Program simulacije fišinga: šta pripremiti pre prve kampanje

Program simulacije fišinga treba pripremiti pre nego što se pokrene prva kampanja. Cilj nije da se zaposleni iznenade ili da se dokaže da nekoga može da se prevari. Cilj je da se izgradi ponovljiv tok rada za podizanje svesti o bezbednosti koji zaposleni razumeju, koji IT može da vodi i koji rukovodstvo može da pregleda bez preuveličavanja onoga što vežba zaista dokazuje.

Ta priprema je važna bilo da upoređujete platformu za simulaciju fišinga, koristite uslugu upravljane simulacije fišinga ili prelazite sa jednokratnog testiranja na program koji se ponavlja. Ako plan pokretanja nije jasan, prva kampanja može da proizvede zbrkane podatke, trenje oko privatnosti, probleme sa isporukom i izbežive probleme sa poverenjem.

Ovaj vodič je isključivo odbramben. Ne uključuje fišing tekstove, korake za prikupljanje kredencijala, tehnike zaobilaženja, uputstva za postavljanje infrastrukture niti savete za stvarne napade.

Definišite ishod programa pre izbora scenarija

Krenite od odluke koju program treba da podrži. „Pokrenimo fišing test“ nije dovoljno dobar cilj.

Korisni program simulacije fišinga obično teži da poboljša bar jedan od ovih ishoda:

• zaposleni brže prijavljuju sumnjive poruke
• timovi sa većim rizikom dobijaju relevantno coachovanje
• IT validira tok prijavljivanja i praćenja
• bezbednosni lideri vide trendove kroz kampanje
• zainteresovane strane za usklađenost mogu da vide da je aktivnost podizanja svesti kontinuirana
• menadžeri dobijaju koristan kontekst na nivou grupe bez nepotrebnog izlaganja pojedinaca

Ti ishodi oblikuju svaku kasniju odluku: teme scenarija, izbor publike, čuvanje podataka, izveštavanje, naknadnu obuku i učestalost. Oni takođe sprečavaju da program skrene u dramatične scenarije koji privlače pažnju, ali ne popravljaju ponašanje.

Za širi kontekst merenja, AutoPhish-ov vodič o funkcijama izveštavanja za simulaciju fišinga detaljnije obrađuje kontrolnu tablu i sloj dokaza.

Rano napravite mapu zainteresovanih strana

Simulacije fišinga dotiču više timova nego samo bezbednost. Prva kampanja često uključuje:

• bezbednost ili IT operacije
• HR ili ljudi i operacije
• pravne i privatnosne zainteresovane strane
• radnička veća ili predstavnike zaposlenih gde je to relevantno
• komunikacije ili interne programe podrške
• menadžere za timove sa visokim rizikom
• službu za pomoć ili SOC osoblje koje prima prijave

Ne treba vam svaka zainteresovana strana na svakom pregledu kampanje. Ali vam je potrebno jasno vlasništvo pre pokretanja. Odlučite ko odobrava pravila programa, ko odobrava osetljive scenarije, ko odgovara na pitanja zaposlenih i ko preuzima odgovornost ako nešto pođe naopako.

Za organizacije sa jakim EU prisustvom, model poverenja je važan koliko i alat. AutoPhish-ov vodič o obuci za fišing sa fokusom na privatnost pravi je pratilac kada su GDPR, radnička veća, obaveštenja, saglasnost ili anonimizovano izveštavanje deo implementacije.

Postavite sigurnosna pravila za ono što nećete simulirati

Najbezbedniji programi unapred definišu granice pre nego što iko napiše scenario. To štiti zaposlene, smanjuje unutrašnji otpor i administratorima daje jednostavan standard za pregled.

Uobičajena pravila uključuju:

• nema prikupljanja stvarnih lozinki, MFA kodova, odgovora za oporavak, tokena ili privatnih ključeva
• nema tema koje imitiraju otkaze, greške u isplati zarade, hitne medicinske situacije, imigracioni status ili lične krize, osim ako su izričito pregledane i opravdane
• nema priloga, makroa, payload-a nalik malveru ili uputstava koja obučavaju nesigurno rukovanje
• nema predstavljanja kao poverljiva interna osoba bez odobrenja
• nema ciljanja zaštićenih grupa ili pojedinaca iz kaznenih razloga
• nema izveštavanja tipa „naming and shaming“
• nema širokih zaobilaženja bezbednosti samo da bi se isporuka primorala

Ova pravila ne čine obuku manje realističnom. Oni čine program lakšim za odbranu. Napadači u stvarnom svetu koriste strah, hitnost i autoritet. Odbrambeni program podizanja svesti može da nauči ljude da prepoznaju te obrasce pritiska bez reprodukovanja štetnih taktika.

