλογο: βίντεο, κουίζ, αφίσες και πρότυπα σεναρίων. Ξεκινήστε, αντίθετα, από τις αποφάσεις που πρέπει να λάβουν οι εργαζόμενοι.

Ένα χρήσιμο πρόγραμμα πρέπει να ενισχύει ένα μικρό σύνολο παρατηρήσιμων συμπεριφορών:

να αναγνωρίζουν απροσδόκητα αιτήματα που αφορούν διαπιστευτήρια, πληρωμές, αρχεία, αλλαγές λογαριασμών ή επείγουσα έγκριση
να επαληθεύουν ευαίσθητα αιτήματα μέσω ενός γνωστού, ξεχωριστού καναλιού
να χρησιμοποιούν την εγκεκριμένη διαδρομή αναφοράς από επιτραπέζιους υπολογιστές και κινητές συσκευές
αποφυγή εισαγωγής κωδικών πρόσβασης, κωδικών MFA, δεδομένων πληρωμών ή εμπιστευτικών πληροφοριών μετά από απροσδόκητη προτροπή
άμεση αναφορά πιθανών λαθών χωρίς φόβο τιμωρίας
διάκριση μεταξύ συνήθους υποψίας και περιστατικού που απαιτεί άμεση αντιμετώπιση

Αυτά τα αποτελέσματα είναι ευκολότερα να διδαχθούν, να μετρηθούν και να εξηγηθούν σε σύγκριση με έναν ασαφή στόχο όπως «να γίνουν οι εργαζόμενοι πιο ευαισθητοποιημένοι σε θέματα ασφάλειας». Επίσης, καθιστούν τις διαδικασίες προμηθειών πιο στοχευμένες: κάθε χαρακτηριστικό σε έναν κατάλογο υποψήφιων προμηθευτών πρέπει να υποστηρίζει μια καθορισμένη συμπεριφορά, μια επιχειρησιακή ροή εργασιών ή μια απαίτηση διακυβέρνησης.

Χρησιμοποιήστε εκπαίδευση και προσομοιώσεις για διαφορετικές θέσεις εργασίας

Η εκπαίδευση διδάσκει έννοιες και παρέχει στους ανθρώπους ένα ασφαλές περιβάλλον για μάθηση. Οι προσομοιώσεις ελέγχουν αν οι συνήθειες αναφοράς και επαλήθευσης αντέχουν σε μια ρεαλιστική κατάσταση. Καμία από τις δύο δεν αντικαθιστά την άλλη.

Χρησιμοποιήστε εκπαιδευτικό περιεχόμενο για να εξηγήσετε:

γιατί η επείγουσα φύση, η εξουσία, η εμπιστευτικότητα και οι ασυνήθιστες αλλαγές στις διαδικασίες απαιτούν προσεκτική εξέταση
πώς να ελέγχετε έναν αποστολέα, έναν προορισμό, ένα συνημμένο, έναν κωδικό QR ή μια ειδοποίηση στο κινητό στις συσκευές που χρησιμοποιούν πραγματικά οι εργαζόμενοι
ποια αιτήματα πρέπει να επαληθεύονται εκτός κανονικής διαδικασίας
πού πρέπει να αναφέρονται τα ύποπτα μηνύματα
τι πρέπει να γίνει μετά από ένα τυχαίο κλικ ή αποκάλυψη πληροφοριών

Χρησιμοποιήστε προσομοιώσεις για να παρατηρήσετε αν η διαδικασία του οργανισμού λειτουργεί. Αναγνώρισαν οι εργαζόμενοι την κατάσταση; Μπόρεσαν να βρουν την επιλογή αναφοράς; Έλαβε το SOC ή το helpdesk επαρκή πληροφορία σχετικά με το πλαίσιο; Ήταν η συνέχεια άμεση και χρήσιμη; Η διάκριση αυτή εξετάζεται πιο αναλυτικά στο άρθρο Εκπαίδευση για το phishing έναντι προσομοίωσης phishing.

