Прилагођени сценарији симулације смшинг напада: Шта би безбедносни тимови требало да провере

Заслуге за насловницу: оригинални нацрт материјала за AutoPhish.

Прилагођени сценарији симулације смшинг-напада омогућавају безбедносним тимовима да обучавају запослене за СМС, ћаскање и социјално инжењеринг усмерено на мобилне уређаје, без ослањања на генеричке шаблоне. Вредност није у томе да се поруке учине преварантнијим. Она је у прилагођавању реалистичном пословном контексту, постављању граница, мерењу понашања приликом пријављивања и пружању корисницима брзе, безбедне повратне информације.

Та разлика је важна када упоређујете платформе за симулацију смшинг напада. Правилно питање није само: "Можемо ли да напишемо сопствене сценарије за СМС поруке?" Боље питање је: "Можемо ли да прилагодимо сценарије на начин којима могу да верују службе за приватност, ИТ, људске ресурсе, усаглашеност и запослени?"

Ово упутство је искључиво одбрамбеног карактера. Не укључује садржај за фишинг, тактике испоруке, технике заобилажења, кораке за прикупљање акредитива или упутства за праве нападе.

Зашто су прилагођени СМС сценарији важни

Генеричка обука за смшинг брзо постаје застарела. Запослени могу научити да препознају једну очигледну поруку, а да и даље не примећују мобилне токове рада које заправо користе свакодневно: обавештења о испоруци, промене у календару, обавештења о ресетовању лозинке, обавештења са службе за кориснике, подсетници о погодностима, упозорења о путовању или одобрења из финансијског одељења.

Прилагођени сценарији помажу тимовима за безбедност да обуку учине релевантном за организацију. Корисник из одељења за финансије можда ће требати другачију обуку од теренског запосленог. Немачка канцеларија можда ће требати другачији језик и кораке за преглед од канцеларије у САД. Тим за корисничку подршку можда ће требати другачија ограничења од групе извршних асистената.

За купце је прилагођавање такође сигнал зрелости платформе. Алат за смшинг који нуди само готове шаблоне за СМС можда је једноставан за покретање, али тежак за управљање. Снажнија платформа треба да подржава преглед сценарија, циљање публике, безбедносне ограничења, извештавање прилагођено мобилним уређајима и доказе да је обука побољшала понашање.

Ако градите шири мобилни програм, страница за симулацију смшинг напада компаније AutoPhish је полазна тачка у оквиру истог производног сегмента. За контекст политика за СМС, WhatsApp и QR, погледајте AutoPhish водич о политикама мобилног фишинга за МСП.

Почните са управљањем сценаријем, а не писањем порука

Прилагођени смшинг сценарији захтевају радни ток за одобрење. Без њега, прилагођавање може да скрене ка ризичним темама, недоследној локализацији или вежбама које делују као замке.

Практичан радни ток треба да дефинише:

• ко може да затражи прилагођени сценарио
• ко прегледа сценарио пре покретања
• које теме су забрањене
• које групе запослених су искључене или се према њима поступа другачије
• да ли је потребан преглед правне службе, службе за приватност, људских ресурса или већа запослених
• како се одобрава идентитет пошиљаоца и брендирање
• шта се дешава ако запослени пријави поруку као сумњиву
• који се докази чувају након вежбе

Ово не мора да постане спор процес одбора. За многе организације, довољна је кратка листа за проверу. Важно је да се прилагођени сценарији третирају као контролисан ток рада за подизање свести о безбедности, а не као слободно формулисање порука.

Поставите чврсте безбедносне границе

Симулације смшинг напада су корисне само ако остану јасно одбрамбене. Безбедна платформа треба да отежава креирање кампања које прикупљају осетљиве податке, неодговорно се представљају као друге особе или уче запослене да не верују легитимним интерним каналима подршке.

Пре него што изаберете алат за симулацију смшинг напада, проверите да ли подржава ове заштитне мере:

• без прикупљања стварних лозинки, MFA кодова, података са платних картица, токена или осетљивих личних података
• без злонамерних прилога, линкова за експлоатацију или упутстава која слабе безбедност уређаја
• без представљања као стварни запослени без изричитог одобрења
• без табела са рангирањем заснованих на срамоти или казнених менаџерских радних токова
• без коришћења тема које изазивају велику узнемиреност, као што су отпуштања, медицинске хитне ситуације, имиграциони статус или претње везане за плату
• јасна могућност одјаве или изузимања осетљивих група када је то потребно
• брз тренутак за обуку након интеракције који објашњава безбедно понашање при пријављивању

Амерички национални институт за стандарде и технологију (NIST) има практичне смернице за фишинг за мала предузећа, укључујући основни подсетник да корисници треба да буду опрезни са сумњивим порукама и линковима. Њихов водич за фишинг је корисна спољна референца када објашњавате зашто обука о свесности о мобилним уређајима припада ширем програму безбедности.

Проверите да ли прилагођавање подржава улоге и регионе

Најбољи прилагођени сценарији обично потичу из стварних пословних токова, али их треба прилагодити по улогама и регионима, уместо да се шаљу свима.

Корисне димензије прилагођавања укључују:

• одељење или пословна функција
• ниво радног стажа и изложеност извршних асистената
• локација канцеларије и језик
• улоге које у великој мери користе мобилне уређаје, као што су теренске службе или продаја
• спољни сарадници, сезонско особље и корисници који деле уређаје
• запослени који су недавно примљени
• корисници којима је потребно додатно обучавање након поновљених ризичних интеракција

Циљ није да се људи неправедно таргетирају. Циљ је да се свакој публици пружи релевантна пракса, а затим да се измери да ли се извештавање побољшава. Финансијском тиму може бити потребно да буде свестан фактура и процеса одобрења. ИТ одељењу може бити потребно да буде свесно опоравка налога. Руководиоцима може бити потребно саветовање у вези са хитним захтевима преко мобилног уређаја. Запосленима у регионима где постоје захтеви за заступање радника могу бити потребна другачија правила за обавештавање и извештавање.

