Εκπαίδευση ευαισθητοποίησης σχετικά με το phishing για βοηθούς διευθυντών: Λίστα ελέγχου

Οι βοηθοί στελεχών βρίσκονται στο σταυροδρόμι των προγραμμάτων των ηγετικών στελεχών, των εμπιστευτικών εγγράφων, των ταξιδιωτικών σχεδίων, των αιτημάτων προμηθευτών και των εγκρίσεων που απαιτούν άμεση ανταπόκριση. Μια αποτελεσματική εκπαίδευση ευαισθητοποίησης σχετικά με το phishing για βοηθούς στελεχών θα πρέπει να εξετάζει τον τρόπο με τον οποίο επαληθεύουν αιτήματα με σοβαρές συνέπειες μέσω πλατφορμών ηλεκτρονικού ταχυδρομείου, ημερολογίου, συνομιλίας, τηλεφώνου και εγγράφων — και όχι απλώς αν κάνουν κλικ σε έναν σύνδεσμο.

Τα πιο αποτελεσματικά προγράμματα συνδέουν την ρεαλιστική εξάσκηση με ελέγχους εξουσιοδοτημένης πρόσβασης, αρχεία γνωστών επαφών, ροές εργασιών έγκρισης, διαδρομές αναφοράς και οδηγούς ανάκαμψης. Προστατεύουν επίσης την εμπιστοσύνη μεταξύ των βοηθών και των ηγετών που υποστηρίζουν. Ο στόχος είναι η λήψη ασφαλέστερων αποφάσεων υπό πίεση, όχι η κατάταξη των λαθών.

Ο παρών οδηγός έχει αμυντικό χαρακτήρα. Δεν παρέχει πρότυπα παραπλανητικών μηνυμάτων, σενάρια πλαστοπροσωπίας ανώτερων στελεχών, μεθόδους υποκλοπής διαπιστευτηρίων, κακόβουλα αρχεία ή οδηγίες για την παράκαμψη των ελέγχων ασφαλείας.

Γιατί οι βοηθοί στελεχών χρειάζονται ευαισθητοποίηση σχετικά με το phishing με βάση τον ρόλο

Η γενική εκπαίδευση διδάσκει κοινά προειδοποιητικά σημάδια, αλλά σπάνια αντανακλά τις αποφάσεις που λαμβάνουν οι βοηθοί εκ μέρους ανώτερων στελεχών. Ένας βοηθός μπορεί να έχει εξουσιοδότηση να διαχειρίζεται ένα ημερολόγιο, να διανέμει υλικό του διοικητικού συμβουλίου, να συντονίζει ταξίδια, να διαβιβάζει τιμολόγια, να οργανώνει υπογραφές ή να επικοινωνεί με εξωτερικούς συνεργάτες. Κάθε εργασία μπορεί να ενέχει μεγαλύτερο κίνδυνο από το άνοιγμα ενός μηνύματος.

Οι επιτιθέμενοι δεν χρειάζονται άμεση πρόσβαση σε ανώτερα στελέχη, εφόσον μπορούν να εκμεταλλευτούν την εμπιστοσύνη που τους έχει ανατεθεί. Ένα πειστικό αίτημα μπορεί να πιέσει έναν βοηθό να αλλάξει μια συνάντηση, να κοινοποιήσει ένα έγγραφο, να αποκαλύψει ένα πρόγραμμα ταξιδιού, να προσκαλέσει έναν εξωτερικό αποδέκτη, να επιταχύνει μια πληρωμή ή να βοηθήσει κάποιον να ανακτήσει την πρόσβασή του. Επομένως, η εκπαίδευση πρέπει να επικεντρώνεται στην προστατευόμενη ενέργεια που κρύβεται πίσω από το μήνυμα.

