Εκπαίδευση κατά του Phishing vs Προσομοίωση Phishing: Τι

Οι ομάδες ασφαλείας συχνά αντιμετωπίζουν την εκπαίδευση phishing και τις προσομοιώσεις phishing σαν την ίδια γραμμή στον προϋπολογισμό, όμως λύνουν διαφορετικά προβλήματα. Η εκπαίδευση εξηγεί πώς πρέπει οι άνθρωποι να αναγνωρίζουν και να αναφέρουν ύποπτα μηνύματα. Οι προσομοιώσεις δείχνουν αν αυτές οι συνήθειες αντέχουν μέσα σε μια ρεαλιστική εργάσιμη μέρα, όπου το προσωπικό είναι απασχολημένο, αποσπασμένο και χρησιμοποιεί email, chat, κινητό και εργαλεία SaaS με ταχύτητα.

Αυτή η διάκριση έχει σημασία όταν επιλέγετε εργαλεία ευαισθητοποίησης, προετοιμάζετε αποδεικτικά στοιχεία για audit ή εξηγείτε τα αποτελέσματα του προγράμματος στην ηγεσία. Ένα πρόγραμμα που μόνο εκπαιδεύει μπορεί να δείχνει ολοκληρωμένο, ενώ αφήνει την πραγματική συμπεριφορά ανεξέλεγκτη. Ένα πρόγραμμα που μόνο δοκιμάζει μπορεί να δημιουργεί απογοήτευση χωρίς να δίνει στους εργαζομένους την εξάσκηση που χρειάζονται για να βελτιωθούν.

Η πιο ισχυρή προσέγγιση συνδυάζει και τα δύο: διδάσκει τα μοτίβα, δοκιμάζει με ασφάλεια, δίνει άμεση ανατροφοδότηση και χρησιμοποιεί τα αποτελέσματα για να βελτιώσει τον επόμενο κύκλο. Για ομάδες που θέλουν αυτόν τον βρόχο χωρίς να τρέχουν εργαλεία επίθεσης, το AutoPhish έχει σχεδιαστεί γύρω από ασφαλέστερες προσομοιώσεις, αναφορές και ροές παρακολούθησης.

Η σύντομη απάντηση

Η εκπαίδευση phishing είναι εκπαίδευση. Δίνει στους εργαζομένους τις έννοιες, τα παραδείγματα και τους κανόνες απόφασης που χρειάζονται για να εντοπίζουν ύποπτα μηνύματα πριν κάνουν κλικ, σαρώσουν, εγκρίνουν ή απαντήσουν.

Η προσομοίωση phishing είναι μέτρηση και ενίσχυση. Τοποθετεί ασφαλή, ελεγχόμενα δοκιμαστικά μηνύματα μέσα στις κανονικές ροές εργασίας, ώστε οι ομάδες ασφάλειας να βλέπουν πού οι χρήστες διστάζουν, αναφέρουν, αγνοούν ή αλληλεπιδρούν.

Και τα δύο είναι χρήσιμα. Κανένα από τα δύο δεν αρκεί από μόνο του.

Τι κάνει καλά η εκπαίδευση phishing

Η εκπαίδευση είναι η καλύτερη για να χτίσει βασική γνώση. Μπορεί να εξηγήσει γιατί το phishing λειτουργεί, πώς η πλαστογράφηση και η κοινωνική πίεση επηρεάζουν την κρίση, και τι πρέπει να κάνουν οι εργαζόμενοι όταν κάτι τους φαίνεται περίεργο. Δίνει επίσης στις ομάδες IT και συμμόρφωσης ένα συνεπές αρχείο ότι το προσωπικό ενημερώθηκε για την αναμενόμενη συμπεριφορά.

