Adatlopás-tudatossági képzés ügyvezetői asszisztensek számára:

A vezetői asszisztensek a vezetői ütemtervek, a bizalmas dokumentumok, az utazási tervek, a beszállítói kérések és az időérzékeny jóváhagyások metszéspontjában állnak. A vezetői asszisztensek számára szervezett hatékony adathalász-tudatossági képzésnek azt kell tesztelnie, hogy hogyan ellenőrzik a súlyos következményekkel járó kéréseket e-mailben, naptárban, csevegőben, telefonon és dokumentumkezelő platformokon – nem pedig egyszerűen azt, hogy rákattintanak-e egy linkre.

A leghatékonyabb programok összekapcsolják a valósághű gyakorlatot a delegált hozzáférési ellenőrzésekkel, az ismert kapcsolattartók nyilvántartásával, a jóváhagyási munkafolyamatokkal, a jelentési útvonalakkal és a helyreállítási útmutatókkal. Ezenkívül megóvják az asszisztensek és az általuk támogatott vezetők közötti bizalmat is. A cél a nyomás alatt hozott biztonságosabb döntések, nem pedig a hibák ranglistája.

Ez az útmutató védekező jellegű. Nem tartalmaz megtévesztő üzenetsablonokat, vezetőket utánzó forgatókönyveket, hitelesítő adatok megszerzésére szolgáló módszereket, rosszindulatú fájlokat, illetve a biztonsági ellenőrzések kijátszására vonatkozó utasításokat.

Miért van szükségük a vezetői asszisztenseknek a szerepkörön alapuló adathalász-tudatosságra?

Az általános képzések a gyakori figyelmeztető jeleket tanítják, de ritkán tükrözik azokat a döntéseket, amelyeket az asszisztensek a felsővezetők nevében hoznak. Egy asszisztens felhatalmazást kaphat a naptár kezelésére, az igazgatósági anyagok terjesztésére, az utazások koordinálására, a számlák továbbítására, az aláírások megszervezésére vagy a külső partnerekkel való tárgyalásra. Minden egyes feladat nagyobb kockázatot jelenthet, mint egy üzenet megnyitása.

A támadóknak nincs szükségük közvetlen hozzáférésre a vezetőhöz, ha kihasználhatják a rájuk ruházott bizalmat. Egy meggyőző kérés nyomást gyakorolhat egy asszisztensre, hogy módosítson egy találkozót, megosszon egy dokumentumot, nyilvánosságra hozza egy útitervet, meghívjon egy külső címzettet, felgyorsítson egy kifizetést, vagy segítsen valakinek visszaszerezni a hozzáférését. A képzésnek ezért az üzenet mögött rejlő, védelemre szoruló cselekvésre kell összpontosítania.

Ez a szerepkörön alapuló megközelítés kiegészíti a munkavállalók számára szervezett átfogó adathalász-tudatossági képzést. Erősítenie kell a szervezet egészére kiterjedő bejelentési szokásokat, miközben beépíti azokat az ellenőrzési és eskalációs lépéseket, amelyekre a vezetői támogatói munkához szükség van.

A forgatókönyvek kiválasztása előtt térképezze fel a munkafolyamatokat

Kezdje egy rövid műhellyel, amelybe bevonja a vezetői műveletek, a biztonság, az IT, az adatvédelem, a pénzügy, a jogi osztály, az utazási osztály, a létesítménygazdálkodás képviselőit, valamint a részt vevő asszisztenseket. Dokumentálja, hogy az érzékeny feladatok engedélyezése valójában hogyan történik, és mely rendszereknek van döntő ereje.

Adjon prioritást az alábbi munkafolyamatoknak:

naptári meghívók, felhatalmazások átruházása és az értekezletek módosításai;
utazási foglalások, útiterv-módosítások és utazói támogatási kérelmek;
igazgatósági anyagok, szerződések, elektronikus aláírások és bizalmas dokumentumok megosztása;
számlák, költségek, ajándékok és sürgős beszerzési kérelmek;
vezetői elérhetőségek, időbeosztások, helyszínek és látogatói információk;
fiók-helyreállítás, eszközcsere és hitelesítési segítség iránti kérelmek;
külső bemutatások, sajtókérelmek és partneri kommunikáció;
fizikai belépés, szállítások és utolsó pillanatban bekövetkező rendezvénymódosítások.

Minden munkafolyamat esetében határozza meg a következményes intézkedést, a hiteles forrásokat, a jóváhagyott ellenőrzési útvonalat, valamint azokat a személyeket, akik kivételt engedélyezhetnek. Egy képzési platform nem pótolhatja azt a munkafolyamatot, amelynek nincs egyértelmű felelőse vagy eskalációs útvonala.