Αυτή η προσέγγιση βάσει ρόλων συμπληρώνει την ευρύτερη εκπαίδευση ευαισθητοποίησης των υπαλλήλων σχετικά με το phishing. Θα πρέπει να ενισχύει τις συνήθειες αναφοράς σε επίπεδο οργανισμού, προσθέτοντας παράλληλα τα βήματα επαλήθευσης και αναφοράς σε ανώτερο επίπεδο που απαιτεί η εργασία υποστήριξης των στελεχών.

Χαρτογραφήστε τις ροές εργασίας πριν επιλέξετε σενάρια

Ξεκινήστε με ένα σύντομο εργαστήριο στο οποίο θα συμμετάσχουν εκτελεστικά στελέχη, υπεύθυνοι ασφάλειας, πληροφορικής, προστασίας προσωπικών δεδομένων, οικονομικών, νομικών, ταξιδιωτικών υπηρεσιών, εγκαταστάσεων, καθώς και οι βοηθοί που θα συμμετάσχουν. Καταγράψτε πώς εγκρίνονται στην πράξη οι ευαίσθητες εργασίες και ποια συστήματα είναι τα επίσημα.

Δώστε προτεραιότητα σε ροές εργασίας όπως:

• προσκλήσεις ημερολογίου, εξουσιοδοτήσεις αντιπροσώπευσης και αλλαγές στις συναντήσεις·
• κρατήσεις ταξιδιών, αλλαγές δρομολογίων και αιτήματα υποστήριξης ταξιδιωτών·
• φακέλους συνεδριάσεων, συμβάσεις, ηλεκτρονικές υπογραφές και κοινή χρήση εμπιστευτικών εγγράφων·
• τιμολόγια, έξοδα, δώρα και επείγοντα αιτήματα αγορών·
• στοιχεία επικοινωνίας στελεχών, προγράμματα, τοποθεσίες και πληροφορίες επισκεπτών·
• ανάκτηση λογαριασμού, αντικατάσταση συσκευών και αιτήματα για βοήθεια στην πιστοποίηση·
• παρουσιάσεις σε εξωτερικούς, αιτήματα από τα ΜΜΕ και επικοινωνίες με συνεργάτες·
• φυσική πρόσβαση, παραδόσεις και αλλαγές εκδηλώσεων της τελευταίας στιγμής.

Για κάθε ροή εργασιών, προσδιορίστε τη συνακόλουθη ενέργεια, την πηγή αλήθειας, τη διαδικασία επαλήθευσης που έχει εγκριθεί και τα άτομα που μπορούν να εγκρίνουν μια εξαίρεση. Μια πλατφόρμα εκπαίδευσης δεν μπορεί να αντισταθμίσει μια ροή εργασιών που δεν έχει σαφή υπεύθυνο ή διαδικασία αναφοράς σε ανώτερο επίπεδο.

Καθορίστε ασφαλή όρια για την άσκηση

Μια προσομοίωση δεν πρέπει ποτέ να απαιτεί από έναν βοηθό να αποκαλύψει ένα πραγματικό μυστικό ή να εκθέσει πραγματικές πληροφορίες στελεχών. Καθορίστε γραπτά όρια ασφαλείας πριν επιλέξετε περιεχόμενο ή προγραμματίσετε μια εκστρατεία.

Κατ’ ελάχιστον, απαγορεύστε τη συλλογή:

• κωδικών πρόσβασης, κλειδιών πρόσβασης, κωδικών πιστοποίησης, κωδικών ανάκτησης ή διακριτικών συνεδρίας·
• πραγματικών εγγράφων του διοικητικού συμβουλίου, συμβάσεων, προγραμμάτων ταξιδιών, λιστών επαφών ή συνδέσμων συνεδριάσεων·
• στοιχείων πληρωμών, τραπεζικών δεδομένων, φορολογικών αρχείων ή πληροφοριών προσωπικής ταυτότητας·
• περιεχομένου ιδιωτικών γραμματοκιβωτίων, ημερολογίων, συνομιλιών ή τηλεφώνων·
• ζωντανής πρόσβασης σε συστήματα διοίκησης, ταξιδιών, εγγράφων ή οικονομικά συστήματα.