Pripremite isporuku e-pošte bez slabljenja odbrane

Mnoge prve kampanje tiho propadnu jer simulacione poruke završe u spamu, karantinu ili sekundarnom sandučetu. To otežava tumačenje rezultata. Niska stopa klikanja može da znači da su se zaposleni popravili. Ali može i da znači da poruku niko nije video.

Pre pokretanja, proverite tehnički tok:

• pravila za domen pošiljaoca i prikazano ime
• SPF, DKIM i DMARC usklađenost za odobreno slanje
• ponašanje filtera pošte u malom pilotu
• ponašanje dugmeta za prijavu
• usmeravanje ka SOC-u ili službi za pomoć
• obradu bounce poruka
• regionalne ili podružničke razlike u toku pošte
• korake za vraćanje privremenih promena u toku pošte

Važan princip je testiranje u ograničenom obimu, ne široko zaobilaženje. Simulacija fišinga treba da radi zajedno sa vašim bezbednosnim skupom alata, a ne da uči organizaciju da ih isključuje. Ako isporuka zahteva posebno rukovanje, dokumentujte obim, razlog, vlasnika i datum isteka.

AutoPhish ovaj operativni rizik detaljnije obrađuje u tekstu zašto simulacione e-poruke završe u spamu.

Odlučite koji su vam podaci potrebni, a koji nisu

Prikupljajte samo podatke koji podržavaju ishod programa. Više praćenja nije automatski bolje.

Praktičan plan podataka trebalo bi da definiše:

• koji se događaji beleže
• da li su rezultati na nivou pojedinca vidljivi, anonimizovani ili ograničeni
• ko može da izvozi izveštaje
• koliko dugo se podaci kampanje čuvaju
• kako se računaju trendovi ponovljenog rizika
• koje izveštaje menadžeri mogu da vide
• koji se dokazi čuvaju za reviziju ili pregled upravljanja

Za mnoge timove, najkorisnije metrike nisu „ko je kliknuo“. Bolji signali programa uključuju stopu prijavljivanja, vreme do prijave, smanjenje ponovljenog rizika, završetak naknadne obuke, obuhvat kampanje i promene ponašanja tokom vremena.

To je u skladu sa načinom na koji se zreli programi bezbednosne svesti obično definišu. NIST SP 800-50 tretira svest i obuku kao kontinuirani program koji mora da se osmisli, sprovede, održava i ocenjuje, a ne kao jednokratan događaj.

Planirajte povratne informacije pre pokretanja kampanje

Trenutak nakon što zaposleni interaguje sa simulacijom je mesto gde se dobija ili gubi vrednost obuke. Ako je odgovor nejasan, kaznen ili odložen, kampanja postaje tabela rezultata. Ako je odgovor pravovremen i konstruktivan, kampanja postaje petlja za učenje.

Pripremite:

• šta zaposleni vide nakon simulirane interakcije
• šta zaposleni vide nakon ispravnog prijavljivanja
• da li je naknadna obuka automatska ili ide na pregled
• kako se menadžeri briefuju
• šta služba za pomoć kaže ako zaposleni postavljaju pitanja
• kako se obrađuju lažno pozitivne i zbunjujuće prijave
• kako bezbednosni tim ažurira buduće scenarije na osnovu rezultata

Povratne informacije treba da pojačaju bezbedno ponašanje: zastani, proveri, prijavi i oporavi se. Ne treba da navode zaposlene da osećaju da ih bezbednost hvata na delu.

Počnite pilotom koji testira operativni model

Prva kampanja treba da dokaže da proces funkcioniše pre nego što pokuša da meri celu organizaciju.

Korisni pilot može da odgovori na ova pitanja:

• Da li su poruke dosledno isporučene?
• Da li je tok prijavljivanja usmeren ka pravom timu?
• Da li su zaposleni razumeli povratne informacije?
• Da li su se podaci poklopili sa onim što je tim očekivao da prikupi?
• Da li su privatnost i kontrole pristupa bili ispravni?
• Da li su administratori mogli da objasne rezultate bez dodatnog rada u tabelama?
• Da li je program izazvao zabunu, trenje ili tiket podrške?

Držite obim pilota dovoljno malim da bezbedno učite. Uključite reprezentativan miks korisnika, ali izbegavajte osetljive grupe dok model pregleda ne sazri. Najbolji rezultat pilota nije dramatičan slajd o stopi klikanja. To je poverenje da program može ponovo da se pokrene bez dodatnog ručnog rada ili nepotrebnog rizika.

Napravite paket dokaza za prvu kampanju

Ako su važni usklađenost ili pregled rukovodstva, pripremite dokaze pre pokretanja. Ne čekajte da neko zatraži dokaz.