Οι ασφαλέστερες ασκήσεις δεν συλλέγουν πραγματικούς κωδικούς πρόσβασης, κωδικούς MFA, στοιχεία πληρωμής, έγγραφα ταυτότητας ή ευαίσθητα αρχεία. Χρησιμοποιούν ελεγχόμενες σελίδες προορισμού και καταγράφουν μόνο τα ελάχιστα συμβάντα που απαιτούνται για τον μαθησιακό στόχο.

Δημιουργήστε ένα πρόγραμμα εκπαίδευσης βασισμένο σε ρόλους γύρω από πραγματικές αποφάσεις

Η γενική ευαισθητοποίηση έχει αξία, αλλά ο κίνδυνος δεν κατανέμεται ομοιόμορφα. Οι ομάδες χρηματοοικονομικών επαληθεύουν αλλαγές σε πληρωμές και τραπεζικά στοιχεία. Το τμήμα Ανθρώπινου Δυναμικού χειρίζεται βιογραφικά, ερωτήσεις σχετικά με τη μισθοδοσία και προσωπικά δεδομένα. Το τμήμα Πληροφορικής λαμβάνει αιτήματα πρόσβασης και επαναρύθμισης κωδικών. Τα στελέχη αντιμετωπίζουν πίεση που σχετίζεται με την εξουσία τους. Η υποστήριξη πελατών ανοίγει συνδέσμους και συνημμένα στο πλαίσιο της νόμιμης εργασίας της.

Κατατάξτε τους χρήστες ανά ροή εργασίας και εξουσία λήψης αποφάσεων και όχι μόνο βάσει του τίτλου της θέσης τους. Ένα πρακτικό πρόγραμμα εκπαίδευσης συνήθως αποτελείται από τρία επίπεδα:

Κοινή βάση: υποβολή εκθέσεων, επαλήθευση, ασφάλεια διαπιστευτηρίων, κίνδυνοι από κινητές συσκευές και τι πρέπει να γίνει μετά από ένα λάθος.
Ενότητες βασισμένες σε ρόλους: αλλαγές πληρωμών, προνομιακή πρόσβαση, ευαίσθητα αρχεία, επικοινωνία με προμηθευτές, προσλήψεις ή αιτήματα στελεχών.
Ενίσχυση βάσει γεγονότων: σύντομη παρακολούθηση μετά από προσομοίωση, πραγματικά πρότυπα συμβάντων, αλλαγή διαδικασιών ή επαναλαμβανόμενα κενά στην υποβολή αναφορών.

Μην εισάγετε πραγματικά μηνύματα από το εισερχόμενο, αρχεία πελατών, αιτήματα υποστήριξης ή εμπιστευτικές πληροφορίες υπαλλήλων σε μια πλατφόρμα εκπαίδευσης για να κάνετε τα σενάρια να φαίνονται πιο αυθεντικά. Ένα φανταστικό πλαίσιο χαμηλής ευαισθησίας αρκεί για να δοκιμάσετε τη λήψη αποφάσεων. Η συνάφεια προέρχεται από τη ροή εργασιών, όχι από την αντιγραφή δεδομένων παραγωγής.

Ενσωματώστε την πρακτική αναφοράς ως μέρος της αξιολόγησης του προϊόντος

Η αναγνώριση χωρίς αναφορά αφήνει την ομάδα ασφάλειας στο σκοτάδι. Η διαδικασία αναφοράς πρέπει να είναι ορατή, γρήγορη και διαθέσιμη στον χώρο εργασίας των υπαλλήλων.