Határozza meg a gyakorlat biztonsági kereteit

Egy szimuláció során soha nem szabad megkövetelni egy asszisztensől, hogy valódi titkot adjon ki, vagy valódi vezetői információkat tegyen közzé. Határozzon meg írásbeli korlátokat, mielőtt kiválasztaná a tartalmat vagy ütemezné a kampányt.

Legalább a következők gyűjtését tiltsa meg:

jelszavak, passkey-k, hitelesítési kódok, helyreállítási kódok vagy munkamenet-tokenek;
valódi igazgatósági dokumentumok, szerződések, útitervek, névjegyzékek vagy értekezletek linkjei;
fizetési adatok, banki adatok, adóügyi nyilvántartások vagy személyazonosító információk;
magánlevelezés, naptár, csevegés vagy telefonos tartalom;
élő hozzáférés vezetői, utazási, dokumentumkezelő vagy pénzügyi rendszerekhez.

Használjon ártalmatlan gyakorlati célpontokat és kitalált adatokat. Ne utánozza valódi vezetők hangját, ne hozzon létre hasonmás fiókokat, ne regisztráljon megtévesztő infrastruktúrát, és ne vonjon be külső partnereket kifejezett engedély nélkül. A gyakorlatnak visszafordíthatónak, könnyen leállíthatónak kell lennie, és az incidenskezelés során egyértelműen a tudatosságnövelő programhoz kell köthetőnek lennie.

A CISA adathalászati útmutatója megerősíti azt a gyakorlati szokást, amelyet érdemes beépíteni minden gyakorlatba: álljon ellen a nyomásnak, ismert csatornán keresztül ellenőrizze a kérést, és jelentsen minden gyanús üzenetet.

A döntéseket csatornákon átívelően teszteljük, ne csak a beérkező levelek felismerésénél

A vezetői támogatási munka gyorsan váltogat az eszközök között. Egy e-mail naptárváltozáshoz, csevegőüzenethez, telefonhíváshoz vagy dokumentummegosztási értesítéshez vezethet. A képzésnek azt kell tesztelnie, hogy az ellenőrzés kibírja-e ezt a csatornaváltást.

Naptár- és értekezlet-kérések

Mérjük fel, hogy az asszisztensek ellenőrzik-e a váratlan szervezőváltásokat, az új külső résztvevőket, a megváltozott konferencia-adatokat, valamint a bizalmas értekezletek áthelyezésére irányuló kéréseket. Az ellenőrzésnek a hiteles naptáron és egy ismert kapcsolattartási módon keresztül kell történnie – nem pedig a gyanús üzenetben megadott válaszadatokon keresztül.

Utazási és tartózkodási információk

Gyakorolják az útiterv-módosítások, a sürgős foglalási kérések, az utazóknak szóló támogató üzenetek, valamint a vezető tartózkodási helyével kapcsolatos kérdések kezelésének folyamatát. A védett magatartás az információk nyilvánosságra hozatalának korlátozása és a módosítások jóváhagyott utazási rendszereken vagy ismert szolgáltatókon keresztül történő megerősítése.

Dokumentumok és aláírások

Tesztelje, hogyan kezelik az asszisztensek a váratlan igazgatósági anyagokat, szerződéses linkeket, aláírási kéréseket és hozzáférési meghívókat. A képzésnek hangsúlyoznia kell a jóváhagyott adattárak használatát, a címzettek ellenőrzését, a dokumentumok osztályozását, valamint az eskalációt, ha egy kérés kívül esik a szokásos munkafolyamaton.

Fizetések és beszerzések

Az asszisztensek továbbíthatnak számlákat vagy kezdeményezhetnek beszerzéseket akkor is, ha nem rendelkeznek kifizetési jogosultsággal. Értékelje, hogy a sürgős kérések is megfelelnek-e a megállapított jóváhagyási, beszállítói és visszahívási ellenőrzéseknek. A szimuláció során nem szabad valódi tranzakciót létrehozni, illetve valódi banki adatokat használni.

Fiók- és eszközkezelés

A felsővezetők gyakran kérik az asszisztenseket, hogy koordinálják az eszközcserét, a hozzáférés helyreállítását vagy az utazással kapcsolatos támogatást. Tesztelje, hogy az asszisztens továbbítja-e a kérést az arra felhatalmazott szervizközponthoz, és hogy az IT-részleg szigorú személyazonosság-ellenőrzést alkalmaz-e. Egyetlen gyakorlat sem kérheti az asszisztenstől, hogy továbbítson hitelesítési kódot, vagy jóváhagyjon egy váratlan felugró ablakot.