Ако вам је потребан шири модел сегментације, Водич компаније AutoPhish за симулације фишинга засноване на улогама пружа корисну структуру.

Процените извештавање и повратне информације, а не само доставу

Многи купци превише се фокусирају на то да ли платформа може да шаље СМС поруке. Достава је важна, али стварна оперативна вредност долази након што порука стигне до запосленог.

Питајте добављаче како решавају:

• пријављивање сумњивих порука једним додиром или са малим трењем
• класификацију пријављених СМС или ћаскалица
• тренутну повратну информацију након што корисник пријави или интерагује са симулацијом
• резимеа прилагођених менаџерима који избегавају јавно понижавање
• контрола приватности за резултате на нивоу појединца
• извештавање о трендовима кроз одељења и циклусе кампања
• извоз доказа за ревизије или прегледе руководства

Прилагођени сценарији треба да створе боље циклусе учења. Ако вам платформа само каже ко је кликнуо, она вам даје слаб сигнал. Снажније извештавање показује да ли су запослени пријавили поруку, да ли се време одговора побољшало, које су наговештаје пропустили и којим тимовима је потребан додатни тренинг.

Оставите шаблоне уређиваним, али ограниченим

Безбедносни тимови често желе уређиве шаблоне јер њихова организација има специфичне системе, брендове или токове рада. То је разумно. Међутим, потпуна слобода ствара ризик по управљање.

Зрела платформа за симулацију смшинг напада треба да понуди ограничено прилагођавање:

• одобрене категорије сценарија
• поља са текстом која се могу прегледати
• подршка за локализацију
• безбедне одредишне и повратне странице
• подесиве ознаке пошиљаоца где је то технички и законски прикладно
• провере забрањених речи или забрањених тема
• преглед и одобрење пре покретања
• историја верзија ради ревизије

Ово тимовима даје довољно флексибилности да обуку учине релевантном, а да не претварају сваку кампању у једнократни пројекат.

Шта да питате пре куповине платформе за симулацију смшинг напада

Користите ова питања током процене добављача:

• Можемо ли да креирамо прилагођене СМС сценарије без прикупљања стварних акредитива или осетљивих података?
• Могу ли се сценарији прегледати и одобрити пре покретања?
• Можемо ли да локализујемо сценарије по језику и региону?
• Можемо ли да сегментирамо по улози без излагања непотребних личних података?
• Могу ли запослени лако да пријаве сумњиве СМС поруке?
• Може ли платформа да прикаже понашање приликом пријављивања, а не само стопе интеракције?
• Можемо ли да извеземо доказе за прегледе усаглашености без прекомерног тврђења усаглашености?
• Можемо ли да покрећемо СМС уз е-пошту, QR и друге канале за подизање свести?
• Можемо ли да чувамо заједно историју сценарија, историју одобрења и историју резултата?
• Можемо ли да онемогућимо ризичне теме према политици?

За тимове који упоређују више канала, чланак AutoPhish о [алатима за симулацију вишеканалног фишинга](https://autophish.io/blog/алати за симулацију вишеканалног фишинга - шта безбедносни тимови треба да упореде међу е-поштом, СМС-ом, гласом и QR-ом) могу помоћи да се СМС представи као део ширег програма подизања свести.

ЧПП

Да ли су прилагођени сценарији симулације смшинг-напада безбедни?

Могу бити безбедни када платформа спречава прикупљање акредитива, избегава штетне теме, укључује токове рада за одобрење и фокусира се на извештавање и обуку. Прилагођавање треба да учини обуку релевантнијом, а не агресивнијом.

Да ли симулације смшинг-напада треба да користе стварна имена компанија или интерне алате?

Само уз јасно одобрење. Неке организације користе благо прилагођени интерни контекст како би запослени препознали реалистичне токове рада. Друге избегавају праве називе система како би смањиле конфузију. Правилан избор зависи од захтева у вези са приватношћу, законским прописима, људским ресурсима, синдикатом и комуникацијама.

Које метрике су важне за обуку о свесности о СМС фишингу?

Пратите стопу пријављивања, време до пријаве, трендове поновног ризика, завршетак накнадне обуке и побољшање током времена. Само стопе кликања или додира могу створити обмањујуће подстицаје.

Колико често би тимови за безбедност требало да спроводе симулације смшинг напада?

Већина тимова треба да почне са предвидивим ритмом који запослени могу да разумеју, а затим да прилагоди у зависности од ризика и зрелости пријављивања. СМС не би требало да постане само бука. Користите га када је ризик на мобилним уређајима значајан и када тим може правилно да обради пријаве.

Учините прилагођене сценарије смшинг напада одбрањивим

Вреди проценити прилагођене сценарије симулације смшинг напада када су СМС, ћаскање, QR и мобилни токови рада део ваше стварне слике ризика. Кључно је да прилагођавање буде контролисано, усмерено на приватност и засновано на доказима.

AutoPhish помаже тимовима да спроводе безбедније токове рада за подизање свести о фишингу и смшингу са уграђеним заштитним мерама, извештавањем и додатном обуком. Да бисте испробали једноставно подешавање, Пријавите се.