Κατά τη διάρκεια μιας πιλοτικής δοκιμής, ελέγξτε αν οι χρήστες μπορούν να υποβάλλουν αναφορές από:

προγράμματα ηλεκτρονικού ταχυδρομείου σε επιτραπέζιους υπολογιστές και κινητά
κοινόχρηστα ή εξουσιοδοτημένα γραμματοκιβώτια, όπου ενδείκνυται
εργαλεία συνεργασίας που χρησιμοποιούνται για επιχειρηματικά αιτήματα
διαχειριζόμενες κινητές συσκευές και εγκεκριμένες ροές εργασίας για προσωπικές συσκευές
ένα εφεδρικό γραμματοκιβώτιο, γραφείο εξυπηρέτησης ή γραμμή βοήθειας όταν ένα πρόσθετο δεν είναι διαθέσιμο

Στη συνέχεια, ελέγξτε την πλευρά λήψης. Οι αναφορές πρέπει να καταλήγουν σε μια ουρά με τον αποστολέα, το κανάλι, τις χρονικές σημάνσεις και χρήσιμο πλαίσιο του μηνύματος, χωρίς να εκθέτουν περισσότερα δεδομένα υπαλλήλων από ό,τι είναι απαραίτητο. Οι γνωστές προσομοιώσεις πρέπει να επισημαίνονται, ώστε να μην επισκιάζουν τα πραγματικά περιστατικά. Το SOC ή το helpdesk πρέπει να είναι σε θέση να επιβεβαιώσει τη λήψη της αναφοράς, να διερευνήσει τα πραγματικά μηνύματα και να ενεργοποιήσει μέτρα περιορισμού όταν απαιτείται.

Οι οδηγίες της CISA Αναγνώριση και αναφορά phishing τονίζουν την ανάγκη να μην βιαζόμαστε σε περίπτωση επείγουσων αιτημάτων και να αναφέρουμε ύποπτες δραστηριότητες. Αυτή αποτελεί μια χρήσιμη βάση, αλλά ο οργανισμός πρέπει ακόμα να μετατρέψει τη συμβουλή σε μια λειτουργική εσωτερική διαδικασία.

Προτιμήστε τη συνεχή μάθηση αντί της ετήσιας ολοκλήρωσης

Η ετήσια εκπαίδευση είναι εύκολη στον προγραμματισμό και στον έλεγχο, αλλά η μνήμη ξεθωριάζει και τα κανάλια απειλών αλλάζουν. Ένα μοντέλο συνεχούς εκπαίδευσης δεν σημαίνει συνεχείς δοκιμές. Σημαίνει μικρότερες, στοχευμένες στιγμές μάθησης κατανεμημένες καθ’ όλη τη διάρκεια του έτους.

Ένας ισορροπημένος ρυθμός μπορεί να περιλαμβάνει:

βασική εκπαίδευση κατά την ένταξη νέων υπαλλήλων
σύντομες τριμηνιαίες επαναληπτικές εκπαιδεύσεις συνδεδεμένες με τις τρέχουσες επιχειρηματικές ροές εργασίας
περιοδικές προσομοιώσεις μέσω email, κινητών συσκευών, εφαρμογών συνεργασίας ή QR κωδικών, όταν τα κανάλια αυτά εμπίπτουν πραγματικά στο πεδίο εφαρμογής
άμεση ανατροφοδότηση μετά από μια ασφαλή προσομοίωση αλληλεπίδρασης
στοχευμένη ενίσχυση για ομάδες με κοινά κενά στις διαδικασίες
μαθήματα σε επίπεδο οργανισμού μετά από σχετικά πραγματικά περιστατικά, χωρίς να κατονομάζονται ή να εκτίθενται άτομα

Οι νέοι υπάλληλοι δικαιούνται σαφείς οδηγίες πριν υποβληθούν σε δοκιμασία. Ο οδηγός εκπαίδευσης για το phishing των νεοπροσληφθέντων εξηγεί πώς να εισαγάγετε συνήθειες αναφοράς και επαλήθευσης χωρίς να μετατρέψετε την πρώτη εβδομάδα σε μια άσκηση-έκπληξη.

Αποφύγετε τις προβλέψιμες μηνιαίες μαζικές αποστολές χωρίς μαθησιακό στόχο. Η επανάληψη βοηθά μόνο όταν τα σενάρια, η ανατροφοδότηση και οι βελτιώσεις στις διαδικασίες αφορούν μια συγκεκριμένη συμπεριφορά.