Beszerzői ellenőrzőlista egy ügyvezetői asszisztens-képzési platformhoz

A platform értékelésekor kérje meg a szállítókat, hogy egy ellenőrzött kísérleti fázisban mutassák be az alábbi ellenőrzési mechanizmusokat.

1. Pontos célközönség- és kizárási ellenőrzések

A platformnak kizárólag a jóváhagyott alkalmazottakra kell irányulnia, és ki kell zárnia a védett csoportokat, a szabadságolási időszakokat, a külső kapcsolattartókat, a megosztott postafiókokat, valamint a gyakorlat hatókörén kívül eső személyeket. A csoportszinkronizálást a beindítás előtt ellenőrizni kell, különösen akkor, ha az asszisztensek több vezetőt vagy üzleti egységet támogatnak.

2. Szerepkörön alapuló, de nem megtévesztő tartalom

A forgatókönyveknek tükrözniük kell a naptárral, utazással, dokumentumokkal, jóváhagyásokkal és támogatási döntésekkel kapcsolatos folyamatokat anélkül, hogy valós személyt utánoznának vagy bizalmas kontextust adnának vissza. Minden egyedi tartalomhoz jóváhagyási munkafolyamatot kell előírni, és meg kell akadályozni, hogy a forgatókönyv-szerzők bizalmas információkat kérjenek.

3. Többcsatornás irányítás

Ha e-mailes, naptári, együttműködési, SMS-es vagy QR-kódos gyakorlatok állnak rendelkezésre, a platformnak lehetővé kell tennie a rendszergazdák számára, hogy minden csatornát külön engedélyezzenek. Az e-mail-szimuláció futtatására vonatkozó engedély nem jogosíthatja fel automatikusan a személyes telefonokkal vagy külső üzenetküldő fiókokkal való kapcsolatfelvételt.

4. Kockázatmentes céloldalak és visszajelzések

A képzési céloldalaknak nem szabad hitelesítő adatokat gyűjteniük, és azonnal meg kell magyaráznia a biztonságosabb cselekvést. A visszajelzésnek ki kell emelnie a döntő fontosságú munkafolyamat-vezérlő lépést: a megbízható naptár használatát, az ismert dokumentumtár megnyitását, a kijelölt kapcsolattartó felhívását vagy a kérelem továbbítását.

5. Gyors jelentéstétel a munkakörnyezetből

Az asszisztenseknek egyértelmű módra van szükségük az e-mailből, mobilról, naptárból és együttműködési eszközökből történő jelentéstételhez. A jelentésnek el kell jutnia a megfelelő biztonsági sorba, elegendő kontextussal a triázshoz, de nem szabad a bizalmas tartalmat a szükségesnél szélesebb körben továbbítania.

6. Adatvédelem és adatminimalizálás

Pontosan tisztázzuk, hogy a platform milyen adatokat tárol a címzettekről, az interakciókról, a jelentésekről, az eszközökről és a képzés elvégzéséről. Állítsuk be a legrövidebb hasznos megőrzési időtartamot, a szerepkörön alapuló rendszergazdai hozzáférést, valamint az olyan összesített jelentéstételt, ahol az egyéni részletek nem szükségesek. Tekintsük át a vonatkozó joghatóságban érvényes, a munkavállalók képviseletére vonatkozó követelményeket.

7. Vészleállítási és helyreállítási ellenőrzések

A rendszergazdáknak képesnek kell lenniük a gyakorlat leállítására, a célpont letiltására, a címzettek azonosítására, valamint a szimulációs tevékenység és a valódi incidens megkülönböztetésére. A szolgáltatónak el kell magyaráznia, mi történik, ha a tartalom nem a kívánt címzetthez jut el, vagy ha egy alkalmazott a kampány során valódi fenyegetést jelent be.

8. A döntésekhez kapcsolódó bizonyítékok

A hasznos jelentéseknek tartalmazniuk kell az ellenőrzést, a jelentéstételt, az eskalációt, a visszajelzések feldolgozását és az ismétlődő munkafolyamatbeli hiányosságokat. A nyers kattintási arány önmagában nem elegendő. A vásárlóknak képesnek kell lenniük a bizonyítékok exportálására a program felülvizsgálata céljából anélkül, hogy szükségtelenül egyéni adatokat tennének közzé.

Vezessen végre egy ellenőrzött kísérleti projektet

Egy kis léptékű kísérleti projekt a legbiztonságosabb módja mind a platform, mind az üzemeltetési modell érvényesítésének.