Χρησιμοποιήστε αβλαβείς στόχους εκπαίδευσης και πλαστά αρχεία. Μην κλωνοποιείτε τη φωνή πραγματικού στελέχους, μην δημιουργείτε λογαριασμό που μοιάζει με αυτόν, μην καταχωρείτε παραπλανητική υποδομή και μην εμπλέκετε εξωτερικούς συνεργάτες χωρίς ρητή εξουσιοδότηση. Η άσκηση πρέπει να είναι αναστρέψιμη, να μπορεί να διακοπεί εύκολα και να αποδίδεται σαφώς στο πρόγραμμα ευαισθητοποίησης κατά την αντιμετώπιση περιστατικών.

Οι οδηγίες της CISA για το phishing ενισχύουν μια πρακτική συνήθεια που αξίζει να ενσωματωθεί σε κάθε άσκηση: να αντιστέκεστε στην πίεση, να χρησιμοποιείτε μια γνωστή διαδρομή για την επαλήθευση του αιτήματος και να αναφέρετε ύποπτα μηνύματα.

Ελέγξτε τις αποφάσεις σε όλα τα κανάλια, όχι μόνο την αναγνώριση στο εισερχόμενο

Η εργασία υποστήριξης στελεχών μετακινείται γρήγορα μεταξύ εργαλείων. Ένα email μπορεί να οδηγήσει σε αλλαγή στο ημερολόγιο, σε μήνυμα chat, σε τηλεφωνική κλήση ή σε ειδοποίηση κοινής χρήσης εγγράφου. Η εκπαίδευση πρέπει να ελέγχει αν η επαλήθευση διατηρείται κατά τη διάρκεια αυτής της αλλαγής καναλιού.

Αιτήματα ημερολογίου και συναντήσεων

Ελέγξτε αν οι βοηθοί επαληθεύουν απροσδόκητες αλλαγές στον διοργανωτή, νέους εξωτερικούς συμμετέχοντες, τροποποιημένες λεπτομέρειες τηλεδιάσκεψης και αιτήματα μετακίνησης εμπιστευτικών συναντήσεων. Η επαλήθευση πρέπει να γίνεται μέσω του επίσημου ημερολογίου και μιας γνωστής μεθόδου επικοινωνίας — όχι μέσω των στοιχείων απάντησης που παρέχονται από το ύποπτο μήνυμα.

Πληροφορίες ταξιδιού και τοποθεσίας

Εξασκήστε τη διαδικασία διαχείρισης αλλαγών στο πρόγραμμα ταξιδιού, επείγουσων αιτημάτων κρατήσεων, μηνυμάτων υποστήριξης ταξιδιωτών και ερωτήσεων σχετικά με την τοποθεσία ενός στελέχους. Η προστατευόμενη πρακτική συνίσταται στον περιορισμό της αποκάλυψης πληροφοριών και στην επιβεβαίωση των αλλαγών μέσω εγκεκριμένων συστημάτων ταξιδιών ή γνωστών παρόχων.

Έγγραφα και υπογραφές

Ελέγξτε πώς οι βοηθοί χειρίζονται απροσδόκητο υλικό για το διοικητικό συμβούλιο, συνδέσμους συμβολαίων, αιτήματα υπογραφής και προσκλήσεις πρόσβασης. Η εκπαίδευση πρέπει να ενισχύει τη χρήση εγκεκριμένων αποθετηρίων, τον έλεγχο των παραληπτών, την ταξινόμηση εγγράφων και την αναφορά σε ανώτερο επίπεδο όταν ένα αίτημα δεν εμπίπτει στην κανονική ροή εργασίας.

Πληρωμές και αγορές

Οι βοηθοί ενδέχεται να διαβιβάζουν τιμολόγια ή να πραγματοποιούν αγορές ακόμη και όταν δεν μπορούν να εκταμιεύσουν κεφάλαια. Αξιολογήστε εάν τα επείγοντα αιτήματα παραμένουν εντός των καθιερωμένων ελέγχων έγκρισης, προμηθευτών και επανεκκλήσεων. Η προσομοίωση δεν πρέπει να δημιουργεί πραγματική συναλλαγή ούτε να χρησιμοποιεί πραγματικά τραπεζικά στοιχεία.

