Εργαλεία SaaS για δοκιμές phishing για συμμόρφωση: Τι πρέπει πραγματικά να ρωτούν οι αγοραστές

Λίγους μήνες μετά την έναρξη της ανάπτυξης του AutoPhish, άρχισε να εμφανίζεται ένα μοτίβο στις τηλεφωνικές πωλήσεις. Οι αγοραστές με γνώμονα τη συμμόρφωση — οι άνθρωποι του SOC 2, του ISO 27001, οι Ευρωπαίοι που γνωρίζουν τα εργατικά συμβούλια — δεν ρωτούσαν για πρότυπα ή ποσοστά κλικ. Ρωτούσαν κάτι πολύ πιο βαρετό: πώς μοιάζουν πραγματικά τα αποδεικτικά στοιχεία όταν τα εξετάζει ένας ελεγκτής;

Αυτή είναι η σωστή ερώτηση. Και είναι αυτή που λείπει από τις περισσότερες δημόσιες συγκρίσεις εργαλείων SaaS για δοκιμές phishing με σκοπό τη συμμόρφωση.

Αυτή η ανάρτηση είναι ένας οδηγός αγοράς γραμμένος από μέσα από την κατηγορία. Είναι η συζήτηση που θα θέλαμε περισσότεροι αγοραστές να επιβάλλουν σε περισσότερους προμηθευτές — συμπεριλαμβανομένων, σε ορισμένες περιπτώσεις, και εμάς. Αν αξιολογείτε εργαλεία SaaS για δοκιμές phishing με σκοπό τη συμμόρφωση και θέλετε να φιλτράρετε τη λίστα των υποψηφίων σας πιο γρήγορα, αυτές είναι οι ερωτήσεις που κάνουν τη διαλογή.

Σταματήστε να βαθμολογείτε τους προμηθευτές με βάση τα ποσοστά κλικ

Το πιο συνηθισμένο λάθος που βλέπουμε σε αυτή την κατηγορία — και το βλέπουμε σε καλά οργανωμένες ομάδες ασφάλειας που θα έπρεπε να γνωρίζουν καλύτερα — είναι η αντιμετώπιση του «ποσοστού κλικ της καμπάνιας με την πάροδο του χρόνου» ως της βασικής μετρικής.

Είναι ένα χρήσιμο διαγνωστικό. Είναι ένα απαράδεκτο αποδεικτικό στοιχείο συμμόρφωσης.

Μια καθαρή πτωτική τάση στο ποσοστό κλικ δεν λέει σχεδόν τίποτα στον ελεγκτή σχετικά με το αν το πρόγραμμα ευαισθητοποίησης σας διαχειρίζεται σωστά. Δεν τους λέει ποιος ενέκρινε την καμπάνια, ποιος μπορούσε να δει τα ονομαστικά αποτελέσματα, τι συνέβη στους ανθρώπους που έκαναν κλικ, αν κάποιος επανεκπαιδεύτηκε ή αν τα δεδομένα διατηρήθηκαν για περισσότερο χρόνο από ό,τι επιτρέπει η δική σας πολιτική.

Η εσωτερική δοκιμή στην οποία επιστρέφουμε συνεχώς όταν δημιουργούμε λειτουργίες στην AutoPhish είναι: αν ένας ελεγκτής SOC 2 ή ένας υπεύθυνος προμηθειών σε έναν πελάτη μας ζητούσε να το επιδείξουμε σε δεκαπέντε λεπτά, θα μπορούσαμε; Αυτό το όριο — δεκαπέντε λεπτά, χωρίς πανικόβλητα νήματα στο Slack, χωρίς screenshots-of-screenshots — είναι ένας πολύ καλύτερος καθοριστής προτεραιότητας λειτουργιών από το «τι θα φαινόταν καλό σε μια επίδειξη».

Έτσι: όταν ένας προμηθευτής προβάλλει πίνακες ελέγχου ποσοστού κλικ, αυτό δεν είναι ακριβώς κόκκινη σημαία. Αλλά είναι ένα σημάδι ότι θα πρέπει να κάνετε εσείς οι ίδιοι την επόμενη ερώτηση, επειδή εκείνοι δεν θα το κάνουν.