Μετρήστε την αλλαγή στη συμπεριφορά, όχι μόνο τα κλικ

Το ποσοστό κλικ είναι εύκολο να αποτυπωθεί σε γράφημα, αλλά δεν αποτελεί αξιόπιστο δείκτη αξιολόγησης του προγράμματος. Τα αυτοματοποιημένα προγράμματα σάρωσης μπορούν να ακολουθήσουν συνδέσμους. Τα κλικ σε κινητά μπορεί να είναι τυχαία. Ένα δύσκολο σενάριο μπορεί να αυξήσει τα κλικ ακόμη και όταν η αναφορά βελτιώνεται. Ένα πολύ προφανές σενάριο μπορεί να δημιουργήσει ένα κολακευτικό αποτέλεσμα χωρίς να δοκιμάζει τίποτα σημαντικό.

Χρησιμοποιήστε ένα μικρό σύνολο δεικτών που συνδέονται με την ανταπόκριση και τη μάθηση:

ποσοστό αναφοράς: πόσοι παραλήπτες χρησιμοποίησαν την εγκεκριμένη οδό αναφοράς
χρόνος αναφοράς: πόσο γρήγορα έφτασαν η πρώτη και η διάμεση αναφορά
σωστή επαλήθευση: αν οι εργαζόμενοι χρησιμοποίησαν τον απαιτούμενο ανεξάρτητο έλεγχο για ένα ευαίσθητο αίτημα
ποσοστό ευαίσθητων ενεργειών: αν ένας χρήστης επιχείρησε μια καθορισμένη επικίνδυνη ενέργεια, μετρούμενη χωρίς τη συλλογή του ίδιου του μυστικού
ολοκλήρωση της παρακολούθησης: αν ολοκληρώθηκε η ανατεθείσα μικροεκπαίδευση
επανάληψη συμπεριφοράς: αν μια σχετική συμπεριφορά βελτιώθηκε σε συγκρίσιμες ασκήσεις
λειτουργική ποιότητα: αν η δρομολόγηση, η ταξινόμηση, η επιβεβαίωση και η αναφορά σε ανώτερο επίπεδο λειτούργησαν όπως είχε σχεδιαστεί

Συγκρίνετε ομοειδή στοιχεία. Μην αντιμετωπίζετε μια άσκηση αλλαγής πληρωμής στο τμήμα οικονομικών ως ισοδύναμη με ένα ευρύ σενάριο ενημερωτικού δελτίου. Τμηματοποιήστε τα αποτελέσματα ανά σχετική ροή εργασίας, κανάλι και έκθεση, διατηρώντας παράλληλα τους πληθυσμούς αρκετά μεγάλους ώστε να αποφευχθεί η μετατροπή του προγράμματος σε ατομική παρακολούθηση.

Οι αναφορές προς την ηγεσία πρέπει να εξηγούν τι άλλαξε και τι θα βελτιώσει ο οργανισμός στη συνέχεια. Η φράση «Οι εργαζόμενοι έκαναν λιγότερα κλικ» είναι λιγότερο ισχυρή από το «οι αναφορές μέσω κινητών συσκευών έφταναν γρηγορότερα μετά την απλοποίηση της ροής εργασίας αναφοράς».

Ορίστε όρια προστασίας της ιδιωτικότητας και της ασφάλειας πριν από την πιλοτική εφαρμογή

Τα δεδομένα σχετικά με την ευαισθητοποίηση των εργαζομένων μπορούν να επηρεάσουν την εμπιστοσύνη, τις σχέσεις στο χώρο εργασίας και τις νομικές υποχρεώσεις. Καθορίστε τα όρια πριν από την αποστολή μιας δοκιμαστικής εφαρμογής.