Υποστήριξη λογαριασμών και συσκευών

Τα ανώτερα στελέχη ζητούν συχνά από τους βοηθούς να συντονίσουν την αντικατάσταση συσκευών, την αποκατάσταση πρόσβασης ή την υποστήριξη που σχετίζεται με ταξίδια. Ελέγξτε αν ο βοηθός αποστέλλει το αίτημα στο εξουσιοδοτημένο τμήμα υποστήριξης και αν το τμήμα πληροφορικής εφαρμόζει αυστηρή επαλήθευση ταυτότητας. Καμία άσκηση δεν πρέπει να ζητά από έναν βοηθό να προωθήσει έναν κωδικό επαλήθευσης ή να εγκρίνει ένα απροσδόκητο μήνυμα.

Λίστα ελέγχου αγοραστή για μια πλατφόρμα εκπαίδευσης εκτελεστικών βοηθών

Κατά την αξιολόγηση μιας πλατφόρμας, ζητήστε από τους προμηθευτές να επιδείξουν τους παρακάτω ελέγχους σε ένα ελεγχόμενο πιλοτικό πρόγραμμα.

1. Ακριβείς έλεγχοι κοινού και αποκλεισμού

Η πλατφόρμα πρέπει να απευθύνεται αποκλειστικά σε εγκεκριμένους υπαλλήλους και να αποκλείει προστατευόμενες ομάδες, περιόδους άδειας, εξωτερικές επαφές, κοινόχρηστα γραμματοκιβώτια και οποιονδήποτε βρίσκεται εκτός του πεδίου εφαρμογής της άσκησης. Ο συγχρονισμός ομάδων πρέπει να υπόκειται σε έλεγχο πριν από την έναρξη, ειδικά όταν οι βοηθοί υποστηρίζουν πολλούς ηγέτες ή επιχειρηματικές μονάδες.

2. Περιεχόμενο βασισμένο σε ρόλους, αλλά όχι παραπλανητικό

Τα σενάρια πρέπει να αντικατοπτρίζουν αποφάσεις σχετικά με το ημερολόγιο, τα ταξίδια, τα έγγραφα, τις εγκρίσεις και την υποστήριξη, χωρίς να υποδύονται πραγματικά πρόσωπα ή να αναπαράγουν εμπιστευτικό περιεχόμενο. Απαιτήστε μια ροή εργασίας έγκρισης για οποιοδήποτε προσαρμοσμένο περιεχόμενο και αποτρέψτε τους συντάκτες σεναρίων από το να ζητούν εμπιστευτικές πληροφορίες.

3. Διαχείριση πολλαπλών καναλιών

Εάν διατίθενται ασκήσεις μέσω ηλεκτρονικού ταχυδρομείου, ημερολογίου, συνεργασίας, SMS ή QR, η πλατφόρμα πρέπει να επιτρέπει στους διαχειριστές να εξουσιοδοτούν κάθε κανάλι ξεχωριστά. Η άδεια εκτέλεσης μιας προσομοίωσης ηλεκτρονικού ταχυδρομείου δεν πρέπει να εξουσιοδοτεί αυτόματα την επικοινωνία με προσωπικά τηλέφωνα ή εξωτερικούς λογαριασμούς ανταλλαγής μηνυμάτων.

4. Αβλαβείς εμπειρίες προσγείωσης και ανατροφοδότησης

Οι προορισμοί εκπαίδευσης δεν πρέπει να συλλέγουν διαπιστευτήρια και πρέπει να εξηγούν αμέσως την ασφαλέστερη ενέργεια. Η ανατροφοδότηση πρέπει να προσδιορίζει τον έλεγχο της ροής εργασιών που είχε σημασία: χρήση του αξιόπιστου ημερολογίου, άνοιγμα του γνωστού αποθετηρίου εγγράφων, κλήση της καθορισμένης επαφής ή αναφορά του αιτήματος σε ανώτερο επίπεδο.