Válasszon ki egy olyan munkafolyamatot, amelynek egyértelmű felelőse van, például egy váratlan naptármódosítást vagy dokumentum-hozzáférési kérelmet.
Használjon egy kis, felhatalmazott asszisztensi csoportot, és vonja be a szolgáltatási központot (service desk) vagy a biztonsági operációs központot (SOC) a gyakorlati tervbe.
Erősítse meg a biztonságos célállomást, a jelentési útvonalat, a leállítási eljárást, az adatvédelmi beállításokat és a támogatói eligazítást.
Határozzon meg alapvető intézkedéseket a jelentésre, az ellenőrzésre, az eskalációra és a helyreállításra vonatkozóan.
Végezze el a gyakorlatot normál működési időszakban, elkerülve az igazgatósági üléseket, az eredménybeszámolási tevékenységeket, a jelentős utazásokat, a vészhelyzeteket és az érzékeny vállalati eseményeket.
Adjon azonnali, tiszteletteljes visszajelzést, amelyben megnevezi a jóváhagyott ellenőrzési lépést.
A további képzés elrendelése előtt vizsgálja át a folyamatbeli hibákat a munkafolyamat felelősével.

Itt játszanak eltérő szerepet a phishing-képzések és a phishing-szimulációk. A képzés elmagyarázza az elvárt viselkedést; egy ellenőrzött szimuláció pedig azt teszteli, hogy a viselkedés reális nyomás alatt is működik-e.

Mérje azokat az eredményeket, amelyek javítják a vezetői műveleteket

A programnak mérnie kell, hogy az asszisztensek megvédik-e a következményekkel járó lépéseket, és hogy a támogató csapatok helyesen reagálnak-e. Hasznos mutatók:

a bejelentések aránya és a bejelentésig eltelt idő mediánja;
a jóváhagyott ellenőrzési csatorna használata;
a cselekvés előtt eskalált érzékeny kérések aránya;
a szolgáltatási pult vagy a SOC által a bejelentés osztályozására fordított idő;
a képzési célpont letiltásához szükséges idő egy leállítási kérés után;
a visszajelzések kitöltése és a késleltetett visszatartás ellenőrzése;
a munkafolyamatbeli hiányosságok ismétlődése folyamatok szerint, nem csupán személyek szerint;
a felülvizsgálat után kijavított, kétértelmű jóváhagyási vagy eskalációs útvonalak száma.

Az eredményeket gondosan szegmentálja. A különböző vezetőket, régiókat vagy üzleti funkciókat támogató asszisztensek nagyon eltérő munkafolyamatokkal szembesülhetnek. A kis létszámú csoportok esetében az egyéni eredmények könnyen kikövetkeztethetők, ezért korlátozza a hozzáférést, és kerülje a nyilvános rangsorolást.

Építsen ki konstruktív reakciót a hibákra

Aki egy szimulációval interakcióba lép, annak egyértelmű útmutatást kell kapnia, nem pedig nyilvános megszégyenítést. Magyarázza el, mit akart kiváltani a kérelem, melyik megbízható nyilvántartást vagy kapcsolattartót kellett volna használni, hogyan kell jelenteni a hasonló tevékenységeket, és mit kell tenni véletlen interakció után.

Ha több résztvevő is ugyanazt a döntést hozza, vizsgálja meg a folyamatot. Egy nem egyértelmű felhatalmazási modell, következetlen beszállítói nyilvántartás, dokumentálatlan vészhelyzeti útvonal vagy túlterhelt ügyfélszolgálat lehet a valódi ellenőrzési hiányosság. A képzés akkor a legértékesebb, ha feltárja és javítja ezeket a körülményeket.

Ismétlődő problémák esetén arányos utólagos intézkedéseket alkalmazzon: rövid coachingot, beszélgetést a vezetővel, a munkafolyamat tisztázását vagy egy másik, alacsony kockázatú gyakorlati feladatot. A fegyelmi eljárásokat tartalékolja a bizonyított szabálysértésekre, ne pedig a szokásos tanulási eredményekre.

