Adathalászat-tudatossági képzés alkalmazottak számára: Vásárlói

A munkavállalóknak szóló adathalászati tudatosságot növelő képzésnek meg kell változtatnia az emberek viselkedését, amikor gyanús kérés érkezik: meg kell állniuk, megbízható csatornán keresztül ellenőrizniük kell a dolgot, kerülniük kell a titkok kiadását, és gyorsan jelenteniük kell az esetet. Egy éves videó dokumentálhatja a képzés elvégzését, de ritkán bizonyítja, hogy ezek a viselkedésminták normál üzleti nyomás alatt is működnek. Egy hatékonyabb program ötvözi a rövid tanulást, a biztonságos gyakorlatot, az egyszerű jelentéstételt és a célzott megerősítést.

A vásárlók számára ez azt jelenti, hogy nem csupán a tanfolyam-könyvtárakat kell összehasonlítaniuk. A biztonsági mérnököknek ellenőrzött szimulációkra és megbízható telemetriára van szükségük. Az IT-rendszergazdáknak olyan integrációkra van szükségük, amelyek nem eredményeznek egy újabb identitáskezelési projektet. A CISO-knak a fejlődés bizonyítékára van szükségük. Az adatvédelmi és megfelelési érdekelt feleknek pedig egyértelmű határokra van szükségük a munkavállalói adatok tekintetében.

Ez az útmutató védekező jellegű. Nem tartalmaz adathalász-sablonokat, hitelesítő adatok kinyerésére vonatkozó utasításokat, a kézbesítés kijátszására szolgáló technikákat, illetve a jogosulatlan tesztelésre vonatkozó lépéseket.

Határozza meg a viselkedést, mielőtt kiválasztaná a tartalmat

A tudatosságnövelő programok gyakran egy katalógussal kezdődnek: videók, kvízek, poszterek és forgatókönyv-sablonok. Ehelyett inkább azokkal a döntésekkel kezdjük, amelyeket az alkalmazottaknak meg kell hozniuk.

Egy hasznos programnak egy kis számú, megfigyelhető viselkedésformát kell megerősítenie:

felismerni a hitelesítő adatokkal, fizetésekkel, fájlokkal, fiókmódosításokkal vagy sürgős jóváhagyással kapcsolatos váratlan kéréseket
az érzékeny kéréseket egy ismert, külön csatornán keresztül ellenőrizni
asztali és mobil eszközökről a jóváhagyott bejelentési csatornát használni
kerüljék a jelszavak, MFA-kódok, fizetési adatok vagy bizalmas információk megadását, ha váratlan felszólításra kerül sor
a lehetséges hibákat gyorsan jelentsék tovább, büntetéstől való félelem nélkül
különböztessék meg a rutin jellegű gyanút egy olyan eseménytől, amely azonnali beavatkozást igényel

Ezeket az eredményeket könnyebb betanítani, mérni és elmagyarázni, mint egy olyan homályos célt, mint például „a munkatársak biztonságtudatosságának növelése”. Ezek emellett élesebbé teszik a beszerzést is: a beszállítói szűkített listán szereplő minden funkciónak támogatnia kell egy meghatározott viselkedést, egy operatív munkafolyamatot vagy egy irányítási követelményt.

Használjon képzéseket és szimulációkat a különböző munkakörökhöz

A képzés fogalmakat tanít, és biztonságos környezetet biztosít a tanuláshoz. A szimulációk azt tesztelik, hogy a jelentési és ellenőrzési szokások megmaradnak-e egy valós helyzetben. Egyik sem helyettesíti a másikat.

Használja a tanulási tartalmakat a következő dolgok elmagyarázására:

miért érdemes alaposan megvizsgálni a sürgősséget, a felhatalmazást, a titkosságot és a szokatlan folyamatváltozásokat
hogyan kell ellenőrizni a feladót, a címzettet, a mellékletet, a QR-kódot vagy a mobil eszközökön megjelenő felugró ablakokat azokon az eszközökön, amelyeket az alkalmazottak ténylegesen használnak
mely kéréseket kell a szokásos csatornán kívül ellenőrizni
hová kell jelenteni a gyanús üzeneteket
mit kell tenni véletlen kattintás vagy információszivárgás után

Használjon szimulációkat annak megfigyelésére, hogy a szervezet folyamata működik-e. Felismerték-e az alkalmazottak a helyzetet? Megtalálták-e a bejelentési lehetőséget? Kapott-e a SOC vagy a helpdesk elegendő háttérinformációt? Az utólagos intézkedés azonnali és hatékony volt-e? A különbséget részletesebben tárgyaljuk a phishing-képzés kontra phishing-szimuláció című cikkben.