5. Γρήγορη αναφορά από το εργασιακό περιβάλλον

Οι βοηθοί χρειάζονται έναν σαφή τρόπο αναφοράς από εργαλεία ηλεκτρονικού ταχυδρομείου, κινητών συσκευών, ημερολογίου και συνεργασίας. Η αναφορά πρέπει να φτάνει στη σωστή ουρά ασφαλείας με επαρκές πλαίσιο για την ταξινόμηση, αλλά δεν πρέπει να προωθεί εμπιστευτικό περιεχόμενο ευρύτερα από ό,τι είναι απαραίτητο.

6. Προστασία της ιδιωτικής ζωής και ελαχιστοποίηση δεδομένων

Ρωτήστε ακριβώς τι αποθηκεύει η πλατφόρμα σχετικά με τους παραλήπτες, τις αλληλεπιδράσεις, τις αναφορές, τις συσκευές και την ολοκλήρωση της εκπαίδευσης. Ρυθμίστε τη συντομότερη χρήσιμη περίοδο διατήρησης, τη διαχειριστική πρόσβαση βάσει ρόλων και τη συγκεντρωτική αναφορά όπου οι ατομικές λεπτομέρειες είναι περιττές. Ελέγξτε τις απαιτήσεις εκπροσώπησης των εργαζομένων στη σχετική δικαιοδοσία.

7. Μέτρα έκτακτης διακοπής και αποκατάστασης

Οι διαχειριστές πρέπει να έχουν τη δυνατότητα να διακόψουν την άσκηση, να απενεργοποιήσουν τον προορισμό της, να προσδιορίσουν τους παραλήπτες και να διακρίνουν τη δραστηριότητα προσομοίωσης από ένα πραγματικό περιστατικό. Ο προμηθευτής πρέπει να εξηγήσει τι συμβαίνει εάν το περιεχόμενο φτάσει σε έναν μη προοριζόμενο παραλήπτη ή εάν ένας υπάλληλος αναφέρει μια πραγματική απειλή κατά τη διάρκεια της εκστρατείας.

8. Αποδεικτικά στοιχεία που συνδέονται με τις αποφάσεις

Μια χρήσιμη αναφορά πρέπει να παρουσιάζει την επαλήθευση, την αναφορά, την κλιμάκωση, την ολοκλήρωση της ανατροφοδότησης και τα επαναλαμβανόμενα κενά στη ροή εργασιών. Το ακατέργαστο ποσοστό κλικ δεν αρκεί. Οι αγοραστές πρέπει να μπορούν να εξάγουν αποδεικτικά στοιχεία για την αξιολόγηση του προγράμματος χωρίς να εκθέτουν περιττά ατομικά δεδομένα.

Διεξαγωγή ελεγχόμενου πιλοτικού προγράμματος

Ένα μικρό πιλοτικό πρόγραμμα αποτελεί τον ασφαλέστερο τρόπο για την επικύρωση τόσο της πλατφόρμας όσο και του μοντέλου λειτουργίας.