Η καλή εκπαίδευση συνήθως καλύπτει:

κοινές ενδείξεις phishing, όπως ασυνήθιστο πλαίσιο αποστολέα, μη αντιστοιχισμένους συνδέσμους, επείγουσα γλώσσα για πληρωμές, ψεύτικες ειδοποιήσεις διαμοιρασμού αρχείων και απροσδόκητα MFA prompts
προσδοκίες αναφοράς, συμπεριλαμβανομένου του ποιο κουμπί, mailbox ή κανάλι helpdesk πρέπει να χρησιμοποιούν οι εργαζόμενοι
κανόνες ειδικούς για την εταιρεία, όπως το πώς χειρίζονται οι εγκρίσεις χρηματοοικονομικών, τα αιτήματα για έγγραφα HR και οι αλλαγές σε privileged access
κινδύνους σε κινητό και SaaS, συμπεριλαμβανομένων QR codes, SMS, εργαλείων συνεργασίας και OAuth consent prompts
αρχές ιδιωτικότητας και σεβασμού προς τους εργαζομένους, ώστε η ευαισθητοποίηση να μη μετατρέπεται σε δημόσιο διασυρμό

Η εκπαίδευση είναι επίσης το σωστό σημείο για πολιτικές. Για παράδειγμα, οι εργαζόμενοι πρέπει να ξέρουν ότι η ασφάλεια δεν θα τους ζητήσει ποτέ να βάλουν πραγματικούς κωδικούς πρόσβασης σε μια σελίδα δοκιμής, ότι τα αποτελέσματα μπορεί να συγκεντρώνονται για αναφορά, και ότι τα ύποπτα μηνύματα πρέπει να αναφέρονται αντί να προωθούνται άτυπα.

Πού υστερεί η εκπαίδευση

Η εκπαίδευση από μόνη της σπάνια αποδεικνύει τη συμπεριφορά υπό πίεση. Τα ποσοστά ολοκλήρωσης δείχνουν ότι κάποιος άνοιξε μια ενότητα ή πέρασε ένα quiz, όχι ότι θα αναγνωρίσει ένα πειστικό δόλωμα χρηματοοικονομικού, παράδοσης, HR ή SaaS μέσα σε μια φορτωμένη μέρα.

Αυτό το κενό φαίνεται ιδιαίτερα σε audits και ανασκοπήσεις ηγεσίας. Μια ομάδα συμμόρφωσης μπορεί να ζητά αποδείξεις ότι οι έλεγχοι ευαισθητοποίησης είναι αποτελεσματικοί, όχι απλώς ότι ανατέθηκε ένα ετήσιο μάθημα. Ένας CISO μπορεί να χρειάζεται να ξέρει αν οι ομάδες υψηλού κινδύνου βελτιώνονται, αν η συμπεριφορά αναφοράς αυξάνεται και αν οι ίδιου τύπου σενάρια συνεχίζουν να προκαλούν προβλήματα.

Η οδηγία της CISA για το phishing είναι μια χρήσιμη υπενθύμιση ότι η κοινωνική μηχανική εξαρτάται από το πλαίσιο και την ανθρώπινη λήψη αποφάσεων. Η εκπαίδευση βοηθά τους εργαζομένους να κατανοήσουν τον κίνδυνο. Η δοκιμή βοηθά τις ομάδες να δουν πώς αυτές οι αποφάσεις εκτυλίσσονται σε πραγματικές ροές εργασίας.

Τι προσθέτουν οι προσομοιώσεις

Οι προσομοιώσεις μετατρέπουν την ευαισθητοποίηση σε μετρήσιμη εξάσκηση. Αντί να ρωτούν αν οι εργαζόμενοι θυμούνται ένα μάθημα, δείχνουν ποιες συμπεριφορές εμφανίζονται κατά τη διάρκεια ελεγχόμενων ασκήσεων.