Τι σημαίνει πραγματικά «έτομο για συμμόρφωση»

Η φράση χρησιμοποιείται υπερβολικά. Εδώ είναι τι σημαίνει στην πράξη, και τι θα πρέπει να κάνει πιο εύκολο οποιοδήποτε σοβαρό εργαλείο SaaS για δοκιμές phishing για συμμόρφωση, σε σύγκριση με το πώς θα ήταν χωρίς αυτό:

1. Επαναλαμβανόμενες λειτουργίες. Καμπάνιες προγραμματισμένες σε τακτική βάση, όχι οργανωμένες ηρωικά κάθε τρίμηνο από ένα άτομο που είναι έτοιμο να εξαντληθεί.
2. Καθαρά αποδεικτικά στοιχεία. Εξαγωγές που ένας ελεγκτής μπορεί να διαβάσει χωρίς να χρειάζεται να τις ερμηνεύσετε εσείς — καλύπτοντας το πεδίο εφαρμογής, τις εγκρίσεις, τα αποτελέσματα και τη διόρθωση.
3. Υπερασπίσιμη διακυβέρνηση. Διαχωρισμός ρόλων, αρχεία καταγραφής εγκρίσεων, διαδρομές ελέγχου διαχειριστή. Ο μη εντυπωσιακός μηχανισμός που σας επιτρέπει να απαντήσετε «ποιος έκανε τι, πότε» χωρίς να διστάσετε.
4. Αναλογική διαχείριση δεδομένων. Ανωνυμοποίηση όπου απαιτείται, διατήρηση που μπορείτε να διαμορφώσετε, διαγραφή που μπορείτε να αποδείξετε, ορατότητα ονομαστικών αποτελεσμάτων που μπορείτε να υπερασπιστείτε.

Παρατηρήστε τι δεν περιλαμβάνεται σε αυτή τη λίστα: πρότυπα, δόλωμα που δημιουργούνται από τεχνητή νοημοσύνη, πίνακες κατάταξης με στοιχεία παιχνιδιού, χάρτες θερμότητας φιλικοί προς τα στελέχη. Αυτά τα πράγματα είναι εντάξει. Μερικά από αυτά είναι ακόμη και χρήσιμα. Κανένα από αυτά δεν αποτελεί λόγο για τον οποίο ένας αγοραστής με γνώμονα τη συμμόρφωση θα πρέπει να επιλέξει τη μία πλατφόρμα έναντι μιας άλλης.

Για την εκτενέστερη εκδοχή του τρόπου με τον οποίο αντιλαμβανόμαστε συγκεκριμένα την αναφορά, η Αναφορά προσομοίωσης phishing είναι το πιο κοντινό πράγμα που διαθέτει η AutoPhish σε μια δημόσια προδιαγραφή για το πώς πρέπει να μοιάζουν τα καλά αποδεικτικά στοιχεία.

Οι ερωτήσεις που πρέπει να κάνετε σε μια επίδειξη

Ξεχάστε το τυπικό RFP. Αν έχετε τριάντα λεπτά με έναν προμηθευτή και σας ενδιαφέρουν τα αποδεικτικά στοιχεία συμμόρφωσης, εδώ είναι πού πρέπει να τα αφιερώσετε.

«Δείξτε μου μια καμπάνια που έχει ήδη πραγματοποιηθεί και εξηγήστε μου κάθε στοιχείο που θα μπορούσε να αντλήσει ένας ελεγκτής.»

Παρατηρήστε τι θα συμβεί. Οι καλοί προμηθευτές θα σας δείξουν μια καθαρή εξαγωγή — ημερομηνίες, πεδίο εφαρμογής, ποιος την ενέκρινε, ποιος έλαβε ποια δράση, ποια συνέχεια ανατέθηκε, τι έκλεισε. Οι πιο αδύναμοι θα περιηγηθούν σε ένα ταμπλό δείχνοντας διάφορα στοιχεία και θα πουν «μπορείτε να τραβήξετε screenshot από αυτό».

Τα screenshots δεν είναι αποδεικτικά στοιχεία. Ή μάλλον, είναι — αλλά είναι κακά αποδεικτικά στοιχεία. Εύκολα αμφισβητήσιμα, δύσκολο να αναπαραχθούν ένα χρόνο αργότερα όταν επιστρέψει ο ελεγκτής.

«Ποιος στην εταιρεία μας μπορεί να δει ότι η Σάρα από το λογιστήριο έκανε κλικ στον σύνδεσμο;»

Οι περισσότερες πλατφόρμες μπορούν να απαντήσουν σε αυτό. Λιγότερες μπορούν να το απαντήσουν με δυνατότητα διαμόρφωσης, με ορατότητα βάσει ρόλων που αντιστοιχεί πραγματικά στον τρόπο με τον οποίο μια πραγματική εταιρεία διαχειρίζεται την ευαισθητοποίηση. Και σχεδόν καμία δεν καθιστά εύκολο να αποδειχθεί σε ένα συμβούλιο εργαζομένων ή έναν ελεγκτή απορρήτου ότι η πρόσβαση σε ονομαστικά αποτελέσματα περιορίζεται από τη σχεδίαση και όχι από καλές προθέσεις.