A legbiztonságosabb gyakorlatok nem gyűjtenek valódi jelszavakat, MFA-kódokat, fizetési adatokat, személyazonosító okmányokat vagy érzékeny fájlokat. Ellenőrzött céloldalakat használnak, és csak a tanulási cél eléréséhez szükséges minimális eseményeket rögzítik.

Készítsen szerepkörön alapuló tananyagot valós döntések köré építve

Az általános tudatosságnak megvan a maga értéke, de a kockázat nem oszlik el egyenletesen. A pénzügyi csapatok ellenőrzik a fizetési és banki adatok változásait. A HR kezeli az önéletrajzokat, a bérszámfejtéssel kapcsolatos kérdéseket és a személyes adatokat. Az IT osztályhoz érkeznek a hozzáférési és jelszó-visszaállítási kérelmek. A vezetők hatalmi pozíciójukból fakadó nyomással szembesülnek. Az ügyfélszolgálat a munkakörük részeként nyit meg linkeket és mellékleteket.

A szegmentálást ne kizárólag a beosztás, hanem a munkafolyamat és a döntéshozatali jogosultság alapján végezzük. Egy gyakorlati tananyag általában három rétegből áll:

Közös alapok: jelentések, ellenőrzés, hitelesítő adatok biztonsága, mobil kockázatok, valamint a hibák utáni teendők.
Szerepkör-alapú modulok: fizetési változások, privilegizált hozzáférés, érzékeny adatok, beszállítói kommunikáció, toborzás vagy vezetői kérések.
Eseményvezérelt megerősítés: rövid utólagos értékelés szimuláció, valós incidensminta, folyamatváltozás vagy ismétlődő jelentési hiányosság után.

Ne importáljon valódi beérkező üzeneteket, ügyféladatokat, jegyeket vagy alkalmazotti titkokat a képzési platformra azért, hogy a forgatókönyvek hitelesnek tűnjenek. A döntés teszteléséhez elegendő egy kitalált, alacsony érzékenységű kontextus. A relevancia a munkafolyamatból fakad, nem pedig a termelési adatok másolásából.

A jelentéstételi gyakorlat beépítése a termékértékelésbe

A jelentés nélküli felismerés vakon hagyja a biztonsági csapatot. A jelentési útvonalnak láthatónak, gyorsnak és a munkavállalók munkavégzési helyén elérhetőnek kell lennie.

A kísérleti fázis során tesztelje, hogy a felhasználók tudnak-e jelentést tenni a következő helyekről:

asztali és mobil e-mail kliensekből
adott esetben megosztott vagy delegált postafiókokból
üzleti kérésekhez használt együttműködési eszközökből
felügyelt mobil eszközökről és jóváhagyott személyes eszközökön futó munkafolyamatokból
tartalék postafiókból, ügyfélszolgálatról vagy forródrótból, ha a kiegészítő nem elérhető

Ezután tesztelje a fogadó oldalt. A bejelentéseknek egy olyan sorba kell kerülniük, amely tartalmazza a feladót, a csatornát, az időbélyegeket és a hasznos üzenetkontextust, anélkül, hogy a szükségesnél több alkalmazotti adatot tennének közzé. Az ismert szimulációkat meg kell jelölni, hogy azok ne temessék el a valódi incidenseket. A SOC-nak vagy a helpdesknek képesnek kell lennie a bejelentés nyugtázására, a valódi üzenetek kivizsgálására és szükség esetén a járványmegfékezés elindítására.

A CISA A phishing felismerése és jelentése című útmutatója hangsúlyozza, hogy a sürgős kérések esetén lassítsunk, és jelentsük a gyanús tevékenységeket. Ez hasznos kiindulási pont, de a szervezetnek még mindig át kell alakítania a tanácsokat működőképes belső folyamattá.