Ένα ασφαλές πρόγραμμα προσομοίωσης μπορεί να μετρήσει:

rate αναφοράς: πόσοι παραλήπτες χρησιμοποίησαν τη σωστή διαδρομή αναφοράς
rate κλικ ή αλληλεπίδρασης: πόσοι αλληλεπίδρασαν με το προσομοιωμένο μήνυμα
μοτίβα επαναλαμβανόμενης έκθεσης: ποια τμήματα, ρόλοι ή θεματικές χρειάζονται περισσότερη υποστήριξη
χρόνο μέχρι την αναφορά: πόσο γρήγορα τα ύποπτα μηνύματα φτάνουν στην ομάδα ασφάλειας
συμπεριφορά στη landing page: αν οι χρήστες σταμάτησαν πριν εισαγάγουν ευαίσθητες πληροφορίες
ετοιμότητα καμπάνιας: αν το allowlisting, η δρομολόγηση mail και οι ενσωματώσεις αναφοράς λειτουργούν όπως αναμένεται

Ο στόχος δεν είναι να «πιάσουμε» τους ανθρώπους. Ο στόχος είναι να εντοπίσουμε τα σημεία του οργανισμού που χρειάζονται καλύτερα prompts, πιο καθαρές διαδικασίες ή πιο σχετική εξάσκηση.

Για ομάδες που ξεκινούν από το μηδέν, η καλύτερη προετοιμασία καλύπτεται στον οδηγό του AutoPhish για μια πρώτη καμπάνια προσομοίωσης phishing. Αυτό το βήμα σχεδιασμού έχει σημασία, επειδή η ποιότητα της μέτρησής σας εξαρτάται από την ποιότητα της ρύθμισής σας.

Πού μπορούν να πάνε στραβά οι προσομοιώσεις

Οι κακοσχεδιασμένες δοκιμές μπορούν να βλάψουν την εμπιστοσύνη. Αν οι εργαζόμενοι νιώσουν ότι εξαπατήθηκαν, εκτέθηκαν ή παρακολουθήθηκαν με τρόπους που δεν περίμεναν, το πρόγραμμα μπορεί να μειώσει την αναφορά αντί να τη βελτιώσει.

Συνηθισμένα λάθη περιλαμβάνουν:

υπερβολικά πιστή αντιγραφή πραγματικών περιστατικών πριν ο οργανισμός συμφωνήσει σε όρια ασφαλείας
συλλογή πραγματικών κωδικών πρόσβασης ή ευαίσθητων προσωπικών δεδομένων
χρήση συναισθηματικά χειριστικών σεναρίων που δημιουργούν περιττό στρες
δημόσια κατάταξη ατόμων αντί για βελτίωση ελέγχων σε επίπεδο ομάδας
αποστολή υπερβολικά πολλών μηνυμάτων χωρίς εξήγηση του τι πρέπει να μάθουν οι εργαζόμενοι
μέτρηση μόνο των κλικ, αγνοώντας τη συμπεριφορά αναφοράς και αποκατάστασης

Οι προσομοιώσεις πρέπει να είναι αρκετά ρεαλιστικές ώστε να δοκιμάζουν την κρίση, αλλά και αρκετά ελεγχόμενες ώστε να μην δημιουργούν νέο κίνδυνο. Ασφαλείς landing pages, σαφείς ειδοποιήσεις, αναφορές με επίγνωση της ιδιωτικότητας και σχεδιασμός σεναρίων βάσει ρόλου βοηθούν ώστε το πρόγραμμα να παραμένει χρήσιμο.

Το άρθρο του AutoPhish για ασφαλείς landing pages προσομοίωσης phishing το καλύπτει αυτό πιο αναλυτικά, ειδικά για ομάδες που χρειάζονται συμπεριφορικά σήματα χωρίς να συλλέγουν μυστικά.

Πώς να τα συνδυάσετε και τα δύο σε ένα πρόγραμμα

Η πρακτική ακολουθία είναι απλή:

Εκπαιδεύστε τους εργαζομένους στη συμπεριφορά που θέλετε.
Εκτελέστε μια ασφαλή βασική προσομοίωση.
Δώστε άμεση ανατροφοδότηση μετά την άσκηση.
Εξετάστε τα αποτελέσματα σε επίπεδο ομάδας με IT, ασφάλεια, HR και συμμόρφωση.
Προσαρμόστε την επόμενη ενότητα εκπαίδευσης και το σύνολο σεναρίων.
Επαναλάβετε με ρυθμό που ο οργανισμός μπορεί να διατηρήσει.