1. Επιλέξτε μία ροή εργασιών με σαφή υπεύθυνο, όπως μια απροσδόκητη αλλαγή στο ημερολόγιο ή ένα αίτημα πρόσβασης σε έγγραφο.
2. Χρησιμοποιήστε μια μικρή, εξουσιοδοτημένη ομάδα βοηθών και συμπεριλάβετε το γραφείο εξυπηρέτησης ή το SOC στο σχέδιο άσκησης.
3. Επιβεβαιώστε τον ασφαλή προορισμό, τη διαδρομή αναφοράς, τη διαδικασία διακοπής, τις ρυθμίσεις απορρήτου και την ενημέρωση της υποστήριξης.
4. Καθορίστε βασικά μέτρα για την αναφορά, την επαλήθευση, την αναφορά σε ανώτερο επίπεδο και την αποκατάσταση.
5. Διεξάγετε την άσκηση κατά τη διάρκεια μιας κανονικής περιόδου λειτουργίας, αποφεύγοντας συνεδριάσεις του διοικητικού συμβουλίου, δραστηριότητες σχετικές με τα οικονομικά αποτελέσματα, σημαντικά ταξίδια, καταστάσεις έκτακτης ανάγκης και ευαίσθητα εταιρικά γεγονότα.
6. Παρέχετε άμεση και σεβαστή ανατροφοδότηση που να προσδιορίζει το εγκεκριμένο βήμα επαλήθευσης.
7. Εξετάστε τις αποτυχίες της διαδικασίας με τον υπεύθυνο της ροής εργασίας πριν αναθέσετε περαιτέρω εκπαίδευση.

Εδώ είναι που η εκπαίδευση για το phishing και οι προσομοιώσεις phishing διαδραματίζουν διαφορετικούς ρόλους. Η εκπαίδευση εξηγεί την αναμενόμενη συμπεριφορά· μια ελεγχόμενη προσομοίωση ελέγχει αν η συμπεριφορά λειτουργεί υπό ρεαλιστικές συνθήκες πίεσης.

Μέτρηση αποτελεσμάτων που βελτιώνουν τις λειτουργίες της διοίκησης

Το πρόγραμμα πρέπει να μετρά αν οι βοηθοί προστατεύουν τις κρίσιμες ενέργειες και αν οι ομάδες υποστήριξης ανταποκρίνονται σωστά. Χρήσιμες μετρήσεις περιλαμβάνουν:

• το ποσοστό αναφορών και τον μέσο χρόνο αναφοράς·
• τη χρήση εγκεκριμένου καναλιού επαλήθευσης·
• το ποσοστό ευαίσθητων αιτημάτων που αναφέρονται σε ανώτερο επίπεδο πριν από τη λήψη δράσης·
• ο χρόνος που απαιτείται από το service desk ή το SOC για την ταξινόμηση της αναφοράς·
• ο χρόνος απενεργοποίησης του προορισμού εκπαίδευσης μετά από αίτημα διακοπής·
• η ολοκλήρωση της ανατροφοδότησης και οι έλεγχοι καθυστερημένης διατήρησης·
• οι επαναλαμβανόμενες ελλείψεις στη ροή εργασίας ανά διαδικασία, όχι μόνο ανά άτομο·
• ο αριθμός των ασαφών διαδρομών έγκρισης ή αναφοράς σε ανώτερο επίπεδο που διορθώθηκαν μετά από έλεγχο.

Ταξινομήστε τα αποτελέσματα προσεκτικά. Οι βοηθοί που υποστηρίζουν διαφορετικούς ηγέτες, περιοχές ή επιχειρηματικές λειτουργίες ενδέχεται να αντιμετωπίζουν πολύ διαφορετικές ροές εργασίας. Οι μικρές ομάδες καθιστούν επίσης εύκολη την εξαγωγή συμπερασμάτων για τα ατομικά αποτελέσματα, οπότε περιορίστε την πρόσβαση και αποφύγετε τις δημόσιες κατατάξεις.

Δημιουργήστε μια εποικοδομητική αντίδραση στα λάθη

Όποιος αλληλεπιδρά με μια προσομοίωση πρέπει να λαμβάνει σαφείς οδηγίες, όχι δημόσια ταπείνωση. Εξηγήστε τι προσπαθούσε να ενεργοποιήσει το αίτημα, ποιο αξιόπιστο αρχείο ή επαφή θα έπρεπε να είχε χρησιμοποιηθεί, πώς να αναφέρουν παρόμοια δραστηριότητα και τι να κάνουν μετά από μια τυχαία αλληλεπίδραση.