Vásárlás előtt felteendő kérdések

Használja ezeket a kérdéseket a bemutatókon és a beszerzési felülvizsgálatok során:

Külön kezelhetjük-e az asszisztenseket az általuk támogatott vezetőktől?
Alapértelmezésként kizárhatjuk-e a külső kapcsolatokat, a megosztott erőforrásokat és a személyes eszközöket?
Lehet-e az egyedi tartalmakat úgy ellenőrizni, hogy a vezetők bizalmas adatait ne másoljuk át a platformra?
Megakadályozza-e a rendszer a jelszavak, kódok, fizetési adatok és érzékeny dokumentumok gyűjtését?
Jelenthetnek-e a munkavállalók a naptárból és az együttműködési munkafolyamatokból is, nem csak e-mailben?
Képes-e a SOC azonosítani a szimulációs infrastruktúrát anélkül, hogy elnyomná a valódi riasztásokat?
Meg tudják-e állítani a rendszergazdák egy kampányt, és azonnal letilthatják-e annak célpontját?
Mérhetjük-e a hitelesítést, a jelentéstételt, az eskalációt és a helyreállítást, ahelyett, hogy kizárólag a kattintásokat vennénk figyelembe?
Összesíthetők-e az eredmények kis csoportokra vonatkozóan, és csak a szükséges ideig tarthatók-e meg?
Exportálhatunk-e egy megalapozott nyilvántartást a hatókörről, a jóváhagyásokról, a tartalom-felülvizsgálatról, az eredményekről és a fejlesztésekről?

GYIK

Mit kell tartalmaznia a vezetői asszisztenseknek szóló adathalász-képzésnek?

Kiterjednie kell a naptár-felhatalmazásra, az utazási változásokra, a bizalmas dokumentumok megosztására, az elektronikus aláírásokra, a beszerzésekre, a számlák továbbítására, a fióktámogatásra, a vezetői információkra, a csatornák közötti ellenőrzésre, a jelentésekre és a helyreállításra. A hangsúlyt a műveletek és információk védelmére kell helyezni, nem pedig a vizuális jelek memorizálására.

A szimulációban valódi vezetőt kell-e megszemélyesíteni?

Általában nem. A valódi névvel való megszemélyesítés ronthatja a bizalmat, megzavarhatja az incidenskezelést, és érzékeny információkat tehet közzé. Használjon kitalált vagy egyértelműen szabályozott, szerepkörön alapuló tartalmat, kivéve, ha a vezetőség, a jogi osztály, az adatvédelmi és biztonsági részlegek, valamint az érintett résztvevők szigorúan ellenőrzött kivételt hagytak jóvá.

Az asszisztenseknek és a vezetőknek ugyanazt a képzést kell kapniuk?

Meg kell ismerniük a jelentéskészítés és az ellenőrzés alapelveit, de a munkafolyamataik eltérőek. A vezetők nagy horderejű döntéseket hagyják jóvá; az asszisztensek gyakran delegált rendszereket működtetnek és csapatok között koordinálnak. Mindkét csoportnak olyan gyakorlásra van szüksége, amely tükrözi a tényleges ellenőrzési mechanizmusait.

Hasznos mutató-e a kattintási arány ennek a célközönségnek?

Csak korlátozott mértékben, interakciós jelzésként. Hasznosabb mutatók közé tartoznak a hitelesített kérések, az időben benyújtott jelentések, a helyes eskaláció, a védett információk és a sikeres helyreállítás. Az alacsonyabb kattintási arány nem bizonyítja, hogy a fizetési, dokumentum- vagy naptárkezelési ellenőrzések hatékonyak.

Milyen gyakran kell a vezetői asszisztenseknek adathalász-tudatossági képzésben részt venniük?

Inkább rövid, rendszeres tanulási lehetőségeket és ellenőrzött gyakorlást alkalmazzanak, mint egyetlen éves rendezvényt. A gyakoriságnak tükröznie kell a munkafolyamatok változásait, a megfigyelt kockázatokat, az incidensek tendenciáit, az utazási ciklusokat, valamint azt az időt, amely a javulás méréséhez szükséges anélkül, hogy fáradtságot okozna.

A delegált bizalmat alakítsuk át tesztelt ellenőrzési mechanizmussá

Nem várható el a vezetői asszisztensektől, hogy minden meggyőző üzenetet első pillantásra felismerjenek. Megbízható munkafolyamatokra van szükségük, amelyek lehetővé teszik számukra a fontos kérések ellenőrzését, az érzékeny információk védelmét, a bizonytalanságok jelentését és a gyors helyreállítást.

Egy megfelelő platform biztonságossá teszi ezeknek a viselkedésformáknak a gyakorlását, és könnyen mérhetővé teszi őket anélkül, hogy titkokat gyűjtene vagy megzavarná a vezetői munkát. Regisztráljon, hogy felmérje, hogyan támogathatja az AutoPhish egy ellenőrzött, szerepkörön alapuló tudatosságnövelő programot.

Adatlopás-tudatossági képzés ügyvezetői asszisztensek számára: Ellenőrzőlista