Ο βρόχος είναι σημαντικότερος από οποιαδήποτε μεμονωμένη καμπάνια. Η ετήσια εκπαίδευση συν ένα αιφνιδιαστικό τεστ μπορεί να καλύπτει ένα checkbox, αλλά δεν θα δείξει αν το προσωπικό βελτιώνεται. Ένας μηνιαίος ή τριμηνιαίος ρυθμός με ελαφρές μαθησιακές στιγμές συνήθως δημιουργεί ισχυρότερο σήμα και λιγότερη τριβή.

Η ίδια αρχή ισχύει και για τον κίνδυνο βάσει ρόλου. Οι ομάδες χρηματοοικονομικών μπορεί να χρειάζονται σενάρια τιμολογίων και εγκρίσεων πληρωμών. Το HR μπορεί να χρειάζεται παραδείγματα διαμοιρασμού εγγράφων και μηνυμάτων υποψηφίων. Οι διαχειριστές IT μπορεί να χρειάζονται θεματικές SaaS, MFA και privileged access. Τα στελέχη μπορεί να χρειάζονται σενάρια βοηθού, διοικητικού συμβουλίου, ταξιδιών και νομικών μηνυμάτων.

Τι να δείξετε στην ηγεσία και στους auditors

Τα στελέχη σπάνια χρειάζονται κάθε λεπτομέρεια μιας καμπάνιας. Χρειάζονται καθαρή εικόνα της τάσης, της κάλυψης και της μείωσης του κινδύνου.

Χρήσιμη αναφορά περιλαμβάνει:

ποιοι ήταν στο scope, ανά τμήμα ή ρόλο
ποιες θεματικές σεναρίων δοκιμάστηκαν
πόσοι εργαζόμενοι ανέφεραν σωστά
πού εμφανίζεται επαναλαμβανόμενος κίνδυνος
ποια αλλαγή σε εκπαίδευση ή διαδικασία ακολούθησε τα αποτελέσματα
αν η επικίνδυνη συμπεριφορά στη landing page μειώνεται με τον χρόνο
πώς το πρόγραμμα σέβεται την ιδιωτικότητα, τη συναίνεση και τις προσδοκίες του works council όπου ισχύει

Για audits, κρατήστε τα αποδεικτικά στοιχεία απλά και δομημένα: ημερομηνίες καμπάνιας, κατηγορίες σεναρίων, κοινό, αρχεία ολοκλήρωσης, μετρικές αναφοράς, ενέργειες αποκατάστασης και παραπομπές σε πολιτικές. Αποφύγετε τις υπερβολές. Μια προσομοίωση δεν αποδεικνύει ότι ένας οργανισμός είναι άτρωτος στο phishing. Αποδεικνύει ότι ένας έλεγχος εφαρμόστηκε, μετρήθηκε και βελτιώθηκε.

Πώς να επιλέξετε πλατφόρμα

Όταν συγκρίνετε εργαλεία, μην αγοράζετε μόνο για τη βιβλιοθήκη εκπαίδευσης ή μόνο για τον αποστολέα καμπανιών. Αναζητήστε ολόκληρο τον βρόχο:

εκπαιδευτικό περιεχόμενο που αντιστοιχίζεται σε πραγματική συμπεριφορά χρηστών
ασφαλή παράδοση προσομοιώσεων χωρίς να απαιτείται attack toolkit
landing pages που αποφεύγουν τη συλλογή μυστικών
άμεση ανατροφοδότηση και επακόλουθη εκπαίδευση
αναφορά που υποστηρίζει managers, auditors και ομάδες ασφάλειας
ελέγχους ιδιωτικότητας για ανωνυμοποίηση, διατήρηση και πρόσβαση βάσει ρόλου
ενσωματώσεις με mailboxes αναφοράς, καταλόγους και ροές εργασίας ασφάλειας

Εδώ μια ειδική πλατφόρμα είναι συνήθως καθαρότερη από ένα μίγμα LMS περιεχομένου, χειροκίνητων email tests και υπολογιστικών φύλλων. Οι ομάδες μπορούν να κινηθούν πιο γρήγορα όταν η μάθηση, η προσομοίωση και η ροή τεκμηρίωσης ζουν σε ένα μέρος.