Τεκμηριώστε:

το εξουσιοδοτημένο κοινό, τους υπεύθυνους και τους εγκρίνοντες
τα ακριβή συμβάντα που καταγράφει η πλατφόρμα
την απαγορευμένη συλλογή δεδομένων, συμπεριλαμβανομένων των διαπιστευτηρίων και των ευαίσθητων εισροών σε φόρμες
τις περιόδους διατήρησης και τις διαδικασίες διαγραφής
την πρόσβαση σε ατομικά, ομαδικά και συγκεντρωτικά αποτελέσματα
τον τρόπο με τον οποίο οι διευθυντές μπορούν να χρησιμοποιούν τα δεδομένα
την εξέταση από το συμβούλιο εργαζομένων, το συνδικάτο, το τμήμα ανθρώπινου δυναμικού, το νομικό τμήμα ή την αρχή προστασίας δεδομένων, όπου ισχύει
εξαιρέσεις για άδειες, ευαίσθητους ρόλους, ενεργά περιστατικά και περιόδους λειτουργικής διακοπής
τη διαδικασία για την παύση μιας εκστρατείας

Τα αποτελέσματα πρέπει να υποστηρίζουν τη μάθηση και τη μείωση των κινδύνων, όχι τις δημόσιες κατατάξεις ή τις πειθαρχικές παρακάμψεις. Τα ονομαστικά δεδομένα μπορεί να είναι απαραίτητα για στοχευμένη παρακολούθηση, αλλά η πρόσβαση πρέπει να είναι περιορισμένη και η συγκεντρωτική αναφορά πρέπει να αποτελεί την προεπιλογή για τη διοίκηση, όποτε είναι δυνατόν.

Συγκρίνετε τις πλατφόρμες με βάση έναν λειτουργικό κατάλογο ελέγχου

Μια καλά οργανωμένη βιβλιοθήκη περιεχομένου είναι χρήσιμη μόνο εάν το προϊόν μπορεί να εκτελέσει το πρόγραμμα με ασφάλεια. Ζητήστε από τους προμηθευτές να επιδείξουν τα ακόλουθα χρησιμοποιώντας έναν φανταστικό πληθυσμό εργαζομένων.

Διοίκηση και διαχείριση κοινού

Μπορούν οι ομάδες να συγχρονίζονται από τον πάροχο ταυτότητας χωρίς να εισάγονται περιττά χαρακτηριστικά ανθρώπινου δυναμικού;
Μπορούν οι νέες προσλήψεις, οι μεταθέσεις, οι εξωτερικοί συνεργάτες και οι αποχωρούντες να αντιμετωπίζονται αυτόματα;
Μπορούν οι διαχειριστές να αποκλείουν άτομα, περιοχές, βάρδιες ή περιόδους απαγόρευσης;
Υπάρχουν διαθέσιμες εγκρίσεις και δικαιώματα διαχείρισης βάσει ρόλων;

Έλεγχοι μάθησης και προσομοίωσης

Μπορεί η πλατφόρμα να συνδυάζει βασικό περιεχόμενο, μάθηση βάσει ρόλων, προσομοιώσεις και άμεση ανατροφοδότηση;
Μπορούν οι υπεύθυνοι ελέγχου να εγκρίνουν σενάρια πριν από την έναρξή τους;
Μπορούν οι σελίδες προορισμού να μετρούν τη συμπεριφορά χωρίς τη συλλογή εμπιστευτικών πληροφοριών;
Μπορεί η πλατφόρμα να διακόψει γρήγορα μια καμπάνια;
Υποστηρίζει τις γλώσσες, τις ανάγκες προσβασιμότητας, τις συσκευές και τα κανάλια που εμπίπτουν στο πεδίο εφαρμογής;

Αναφορές και ενσωματώσεις

Μπορούν οι εργαζόμενοι να υποβάλλουν αναφορές από τις εφαρμογές που χρησιμοποιούν πραγματικά;
Μπορούν οι αναφορές να δρομολογούνται προς το υπάρχον SOC, το helpdesk ή τη ροή εργασιών διαχείρισης αιτημάτων;
Μπορούν οι πραγματικές αναφορές να διαχωριστούν από τις γνωστές προσομοιώσεις;
Μπορεί η πλατφόρμα να ανταλλάσσει μόνο τα ελάχιστα απαιτούμενα δεδομένα με εργαλεία ταυτότητας, εκμάθησης και ασφάλειας;