Εάν δραστηριοποιείστε στην Ευρώπη ή οπουδήποτε αλλού με ισχυρή παράδοση στην προστασία των δεδομένων των εργαζομένων, αυτή είναι η ερώτηση που αποφασίζει σιωπηλά εάν το πρόγραμμά σας θα επιβιώσει από τον έλεγχο. Υπάρχουν περισσότερες πληροφορίες σχετικά με αυτόν τον συγκεκριμένο τρόπο αποτυχίας στο Privacy-Friendly Phishing Training.

«Τι συμβαίνει μετά το κλικ;»

Η ειλικρινής απάντηση για πολλές πλατφόρμες είναι «το καταγράφουμε». Αυτό δεν είναι πρόγραμμα — είναι παρακολούθηση με ένα εκπαιδευτικό module προσαρτημένο.

Μια απάντηση έτοιμη για συμμόρφωση μοιάζει με: άμεση ανατροφοδότηση από την πλευρά του χρήστη, μια αυτόματη εργασία εκπαίδευσης παρακολούθησης, μια τεκμηριωμένη διαδρομή αναθεώρησης για επαναλαμβανόμενη συμπεριφορά και ένα αρχείο κλειστού βρόχου που αποδεικνύει ότι η αποκατάσταση πράγματι έλαβε χώρα. Εάν ένας προμηθευτής δεν μπορεί να περιγράψει αυτή τη ροή εργασίας χωρίς να κάνει χειρονομίες, η πλατφόρμα θα παράγει αποδείξεις αποτυχίας χωρίς αποδείξεις βελτίωσης — και αυτό είναι πραγματικά χειρότερο από το να μην τρέχει κανένα πρόγραμμα, επειδή τεκμηριώνει το πρόβλημά σας χωρίς να τεκμηριώνει την ανταπόκρισή σας.

«Ποιες δηλώσεις συμμόρφωσης αρνείστε να κάνετε;»

Αυτή είναι η ερώτηση που διαχωρίζει τους προμηθευτές που κατανοούν την κατηγορία από εκείνους που απλώς την εκμεταλλεύονται.

Η ειλικρινής απάντηση — αυτή που δίνουμε εμείς, και που θα έπρεπε να δίνει και κάθε προμηθευτής από τον οποίο αξίζει να αγοράσετε — είναι: δεν σας κάνουμε συμμορφωμένους. Τα εργαλεία SaaS για δοκιμές phishing με σκοπό τη συμμόρφωση σας βοηθούν να παράγετε αποδεικτικά στοιχεία που υποστηρίζουν ελέγχους ευαισθητοποίησης και εκπαίδευσης μέσα σε ένα πλαίσιο όπως το SOC 2 ή το ISO 27001, βασισμένα σε κάτι όπως το NIST SP 800-50. Δεν σας πιστοποιούν. Δεν μπορούν. Καμία πλατφόρμα δεν μπορεί.

Ένας προμηθευτής που υπονοεί το αντίθετο είτε είναι απρόσεκτος στη γλώσσα του είτε σας πουλάει μια ιστορία. Σε κάθε περίπτωση, αυτή είναι η κλήση που τερματίζετε ευγενικά.

Πού κερδίζει πραγματικά το SaaS και πού όχι

Τα φιλοξενούμενα εργαλεία SaaS για δοκιμές phishing με σκοπό τη συμμόρφωση κερδίζουν πραγματικά σε ό,τι αφορά το λειτουργικό κόστος. Η εργασία της διαχείρισης της υποδομής αλληλογραφίας, της αντιμετώπισης προβλημάτων παράδοσης, της εγκατάστασης ενημερώσεων, της αναβάθμισης και της συρραφής αποδεικτικών στοιχείων κατά τη διάρκεια ελέγχου είναι πραγματική — και είναι ως επί το πλείστον αόρατη μέχρι να γίνει ορατή. Μια φιλοξενούμενη πλατφόρμα που αντιμετωπίζει αυτά τα ζητήματα ως δικό της πρόβλημα και όχι δικό σας είναι, δομικά, ευκολότερη να υπερασπιστεί σε μια αξιολόγηση.

Τι δεν λύνει το SaaS και τι δεν θα λύσει για εσάς καμία επίδειξη προμηθευτή:

• Το πολιτικό έργο της ευθυγράμμισης των τμημάτων Ανθρώπινου Δυναμικού, Νομικών και των συμβουλίων εργαζομένων σχετικά με το τι είναι αποδεκτό.
• Οι αποφάσεις πολιτικής σχετικά με το ποιος στην οργάνωσή σας βλέπει τα ονομαστικά αποτελέσματα.
• Το πιο δύσκολο ερώτημα για το ποιος είναι πραγματικά ο σκοπός του προγράμματός σας — μείωση κινδύνου, εκπαίδευση, αλλαγή συμπεριφοράς, αποδεικτικά στοιχεία — επειδή αυτά είναι διαφορετικά προγράμματα και οι λειτουργίες της πλατφόρμας που τα εξυπηρετούν διαφέρουν.
• Η ανταπόκρισή σας σε περιστατικά, το σύνολο των μέτρων ασφάλειας του ηλεκτρονικού ταχυδρομείου σας, οι έλεγχοι ταυτότητας. Οι προσομοιώσεις phishing είναι ένα εργαλείο ευαισθητοποίησης, όχι ένας αντισταθμιστικός έλεγχος.