Εάν αρκετοί συμμετέχοντες λάβουν την ίδια απόφαση, εξετάστε τη διαδικασία. Ένα ασαφές μοντέλο ανάθεσης αρμοδιοτήτων, μια ασυνεπής εγγραφή προμηθευτή, μια μη τεκμηριωμένη διαδρομή έκτακτης ανάγκης ή ένα υπερφορτωμένο γραφείο εξυπηρέτησης μπορεί να αποτελεί το πραγματικό κενό ελέγχου. Η εκπαίδευση έχει τη μεγαλύτερη αξία όταν αποκαλύπτει και βελτιώνει αυτές τις συνθήκες.

Για επαναλαμβανόμενα ζητήματα, χρησιμοποιήστε αναλογική παρακολούθηση: σύντομη καθοδήγηση, συζήτηση με τον προϊστάμενο, αποσαφήνιση της ροής εργασίας ή άλλη άσκηση πρακτικής χαμηλού κινδύνου. Διατηρήστε τις πειθαρχικές διαδικασίες για διαπιστωμένες παραβιάσεις πολιτικών, όχι για συνηθισμένα μαθησιακά αποτελέσματα.

Ερωτήσεις που πρέπει να θέσετε πριν από την αγορά

Χρησιμοποιήστε αυτές τις ερωτήσεις σε επιδείξεις και αξιολογήσεις προμηθειών:

• Μπορούμε να ορίσουμε το πεδίο εφαρμογής για τους βοηθούς ξεχωριστά από τα στελέχη που υποστηρίζουν;
• Μπορούμε να αποκλείσουμε εξ ορισμού τις εξωτερικές επαφές, τους κοινόχρηστους πόρους και τις προσωπικές συσκευές;
• Μπορεί το προσαρμοσμένο περιεχόμενο να ελέγχεται χωρίς να αντιγράφονται εμπιστευτικές πληροφορίες στελεχών στην πλατφόρμα;
• Αποτρέπει το σύστημα τη συλλογή κωδικών πρόσβασης, κωδικών, στοιχείων πληρωμής και ευαίσθητων εγγράφων;
• Μπορούν οι εργαζόμενοι να υποβάλλουν αναφορές από το ημερολόγιο και τις ροές εργασίας συνεργασίας, και όχι μόνο μέσω email;
• Μπορεί το SOC να αναγνωρίζει την υποδομή προσομοίωσης χωρίς να καταστέλλει πραγματικές ειδοποιήσεις;
• Μπορούν οι διαχειριστές να διακόψουν μια εκστρατεία και να απενεργοποιήσουν αμέσως τον προορισμό της;
• Μπορούμε να μετρήσουμε την επαλήθευση, την αναφορά, την κλιμάκωση και την αποκατάσταση, αντί μόνο των κλικ;
• Μπορούν τα αποτελέσματα να συγκεντρωθούν για μικρές ομάδες και να διατηρηθούν μόνο για όσο διάστημα είναι απαραίτητο;
• Μπορούμε να εξάγουμε ένα τεκμηριωμένο αρχείο σχετικά με το πεδίο εφαρμογής, τις εγκρίσεις, τον έλεγχο περιεχομένου, τα αποτελέσματα και τις βελτιώσεις;

Συχνές ερωτήσεις

Τι πρέπει να καλύπτει η εκπαίδευση για το phishing που απευθύνεται στους βοηθούς στελεχών;

Πρέπει να καλύπτει την ανάθεση αρμοδιοτήτων ημερολογίου, τις αλλαγές στα ταξίδια, την κοινή χρήση εμπιστευτικών εγγράφων, τις ηλεκτρονικές υπογραφές, τις αγορές, τη διαβίβαση τιμολογίων, την υποστήριξη λογαριασμών, τις πληροφορίες στελεχών, την επαλήθευση μεταξύ διαφορετικών καναλιών, την αναφορά και την αποκατάσταση. Η έμφαση πρέπει να δίνεται στην προστασία των ενεργειών και των πληροφοριών και όχι στην απομνημόνευση οπτικών ενδείξεων.

