Обука запослених о фишингу: Водич за купце

Обука запослених о свесности према фишингу треба да промени оно што људи раде када пристигне сумњив захтев: зауставе се, провере преко поузданог канала, избегну откривање тајни и брзо пријаве. Годишњи видео може да документује завршетак, али ретко доказује да та понашања функционишу под нормалним пословним притиском. Јачи програм комбинује кратко учење, безбедну праксу, једноставно извештавање и циљано ојачавање.

За купце, то значи упоређивање више од библиотека курсева. Инжењерима безбедности су потребне контролисане симулације и поуздана телеметрија. ИТ администраторима су потребне интеграције које не стварају други пројекат управљања идентитетима. ЦИСО-има су потребни докази о побољшању. Заинтересованим странама из области приватности и усаглашености су потребне јасне границе у вези са подацима запослених.

Овај водич је дефанзиван. Он не пружа шаблоне за фишинг, упутства за прикупљање акредитива, технике за избегавање испоруке или кораке за неовлашћено тестирање.

Дефинишите понашање пре него што изаберете садржај

Програми за подизање свести често почињу каталогом: видео снимцима, квизовима, постерima и шаблонима сценарија. Започните уместо тога са одлукама које запослени морају да донесу.

Користан програм треба да ојача мали скуп уочљивих понашања:

препознати неочекиване захтеве који укључују акредитиве, плаћања, датотеке, промене налога или хитно одобрење
проверити осетљиве захтеве преко познатог, одвојеног канала
користити одобрен начин пријављивања са рачунара и мобилних уређаја
избегавати уношење лозинки, MFA кодова, података о плаћању или поверљивих информација након неочекиваног позива
брзо пријављивати могуће грешке без страха од казне
разликовати рутинску сумњу од инцидента који захтева тренутно сузбијање

Ови исходи су лакши за обучавање, мерење и објашњавање него нејасан циљ као што је "повећати свест запослених о безбедности". Оне такође чине набавку прецизнијом: свака ставка на листи потенцијалних добављача треба да подржава дефинисано понашање, оперативни ток рада или захтев за управљање.

Користите обуку и симулације за различите послове

Обука учи концептима и пружа људима безбедно место за учење. Симулације тестирају да ли навике у извештавању и верификацији опстају у реалном тренутку. Ниједна не замењује другу.

Користите образовни садржај да објасните:

зашто хитност, ауторитет, тајност и необичне промене у процесу заслужују пажљиву проверу
како да прегледате пошиљаоца, одредиште, прилог, QR код или мобилни захтев на уређајима које запослени заиста користе
које захтеве је потребно проверити ван система (out-of-band)
где треба пријавити сумњиве поруке
шта учинити након случајног клика или откривања

Користите симулације да бисте проверили да ли процес у организацији функционише. Да ли су запослени препознали ситуацију? Да ли су могли да пронађу опцију за пријављивање? Да ли су SOC или служба за корисничку подршку добили довољно контекста? Да ли је праћење било тренутно и корисно? Ова разлика је детаљније обрађена у обуци за фишинг у односу на симулацију фишинга.

Најбезбедније вежбе не прикупљају стварне лозинке, MFA кодове, податке о плаћању, личне документе или осетљиве фајлове. Оне користе контролисане одредишне странице и бележе само минималан број догађаја потребних за циљ учења.

Изградите наставни план заснован на улогама и стварним одлукама

Општа свест има вредност, али ризик није равномерно распоређен. Финансијски тимови проверавају промене у плаћањима и банкарским подацима. Одељење за људске ресурсе се бави биографијама, питањима о платама и личним подацима. ИТ одељење прима захтеве за приступ и ресетовање. Извршни директори се суочавају са притиском заснованим на ауторитету. Служба за корисничку подршку отвара линкове и прилоге као део легитимног посла.

Секционишите по току рада и овлашћењима за доношење одлука, а не само по називу радног места. Практичан наставни план обично има три нивоа:

Заједничка основа: извештавање, верификација, безбедност акредитива, ризик на мобилним уређајима и шта радити након грешке.
Модули засновани на улози: промене у плаћању, привилегован приступ, осетљиве евиденције, комуникација са добављачима, запошљавање или захтеви извршног руководства.
Ојачавање на основу догађаја: кратак праћење након симулације, стварног обрасца инцидента, промене процеса или понављајућег јаза у извештавању.

Не увозите стварне поруке из инбокса, записе о клијентима, тикете или тајне запослених у платформу за обуку како би сценарији деловали аутентично. Фантастични контекст ниске осетљивости довољан је за тестирање одлуке. Релевантност произилази из тока рада, а не из копирања података из продукције.

Праксу извештавања учините делом процене производа

Препознавање без извештавања оставља безбедносни тим у мраку. Пут за извештавање треба да буде видљив, брз и доступан на местима где запослени раде.