Οι αγοραστές μερικές φορές πείθουν τους εαυτούς τους ότι η αγορά μιας πλατφόρμας έλυσε προβλήματα που στην πραγματικότητα αφορούσαν την ιδιοκτησία και την πολιτική. Αυτό δεν συμβαίνει ποτέ. Το καλύτερο που μπορείτε να ελπίζετε είναι ότι η σωστή πλατφόρμα θα σταματήσει να προσθέτει προβλήματα σε αυτόν τον σωρό. Η λάθος πλατφόρμα θα δημιουργήσει σιωπηλά νέα προβλήματα — συνήθως γύρω από τη διατήρηση δεδομένων και την πρόσβαση σε συγκεκριμένα αποτελέσματα — τα οποία θα εμφανιστούν δεκαοκτώ μήνες αργότερα, όταν κανείς δεν θα θυμάται την αρχική απόφαση διαμόρφωσης.

Εάν το πεδίο εφαρμογής σας είναι ευρύτερο από μια μεμονωμένη ομάδα, η εταιρική συμμόρφωση είναι η έκδοση αυτού του οδηγού που έχει γραφτεί για τους υπεύθυνους προμηθειών και όχι για τους επαγγελματίες.

Μια σύντομη, υποκειμενική κλίμακα αξιολόγησης

Αν πρέπει να αξιολογήσετε γρήγορα μια λίστα υποψήφιων εργαλείων SaaS για δοκιμές phishing για σκοπούς συμμόρφωσης, αυτό είναι που πρέπει να χρησιμοποιήσετε.

Ισχυρά σημάδια: εξαγωγές αποδεικτικών στοιχείων που μπορείτε να παραδώσετε σε έναν ελεγκτή χωρίς επανεπεξεργασία· ορατότητα βάσει ρόλων στα ονομαστικά αποτελέσματα· διαμορφώσιμη διατήρηση και διαγραφή· μια αυτοματοποιημένη ροή εργασίας μετά από ένα κλικ· ένας προμηθευτής που μπορεί να εκφράσει με σαφήνεια τι δεν θα ισχυριστεί σχετικά με τη συμμόρφωση.

Αδύναμα σημάδια: πίνακες ελέγχου επικεντρωμένοι στα ποσοστά κλικ· ασαφείς απαντήσεις σχετικά με εγκρίσεις και αρχεία καταγραφής διαχειριστή· ανωνυμοποίηση που υπάρχει στη θεωρία αλλά όχι στις ρυθμίσεις· βαρύς φόρτος εργασίας σε κάθε κύκλο· οποιαδήποτε πρόταση που περιλαμβάνει τη φράση «σας καθιστά συμμορφωμένους».

Οι βαρετοί προμηθευτές συνήθως κερδίζουν αυτή την κατηγορία. Αυτό δεν είναι παράπονο — είναι ολόκληρο το σλόγκαν.

Το τεστ της Δευτέρας

Αν βρίσκεστε στην αρχή αυτής της αξιολόγησης, εδώ είναι το μικρότερο χρήσιμο βήμα: επιλέξτε δύο προμηθευτές από τη λίστα σας και ζητήστε από τον καθένα να σας στείλει μια πραγματική εξαγωγή αποδεικτικών στοιχείων από μια πραγματική (ανωνυμοποιημένη) καμπάνια. Όχι ένα ψεύτικο PDF, όχι ένα πίνακα ελέγχου επίδειξης — το πραγματικό αρχείο που θα λάμβανε ένας ελεγκτής.

Θα μάθετε περισσότερα από αυτά τα δύο συνημμένα παρά από έξι ώρες επιδείξεων. Είναι η δοκιμή που θα θέλαμε να μας έκαναν περισσότεροι αγοραστές, επειδή οι προμηθευτές που δεν μπορούν να την περάσουν είναι αυτοί που κάνουν την κατηγορία πιο δύσκολη για όλους τους άλλους.

Αν θέλετε να δείτε πώς μοιάζει η έκδοση της AutoPhish αυτής της εξαγωγής, Εγγραφείτε — αυτό είναι ακριβώς το προϊόν γύρω από το οποίο έχει χτιστεί η λύση.