Αποδεικτικά στοιχεία και προστασία προσωπικών δεδομένων

Μπορεί ο αγοραστής να διαμορφώσει τις ρυθμίσεις διατήρησης και διαγραφής;
Μπορεί να περιοριστεί η πρόσβαση σε συγκεκριμένα αποτελέσματα;
Μπορούν οι εξαγωγές δεδομένων να παρουσιάζουν στοιχεία σχετικά με την εξουσιοδότηση, το κοινό, την παράδοση, την αναφορά, την παρακολούθηση και τις τάσεις;
Μπορεί ο προμηθευτής να εξηγήσει την τοποθεσία των δεδομένων, τους υποεπεξεργαστές, τη διαχείριση περιστατικών και τη συμβατική διαγραφή;

Οι απαντήσεις πρέπει να είναι ορατές στο προϊόν και στη σύμβαση, και όχι να παραμένουν ως υποσχέσεις του οδικού χάρτη.

Διεξαγωγή πιλοτικού προγράμματος που δοκιμάζει ολόκληρο το σύστημα

Ένα πιλοτικό πρόγραμμα του αγοραστή πρέπει να επικυρώνει έναν πλήρη κύκλο μάθησης, και όχι να μεγιστοποιεί τον αριθμό των παραληπτών.

Επιλέξτε μία ή δύο αντιπροσωπευτικές ομάδες εργαζομένων.
Ορίστε τη συμπεριφορά και τη ροή εργασιών αναφοράς που θα δοκιμαστούν.
Εγκρίνετε ένα ασφαλές σενάριο και όρια δεδομένων.
Επιβεβαιώστε την παράδοση, τη λίστα επιτρεπόμενων, την κάλυψη υποστήριξης και τους ελέγχους παύσης.
Εκτελέστε την άσκηση χωρίς να συλλέξετε εμπιστευτικές πληροφορίες.
Παρέχετε άμεση και συνοπτική ανατροφοδότηση.
Ελέγξτε τις αναφορές, τον χρόνο απόκρισης, την ποιότητα της ταξινόμησης και την ολοκλήρωση της παρακολούθησης.
Διορθώστε τα κενά της διαδικασίας πριν επεκτείνετε το κοινό.

Συμπεριλάβετε στην αξιολόγηση τα άτομα που διαχειρίζονται το πρόγραμμα: ευαισθητοποίηση σε θέματα ασφάλειας, αποστολή μηνυμάτων, ταυτότητα, SOC, helpdesk, προστασία προσωπικών δεδομένων, ανθρώπινο δυναμικό και προμήθειες. Μια πλατφόρμα που φαίνεται απλή σε μια επίδειξη πωλήσεων μπορεί να δημιουργήσει σημαντικό φόρτο εργασίας όταν ο συγχρονισμός του κοινού, η αναφορά, η ανασκόπηση και τα αποδεικτικά στοιχεία δοκιμάζονται από κοινού.

Το NIST SP 800-50 Rev. 1 ορίζει την ευαισθητοποίηση ως μέρος ενός ευρύτερου προγράμματος εκμάθησης για την κυβερνοασφάλεια και την προστασία της ιδιωτικής ζωής, με βασικά θέματα την αλλαγή συμπεριφοράς, τη μάθηση βάσει ρόλων και την κουλτούρα ασφάλειας μεταξύ των βασικών θεμάτων του. Αυτή είναι η σωστή κλίμακα για την αξιολόγηση: το προϊόν πρέπει να υποστηρίζει ένα λειτουργικό πρόγραμμα, όχι απλώς να διανέμει περιεχόμενο.