A folyamatos tanulást részesítsük előnyben az éves teljesítéssel szemben

Az éves képzést könnyű beütemezni és ellenőrizni, de az emlékek elhalványulnak, és a fenyegetési csatornák változnak. A folyamatos modell nem jelenti a folyamatos tesztelést. Hanem kisebb, célzott tanulási pillanatokat jelent, amelyek az egész évre elosztva történnek.

Egy kiegyensúlyozott ütemterv a következőket tartalmazhatja:

alapképzés a beilleszkedés során
rövid, negyedéves frissítő képzések, amelyek az aktuális üzleti munkafolyamatokhoz kapcsolódnak
időszakos szimulációk e-mailen, mobilon, együttműködési platformokon vagy QR-kódos csatornákon, amennyiben ezek a csatornák valóban a hatókörbe tartoznak
azonnali visszajelzés egy biztonságos szimulációs interakció után
célzott megerősítés azoknak a csoportoknak, amelyeknél közös folyamatbeli hiányosságok tapasztalhatók
szervezet-szintű tanulságok releváns valós incidensek után, anélkül, hogy neveket említenének vagy bárkit megszégyenítenének

Az új munkatársak megérdemlik, hogy kifejezett utasításokat kapjanak, mielőtt tesztelik őket. Az új munkavállalóknak szóló adathalászati képzési útmutató elmagyarázza, hogyan lehet bevezetni a jelentési és ellenőrzési szokásokat anélkül, hogy az első hét meglepetésszerű gyakorlattá válna.

Kerülje el a tanulási cél nélküli, kiszámítható havi tömeges küldeményeket. Az ismétlés csak akkor segít, ha a forgatókönyvek, a visszajelzések és a folyamatfejlesztések egy konkrét viselkedésre irányulnak.

Mérje a viselkedésváltozást, ne csak a kattintásokat

A kattintási arányt könnyű ábrázolni, de ez nem megbízható programértékelés. Az automatizált szkennerek követhetik a linkeket. A mobil eszközökön történő érintések véletlenek is lehetnek. Egy nehéz forgatókönyv növelheti a kattintások számát, még akkor is, ha a jelentések minősége javul. Egy nagyon egyértelmű forgatókönyv pedig túlzottan kedvező eredményt adhat anélkül, hogy bármi fontosat tesztelne.

Használjon egy kis, a válaszadási arányhoz és a tanuláshoz kapcsolódó mutatókészletet:

jelentési arány: hány címzett használta a jóváhagyott jelentési csatornát
a jelentésig eltelt idő: milyen gyorsan érkezett be az első és a medián jelentés
helyes ellenőrzés: a munkavállalók elvégezték-e a kényes kérésekhez szükséges független ellenőrzést
kényes műveletek aránya: a felhasználó megkísérelte-e egy meghatározott kockázatos műveletet; a mérés a titok tényleges begyűjtése nélkül történik
utólagos feladat elvégzése: elvégezték-e a kijelölt mikro-képzést
ismétlődő viselkedés: javult-e a releváns viselkedés az összehasonlítható gyakorlatok során
működési minőség: a továbbítás, a triázs, a visszaigazolás és az eskaláció a tervezett módon működött-e

Hasonlókat hasonlítsunk össze. Ne kezeljük egy pénzügyi fizetési módosítási gyakorlatot egy átfogó hírlevél-szcenárióval egyenértékűnek. Szegmentáljuk az eredményeket a releváns munkafolyamat, csatorna és kitettség szerint, miközben a mintákat elég nagy méretűnek tartjuk ahhoz, hogy a program ne váljon egyéni megfigyeléssé.

A vezetőségnek szóló jelentéseknek meg kell magyaráznia, mi változott, és mit fog a szervezet legközelebb fejleszteni. A „A munkavállalók kevesebbet kattintottak” kijelentés gyengébb, mint a „A jelentési munkafolyamat egyszerűsítése után a mobil jelentések gyorsabban érkeztek meg.”

A kísérleti program megkezdése előtt határozza meg az adatvédelmi és biztonsági korlátokat

A munkavállalók tudatosságára vonatkozó adatok befolyásolhatják a bizalmat, a munkahelyi kapcsolatokat és a jogi kötelezettségeket. Határozza meg a kereteket, mielőtt elindítaná a tesztet.