Током пилот-фазе, тестирајте да ли корисници могу да пријављују преко:

десктоп и мобилних клијената поште
заједничких или делегираних мејл-кутија, где је то прикладно
алата за сарадњу који се користе за пословне захтеве
управљаних мобилних уређаја и одобрених радних процеса на личним уређајима
резервне мејл-кутије, службе за кориснике или телефонске линије када додатак није доступан

Затим тестирајте пријемну страну. Извештаји би требало да стижу у ред чекања са податком о пошиљаоцу, каналу, временским ознакама и корисном контекстом поруке, без откривања више података о запосленима него што је потребно. Познате симулације морају бити означене како не би затрпале праве инциденте. SOC или служба за корисничку подршку требало би да могу да потврде пријем извештаја, истраже праве поруке и покрену обуздавање када је то потребно.

Упутство CISA-е Препознајте и пријавите фишинг наглашава успоравање у вези са хитним захтевима и пријављивање сумњивих активности. То је корисна основа, али организација и даље мора да претвори савете у функционалан унутрашњи процес.

Претпочитајте континуирано учење уместо годишњег завршетка

Годишњу обуку је лако заказати и лако проверити, али сећање бледи, а канали претњи се мењају. Континуирани модел не значи стално тестирање. То подразумева мање, циљане тренутке за учење распоређене током целе године.

Уравнотежен темпо може да укључи:

основну обуку током увођења у посао
кратке кварталне подсетнике повезане са тренутним пословним токовима
периодичне симулације преко е-поште, мобилних уређаја, платформи за сарадњу или QR канала када су ти канали заиста у питању
тренутна повратна информација након безбедне интеракције у симулацији
циљано ојачавање за групе са заједничким пропустом у процесу
поуке за целу организацију након релевантних стварних инцидената, без именујења или стигматизације појединаца

Нови запослени заслужују јасна упутства пре него што буду тестирани. Водич за обуку о фишингу за нове запослене [https://autophish.io/blog/new-hire-phishing-training-how-to-build-safe-simulations-into-employee-onboarding] објашњава како да уведете навике извештавања и провере без да прву недељу претворите у изненађујућу вежбу.

Избегавајте предвидљиве месечне масовне пошиљке без циља учења. Понављање помаже само када сценарији, повратне информације и побољшања процеса решавају одређено понашање.

Мерајте промену понашања, а не само кликове

Стопа кликова се лако графички приказује, али није поуздан резултат програма. Аутоматизовани скенери могу да прате линкове. Додиривање на мобилним уређајима може бити случајно. Тежак сценарио може да повећа број кликова чак и када се извештавање побољшава. Врло очигледан сценарио може да створи ласкав резултат без испитивања ичега важног.

Користите мали скуп мера везаних за одговор и учење:

стопа извештавања: колико је прималаца користило одобрену руту за извештавање
време до извештаја: колико брзо су стигли први и медијални извештаји
исправна верификација: да ли су запослени користили потребну независну проверу за осетљив захтев
стопа осетљивих радњи: да ли је корисник покушао дефинисану ризичну радњу, мерено без прикупљања самог тајног податка
завршетак праћења: да ли је додељена микро-обука завршена
понављање понашања: да ли се релевантно понашање побољшало у поређеним вежбама
оперативни квалитет: да ли су рутирање, тријажа, потврда и ескалација функционисали како је предвиђено

Упоредите упоредиво. Не третирајте вежбу у вези са променом финансијских плаћања као еквивалент широког сценарија билтена. Сегментирајте резултате по релевантном радно-току, каналу и изложености, истовремено одржавајући популацију довољно великом да се програм не претвори у појединачни надзор.

Извештавање руководству треба да објасни шта се променило и шта ће организација следеће побољшати. "Запослени су кликтали мање" је слабија тврдња од "мобилни извештаји су стизали брже након што је поједностављен ток извештавања."

Поставите смернице за приватност и безбедност пре пилот-пројекта

Подаци о свести запослених могу утицати на поверење, односе на радном месту и законске обавезе. Дефинишите границе пре слања теста.

Документујте:

овлашћена публика, власници и одобриоци
тачни догађаји које платформа евидентира
забрањено прикупљање података, укључујући акредитиве и осетљиве уносе у обрасцима
рокови за чување и процеси брисања
приступ појединачним, тимским и агрегираним резултатима
како менаџери могу да користе податке
преглед од стране већа запослених, синдиката, службе за људске ресурсе, правног одељења или службе за заштиту података, где је применљиво
изузећа за одсуство, осетљиве улоге, активне инциденте и оперативне периоде обуставе
процес за обустављање кампање

Резултати би требало да подрже учење и смањење ризика, а не јавно рангирање или дисциплинска пречице. Потребни су подаци са именима за циљано праћење, али приступ би требало да буде ограничен, а извештавање у агрегацији треба да буде подразумевано за руководство кад год је то могуће.

Упоредите платформе са оперативним контролним списком

Софистицирана библиотека садржаја је корисна само ако производ може безбедно да покреће програм. Замолите добављаче да демонстрирају следеће помоћу измишљене популације запослених.