Πρέπει μια προσομοίωση να υποδύεται έναν πραγματικό ανώτερο στέλεχος;

Συνήθως όχι. Η υποδύηση με πραγματικό όνομα μπορεί να υπονομεύσει την εμπιστοσύνη, να προκαλέσει σύγχυση στην αντιμετώπιση περιστατικών και να εκθέσει ευαίσθητο περιεχόμενο. Χρησιμοποιήστε φανταστικό ή σαφώς ρυθμισμένο περιεχόμενο βάσει ρόλων, εκτός εάν η διοίκηση, το νομικό τμήμα, το τμήμα προστασίας προσωπικών δεδομένων, το τμήμα ασφάλειας και οι εμπλεκόμενοι συμμετέχοντες έχουν εγκρίνει μια αυστηρά ελεγχόμενη εξαίρεση.

Πρέπει οι βοηθοί και τα στελέχη να λαμβάνουν την ίδια εκπαίδευση;

Πρέπει να μοιράζονται τις βασικές αρχές αναφοράς και επαλήθευσης, αλλά οι ροές εργασίας τους διαφέρουν. Τα στελέχη εγκρίνουν αποφάσεις με σημαντικές επιπτώσεις· οι βοηθοί συχνά διαχειρίζονται συστήματα που τους έχουν ανατεθεί και συντονίζουν τις ομάδες. Κάθε ομάδα χρειάζεται εξάσκηση που να αντανακλά τους πραγματικούς ελέγχους της.

Αποτελεί το ποσοστό κλικ ένα χρήσιμο μέτρο για αυτό το κοινό;

Μόνο ως ένα περιορισμένο σήμα αλληλεπίδρασης. Πιο χρήσιμα μέτρα περιλαμβάνουν τα επαληθευμένα αιτήματα, τις έγκαιρες αναφορές, τη σωστή αναφορά σε ανώτερο επίπεδο, τις προστατευμένες πληροφορίες και την επιτυχή αποκατάσταση. Ένα χαμηλότερο ποσοστό κλικ δεν αποδεικνύει ότι λειτουργούν οι έλεγχοι πληρωμών, εγγράφων ή ημερολογίου.

Πόσο συχνά πρέπει οι βοηθοί στελεχών να παρακολουθούν εκπαίδευση ευαισθητοποίησης σχετικά με το phishing;

Προτιμήστε σύντομες, περιοδικές εκπαιδευτικές συνεδρίες και ελεγχόμενη εξάσκηση αντί για μια μεμονωμένη ετήσια εκδήλωση. Η συχνότητα πρέπει να αντανακλά τις αλλαγές στη ροή εργασίας, τον παρατηρούμενο κίνδυνο, τις τάσεις των περιστατικών, τους κύκλους ταξιδιών και τον χρόνο που απαιτείται για τη μέτρηση της βελτίωσης, χωρίς να δημιουργείται κόπωση.

Μετατρέψτε την εμπιστοσύνη που τους έχει ανατεθεί σε έναν ελεγμένο έλεγχο

Δεν πρέπει να αναμένεται από τους βοηθούς διευθυντικών στελεχών να αναγνωρίζουν κάθε πειστικό μήνυμα με την πρώτη ματιά. Χρειάζονται αξιόπιστες ροές εργασίας που τους επιτρέπουν να επαληθεύουν σημαντικά αιτήματα, να προστατεύουν ευαίσθητες πληροφορίες, να αναφέρουν αβεβαιότητες και να ανακάμπτουν γρήγορα.

Μια κατάλληλη πλατφόρμα καθιστά αυτές τις συμπεριφορές ασφαλείς στην εξάσκηση και εύκολες στη μέτρηση, χωρίς να συλλέγει εμπιστευτικές πληροφορίες ή να διαταράσσει το έργο της ηγεσίας. Εγγραφείτε για να αξιολογήσετε πώς το AutoPhish μπορεί να υποστηρίξει ένα ελεγχόμενο, βασισμένο σε ρόλους πρόγραμμα ευαισθητοποίησης.