Dokumentálja:

a jogosult címzetteket, a felelősöket és a jóváhagyókat
a platform által rögzített pontos eseményeket
a tiltott adatgyűjtést, beleértve a hitelesítő adatokat és az érzékeny űrlapbeviteli adatokat
az adatmegőrzési időszakokat és a törlési folyamatokat
az egyéni, csapat- és összesített eredményekhez való hozzáférést
azt, hogy a vezetők hogyan használhatják fel az adatokat
adott esetben a munkavállalói tanács, a szakszervezet, a HR, a jogi osztály vagy az adatvédelmi szerv általi felülvizsgálatot
a szabadságok, érzékeny pozíciók, aktív incidensek és operatív leállási időszakok kizárását
a kampány felfüggesztésének folyamatát

Az eredményeknek a tanulást és a kockázatcsökkentést kell támogatniuk, nem pedig a nyilvános rangsorokat vagy a fegyelmi eljárások megkerülését. A célzott utánkövetéshez névre szóló adatokra lehet szükség, de a hozzáférést korlátozni kell, és amennyiben lehetséges, a vezetés számára az összesített jelentéseknek kell az alapértelmezettnek lenniük.

A platformok összehasonlítása egy operatív ellenőrzőlista alapján

A gondosan összeállított tartalomkönyvtár csak akkor hasznos, ha a termék biztonságosan képes futtatni a programot. Kérje meg a szolgáltatókat, hogy egy fiktív alkalmazotti populáció segítségével mutassák be az alábbiakat.

Adminisztráció és célközönség-kezelés

Szinkronizálhatók-e a csoportok az identitásszolgáltatótól anélkül, hogy felesleges HR-attribútumokat importálnának?
Az új alkalmazottak, áthelyezettek, alvállalkozók és kilépők kezelése automatikusan elvégezhető?
A rendszergazdák kizárhatnak egyéneket, régiókat, műszakokat vagy tiltott időszakokat?
Rendelkezésre állnak jóváhagyások és szerepkörön alapuló rendszergazdai jogosultságok?

Tanulási és szimulációs vezérlők

Képes-e a platform ötvözni az alapvető tartalmakat, a szerepköralapú tanulást, a szimulációkat és az azonnali visszajelzéseket?
Jóvá tudják-e hagyni a felülvizsgálók a forgatókönyveket a bevezetés előtt?
Képesek-e a nyitóoldalak a viselkedés mérésére anélkül, hogy bizalmas adatokat gyűjtenének?
Képes-e a platform gyorsan felfüggeszteni egy kampányt?
Támogatja-e a hatály alá tartozó nyelveket, akadálymentességi igényeket, eszközöket és csatornákat?

Jelentések és integrációk

A munkavállalók az általuk ténylegesen használt kliensekből tudnak jelentést tenni?
A jelentések továbbíthatók a meglévő SOC-ba, ügyfélszolgálatra vagy jegyrendszerbe?
A valós jelentések elkülöníthetők-e az ismert szimulációktól?
A platform csak a szükséges minimális adatmennyiséget tudja-e megosztani az identitáskezelő, tanulási és biztonsági eszközökkel?

Bizonyítékok és adatvédelem

Beállíthatja-e a vásárló az adatok megőrzési idejét és törlését?
Korlátozható-e a hozzáférés a megnevezett eredményekhez?
Az exportált adatok tartalmazhatnak-e engedélyezési, célközönség-, kézbesítési, jelentési, nyomonkövetési és trendadatokat?
El tudja-e magyarázni a szolgáltató az adatok tárolási helyét, az alvállalkozókat, az incidensek kezelését és a szerződés szerinti törlést?

A válaszoknak a termékben és a szerződésben láthatónak kell lenniük, nem pedig úttérkép-ígéretek formájában maradhatnak.

Vezessen be egy kísérleti programot, amely az egész rendszert teszteli

A vevői kísérleti programnak egy teljes tanulási ciklust kell validálnia, nem pedig a címzettek számának maximalizálását kell célul kitűznie.