Администрација и управљање публиком

Могу ли групе да се синхронизују са провајдера идентитета без увоза непотребних атрибута из области људских ресурса?
Да ли се нови запослени, премештаји, уговорци и особе које напуштају компанију могу обрађивати аутоматски?
Могу ли администратори искључити појединце, регионе, смене или периоде обуставе?
Да ли су доступна одобрења и администраторска овлашћења заснована на улози?

Контроле учења и симулације

Да ли платформа може да комбинује основни садржај, учење засновано на улогама, симулације и тренутну повратну информацију?
Да ли рецензенти могу да одобре сценарије пре покретања?
Да ли одредишне странице могу да мере понашање без прикупљања поверљивих података?
Да ли платформа може брзо да паузира кампању?
Да ли подржава језике, потребе за приступачношћу, уређаје и канале обухваћене обимом?

Извештавање и интеграције

Могу ли запослени да подносе извештаје за клијенте које заправо користе?
Могу ли извештаји да се упуте ка постојећем SOC, helpdesk или ticketing радном току?
Могу ли стварни извештаји да се одвоје од познатих симулација?
Може ли платформа да размени само минималне потребне податке са алатима за идентитет, учење и безбедност?

Докази и приватност

Може ли купац да конфигурише задржавање и брисање података?
Може ли се ограничити приступ одређеним резултатима?
Могу ли извози да прикажу податке о ауторизацији, публици, испоруци, извештавању, праћењу и трендовима?
Може ли продавац да објасни локацију података, подуговараче, поступање у случају инцидената и уговорно брисање података?

Одговори би требало да буду видљиви у производу и уговору, а не да остану само као обећања у плану развоја.

Покрените пилот-пројекат који тестира цео систем

Пилот-пројекат купца треба да потврди један комплетан циклус учења, а не да максимизира број прималаца.

Изаберите једну или две репрезентативне групе запослених.
Дефинишите понашање и ток извештавања који ће се тестирати.
Одобрите безбедан сценарио и границе података.
Потврдите испоруку, листе дозвола, обухват подршке и контроле паузирања.
Проведите вежбу без прикупљања поверљивих података.
Дајте тренутну, сажету повратну информацију.
Прегледајте извештаје, време одзива, квалитет тријаже и завршетак праћења.
Отклоните пропусте у процесу пре него што проширите публику.

Укључите у евалуацију особе које управљају програмом: службу безбедности, службу за комуникације, службу за идентитете, СОК, службу за корисничку подршку, службу за приватност, људске ресурсе и службу за набавку. Платформа која изгледа једноставно у продајној демонстрацији може створити знатан обим посла када се истовремено тестирају синхронизација публике, извештавање, преглед и докази.

NIST SP 800-50 Rev. 1 дефинише свест као део ширег [програма учења о сајбер безбедности и приватности], са променом понашања, учење засновано на улогама и безбедносна култура међу својим кључним темама. То је прави обим за процену: производ треба да подржава оперативни програм, а не само да дистрибуира садржај.

ЧПП

Колико често би запослени требало да пролазе обуку о фишингу?

Користите увођење у посао и кратка подсећања током целе године. Права учесталост зависи од улоге, канала, инцидената и уоченог понашања, али тромесечни тренуци за учење са периодичним симулацијама обично су кориснији од једнократног годишњег курса.

Да ли тестови за фишинг треба да прикупљају лозинке да би доказали ризик?

Не. Одбрамбени програм може да измери да је корисник стигао на или интераговао са контролисаном страницом без складиштења лозинке, MFA кода, података о плаћању или неког другог тајног података. Прикупљање стварних акредитива ствара непотребан ризик по безбедност, приватност и поверење.

Да ли је завршетак курса довољан као доказ усаглашености?

Завршетак може бити један запис, али сам по себи не доказује промену понашања нити чини организацију усаглашеном. Чувајте чињеничне доказе о обиму, овлашћењима, спровођењу обуке, пракси извештавања, резултатима симулације, праћењу и акцијама за побољшање.

Која је најважнија метрика за свест о фишингу?

Ниједна појединачна метрика није довољна. Стопа пријављивања и време до пријављивања често су корисније за предузимање акције од стопе клика, јер показују да ли запослени могу да покрену процес реаговања организације. Комбинујте их са завршетком праћења, понављањем понашања и квалитетом оперативне тријаже.

Шта платформа за подизање свести о фишингу никада не би требало да прикупља?

Никада не би требало да захтева стварне лозинке запослених, MFA кодове, податке о плаћању, личне документе или осетљиве датотеке за симулацију. Платформа такође треба да избегава непотребне атрибуте из области људских ресурса и да обезбеди јасна контрола задржавања, брисања и приступа подацима о свести.

AutoPhish помаже безбедносним тимовима да комбинују безбедне симулације, тренутно учење, практично извештавање и корисне доказе, а да при томе свест не претворе у вежбу пребацивања кривице. Пријавите се да процените програм обуке за фишинг са мањим оптерећењем за ваше запослене.