Συχνές ερωτήσεις

Πόσο συχνά πρέπει οι εργαζόμενοι να παρακολουθούν εκπαίδευση ευαισθητοποίησης σχετικά με το phishing;

Χρησιμοποιήστε την αρχική εκπαίδευση κατά την πρόσληψη, καθώς και σύντομες επαναληπτικές συνεδρίες καθ’ όλη τη διάρκεια του έτους. Ο σωστός ρυθμός εξαρτάται από τον ρόλο, το κανάλι, τα περιστατικά και την παρατηρούμενη συμπεριφορά, αλλά οι τριμηνιαίες εκπαιδευτικές συνεδρίες με περιοδικές προσομοιώσεις είναι συνήθως πιο χρήσιμες από ένα μόνο ετήσιο μάθημα.

Πρέπει οι δοκιμές phishing να συλλέγουν κωδικούς πρόσβασης για να αποδείξουν τον κίνδυνο;

Όχι. Ένα αμυντικό πρόγραμμα μπορεί να μετρήσει ότι ένας χρήστης έφτασε ή αλληλεπίδρασε με μια ελεγχόμενη σελίδα χωρίς να αποθηκεύσει τον κωδικό πρόσβασης, τον κωδικό MFA, τα στοιχεία πληρωμής ή άλλα απόρρητα στοιχεία. Η συλλογή πραγματικών διαπιστευτηρίων δημιουργεί περιττούς κινδύνους για την ασφάλεια, την ιδιωτικότητα και την εμπιστοσύνη.

Αρκεί η ολοκλήρωση του προγράμματος για την απόδειξη της συμμόρφωσης;

Η ολοκλήρωση μπορεί να αποτελεί ένα στοιχείο καταγραφής, αλλά από μόνη της δεν αποδεικνύει αλλαγή συμπεριφοράς ούτε καθιστά έναν οργανισμό συμμορφούμενο. Διατηρήστε τεκμηριωμένα στοιχεία σχετικά με το πεδίο εφαρμογής, την εξουσιοδότηση, την υλοποίηση της εκπαίδευσης, τις πρακτικές αναφοράς, τα αποτελέσματα των προσομοιώσεων, την παρακολούθηση και τις δράσεις βελτίωσης.

Ποιος είναι ο σημαντικότερος δείκτης ευαισθητοποίησης σχετικά με το phishing;

Κανένας μεμονωμένος δείκτης δεν είναι επαρκής. Το ποσοστό αναφοράς και ο χρόνος αναφοράς είναι συχνά πιο αξιοποιήσιμα στοιχεία από το ποσοστό κλικ, καθώς δείχνουν αν οι εργαζόμενοι μπορούν να ενεργοποιήσουν τη διαδικασία αντίδρασης του οργανισμού. Συνδυάστε τα με την ολοκλήρωση της παρακολούθησης, την επανάληψη της συμπεριφοράς και την ποιότητα της επιχειρησιακής διαλογής.

Τι δεν πρέπει ποτέ να συλλέγει μια πλατφόρμα ευαισθητοποίησης για το phishing;

Δεν πρέπει ποτέ να απαιτεί πραγματικούς κωδικούς πρόσβασης εργαζομένων, κωδικούς MFA, δεδομένα πληρωμών, έγγραφα ταυτότητας ή ευαίσθητα αρχεία για μια προσομοίωση. Η πλατφόρμα πρέπει επίσης να αποφεύγει περιττά χαρακτηριστικά του τμήματος Ανθρώπινου Δυναμικού και να παρέχει σαφείς ελέγχους διατήρησης, διαγραφής και πρόσβασης για τα δεδομένα ευαισθητοποίησης.

Το AutoPhish βοηθά τις ομάδες ασφάλειας να συνδυάζουν ασφαλείς προσομοιώσεις, άμεση μάθηση, πρακτική αναφορά και χρήσιμα αποδεικτικά στοιχεία, χωρίς να μετατρέπουν την ευαισθητοποίηση σε άσκηση επίρριψης ευθυνών. Εγγραφείτε για να αξιολογήσετε ένα πρόγραμμα εκπαίδευσης για το phishing με χαμηλότερο λειτουργικό κόστος για τους υπαλλήλους σας.

Εκπαίδευση ευαισθητοποίησης των εργαζομένων σχετικά με το phishing: Οδηγός για αγοραστές