Válasszon ki egy vagy két reprezentatív alkalmazotti csoportot.
Határozza meg a tesztelendő viselkedést és jelentési munkafolyamatot.
Hagyjon jóvá egy biztonságos forgatókönyvet és adathatárokat.
Ellenőrizze a kézbesítést, a fehérlistázást, a támogatási lefedettséget és a szüneteltetési vezérlőket.
Végezze el a gyakorlatot anélkül, hogy bizalmas adatokat gyűjtene.
Adjon azonnali, tömör visszajelzést.
Vizsgálja meg a jelentéseket, a válaszadási időt, a triázs minőségét és a nyomon követés befejezését.
A célközönség kiterjesztése előtt orvosolja a folyamatbeli hiányosságokat.

Vonja be az értékelésbe a programot üzemeltetőket: biztonsági tudatosság, üzenetküldés, identitáskezelés, SOC, ügyfélszolgálat, adatvédelem, HR és beszerzés. Egy olyan platform, amely az értékesítési bemutatón egyszerűnek tűnik, jelentős munkaterhet jelenthet, ha a célközönség szinkronizálását, a jelentéstételt, az áttekintést és a bizonyítékokat együttesen tesztelik.

A NIST SP 800-50 Rev. 1 a tudatosságot egy szélesebb körű kiberbiztonsági és adatvédelmi tanulási program részeként fogalmazza meg, amelynek központi témái között szerepel a viselkedésváltozás, szerepkörön alapuló tanulást és a biztonsági kultúrát tartalmazza. Ez a megfelelő értékelési szint: a terméknek egy működő programot kell támogatnia, nem csupán tartalmat terjesztenie.

GYIK

Milyen gyakran kell a munkavállalóknak adatkivonási tudatossági képzésben részt venniük?

Használjon bevezető képzést, valamint rövid, egész éven át tartó ismétlő foglalkozásokat. A megfelelő gyakoriság a szereptől, a csatornától, az incidensektől és a megfigyelt viselkedéstől függ, de a negyedéves tanulási alkalmak időszakos szimulációkkal általában hasznosabbak, mint egy egyetlen éves tanfolyam.

A phishing-teszteknek jelszavakat kell-e gyűjteniük a kockázat igazolásához?

Nem. Egy védelmi program anélkül is képes mérni, hogy a felhasználó eljutott-e egy ellenőrzött oldalra vagy interakcióba lépett-e azzal, hogy nem tárolja a jelszót, az MFA-kódot, a fizetési adatokat vagy egyéb titkos információkat. A valódi hitelesítő adatok gyűjtése felesleges biztonsági, adatvédelmi és bizalmi kockázatot jelent.

Elegendő-e a tanfolyam elvégzése a megfelelés igazolásához?

A tanfolyam elvégzése egyfajta dokumentáció lehet, de önmagában nem bizonyítja a viselkedésváltozást, és nem teszi a szervezetet szabályszerűvé. Tartsanak ténybeli bizonyítékokat a hatályról, az engedélyezésről, a képzés lebonyolításáról, a jelentési gyakorlatról, a szimulációs eredményekről, a nyomon követésről és a javító intézkedésekről.

Mi a legfontosabb mutató a phishing-tudatosság mérésében?

Egyetlen mutató sem elegendő önmagában. A bejelentési arány és a bejelentésig eltelt idő gyakran jobban felhasználható, mint a kattintási arány, mivel ezek mutatják, hogy a munkavállalók képesek-e aktiválni a szervezet reagálási folyamatát. Ezeket párosítsa a nyomonkövetés befejezésével, az ismétlődő viselkedéssel és az operatív triázs minőségével.

Mit nem szabad soha gyűjtenie egy adathalász-tudatossági platformnak?

A szimulációhoz soha nem szabad igényelnie a munkavállalók valódi jelszavait, MFA-kódjait, fizetési adatait, személyazonosító okmányait vagy érzékeny fájljait. A platformnak el kell kerülnie a felesleges HR-adatok gyűjtését is, és egyértelmű adatmegőrzési, törlési és hozzáférési szabályokat kell biztosítania a tudatossági adatokra vonatkozóan.

Az AutoPhish segít a biztonsági csapatoknak abban, hogy biztonságos szimulációkat, azonnali tanulást, gyakorlati jelentéseket és hasznos bizonyítékokat ötvözzenek anélkül, hogy a tudatosságnövelés vádaskodássá válna. Regisztráljon, hogy kipróbálhassa az alacsonyabb költségű adathalászati képzési programot a munkatársai számára.

Adathalászat-tudatossági képzés alkalmazottak számára: Vásárlói útmutató