Συχνές ερωτήσεις

Χρειάζεται εκπαίδευση ευαισθητοποίησης πριν από τις προσομοιώσεις;

Θα έπρεπε. Ένα αρχικό τεστ μπορεί να είναι χρήσιμο, αλλά οι εργαζόμενοι αξίζουν να γνωρίζουν τη διαδικασία αναφοράς, τους κανόνες χειρισμού δεδομένων και τα βασικά μοτίβα ύποπτων μηνυμάτων πριν μετρηθούν.

Πόσο συχνά πρέπει να τρέχουν οι προσομοιώσεις;

Οι περισσότερες ομάδες παίρνουν καλύτερο σήμα από μικρότερες επαναλαμβανόμενες ασκήσεις παρά από μία μεγάλη ετήσια καμπάνια. Το τριμηνιαίο είναι ένα συνηθισμένο σημείο εκκίνησης· οι ομάδες υψηλότερου κινδύνου μπορεί να χρειάζονται ελαφρύτερη μηνιαία εξάσκηση. Το AutoPhish έχει ξεχωριστό οδηγό για το πόσο συχνά πρέπει να τρέχετε προσομοιώσεις phishing.

Πρέπει οι αποτυχημένες προσομοιώσεις να ενεργοποιούν υποχρεωτική εκπαίδευση;

Συχνά ναι, αλλά κρατήστε το αναλογικό. Ένα σύντομο, συμφραζόμενο μάθημα μετά από μια χαμένη ένδειξη είναι συνήθως πιο αποτελεσματικό από ένα μακρύ, τιμωρητικό course. Τα επαναλαμβανόμενα μοτίβα πρέπει να ενεργοποιούν ανασκόπηση της διαδικασίας, όχι μόνο ατομική αποκατάσταση.

Ποια μέτρηση έχει τη μεγαλύτερη σημασία;

Το rate αναφοράς είναι συχνά πιο χρήσιμο από το rate κλικ, επειδή δείχνει αν τα ύποπτα μηνύματα φτάνουν γρήγορα στην ασφάλεια. Το rate κλικ εξακολουθεί να έχει σημασία, αλλά πρέπει να εξετάζεται μαζί με την αναφορά, την επαναλαμβανόμενη έκθεση, τον κίνδυνο βάσει ρόλου και την ολοκλήρωση της παρακολούθησης.

Μπορούν οι προσομοιώσεις να είναι φιλικές προς την ιδιωτικότητα;

Ναι. Χρησιμοποιήστε σαφείς ειδοποιήσεις, περιορίστε την πρόσβαση σε αποτελέσματα σε ατομικό επίπεδο, συγκεντρώνετε όπου είναι δυνατό, ορίστε τη διατήρηση και αποφύγετε τη συλλογή ευαίσθητων δεδομένων. Ο σχεδιασμός με επίγνωση της ιδιωτικότητας είναι ιδιαίτερα σημαντικός στην Ευρώπη και σε οργανισμούς με review από works council.

Η ευαισθητοποίηση για phishing λειτουργεί καλύτερα όταν οι εργαζόμενοι εκπαιδεύονται, δοκιμάζονται και υποστηρίζονται σε έναν ενιαίο, συνεχόμενο βρόχο. Για να χτίσετε αυτόν τον βρόχο με ασφαλείς προσομοιώσεις, αναφορές και ροές παρακολούθησης, Εγγραφείτε στο AutoPhish.

Εκπαίδευση κατά του Phishing vs Προσομοίωση Phishing: Τι χρειάζονται οι ομάδες ασφάλειας από το καθένα