Jednostavan paket dokaza može da sadrži:

• odobrenu svrhu programa
• pravila bezbednosti scenarija
• publiku i isključenja
• vreme kampanje
• napomene o pošiljaocu i isporuci
• odobrenja zainteresovanih strana
• plan naknadne obuke
• metrike izveštavanja
• naučene lekcije
• planirane promene za sledeću kampanju

Budite precizni u jeziku. Program simulacije fišinga može da podrži svest, obuku i dokaz za upravljanje. Sam po sebi ne čini organizaciju usklađenom, niti dokazuje da su zaposleni imuni na fišing.

Na šta da obratite pažnju kod platforme za simulaciju fišinga

Kada je model programa jasan, evaluacija platforme postaje lakša. Ne kupujete samo alat koji šalje poruke. Birate sistem koji će vam pomoći da ponavljano vodite operativni model.

Dajte prednost platformama koje podržavaju:

• bezbedan pregled scenarija
• segmentaciju publike
• jasne tokove odobravanja
• automatizovane povratne informacije i obuku
• izveštavanje koje ide dalje od stope klikanja
• kontrole pristupa zasnovane na ulogama
• obradu podataka s obzirom na privatnost
• izvoze pogodne za reviziju
• pouzdano testiranje isporuke
• lokalizovani sadržaj gde je potrebno
• putanju od pilota do redovnog ritma

To je razlika između alata za simulaciju fišinga i programa simulacije fišinga. Alat izvršava deo toka rada. Program pretvara tok rada u bezbednije ponašanje i upotrebljive dokaze.

Kontrolna lista za pokretanje

Pre prve kampanje potvrdite:

1. Cilj programa je zapisan.
2. Zainteresovane strane znaju svoje uloge.
3. Osetljivi scenariji zahtevaju pregled.
4. Vidljivost podataka i period čuvanja su definisani.
5. Isporuka je testirana u pilotu.
6. Prijavljivanje ide pravom timu.
7. Povratne informacije za zaposlene su spremne.
8. Naknadna obuka je dodeljena.
9. Metrike su vezane za ponašanje, a ne za sramoćenje.
10. Pregled sledeće kampanje je zakazan.

Ako je bilo koja stavka nejasna, prvo to ispravite. Odložena prva kampanja je bolja od neurednog pokretanja koje narušava poverenje ili proizvodi podatke koje niko ne može da koristi.

Izgradite program pre tabele sa rezultatima

Simulacije fišinga najbolje funkcionišu kada se tretiraju kao program za kontinuirano podizanje svesti, a ne kao iznenadni test. Priprema je ono što rezultate čini smislenim: jasni ciljevi, bezbedni scenariji, kontrole privatnosti, pouzdana isporuka, korisno izveštavanje i konstruktivan nastavak.

AutoPhish pomaže bezbednosnim timovima da vode simulacije fišinga uz odbrambene zaštitne ograde, automatizovani nastavak obuke i izveštavanje koje podržava pregled programa. Da biste počeli sa bezbednijim tokom pokretanja, Prijavite se.

ČPP

Šta je program simulacije fišinga?

Program simulacije fišinga je ponavljajući tok rada za podizanje svesti o bezbednosti koji koristi kontrolisane simulacije, prijavljivanje od strane zaposlenih, povratne informacije, naknadnu obuku i izveštavanje da bi unapredio način na koji organizacija reaguje na sumnjive poruke.

Šta treba da pripremimo pre prve simulacije fišinga?

Pripremite cilj programa, odobrenja zainteresovanih strana, sigurnosna pravila, test isporuke, tok prijavljivanja, plan čuvanja podataka, povratne informacije za zaposlene, naknadnu obuku i paket dokaza pre pokretanja prve kampanje.

Da li prva kampanja treba da obuhvati celu kompaniju?

Obično ne. Mali pilot je bezbedniji jer testira isporuku, prijavljivanje, vidljivost podataka i povratne informacije zaposlenih pre nego što se program proširi na veću publiku.

Mogu li simulacije fišinga da podrže dokaz o usklađenosti?

Da, mogu da podrže dokaz da su aktivnosti podizanja svesti i obuke kontinuirane i pregledane. Ne treba ih predstavljati kao samostalnu garanciju usklađenosti.

Koja metrika je najvažnija?

Stopa prijavljivanja, vreme do prijave, trendovi ponovljenog rizika, naknadna obuka i obuhvat su obično korisniji od same stope klikanja. Stopa klikanja zahteva kontekst jer problemi sa isporukom, kvalitet scenarija i ponašanje prijavljivanja mogu da promene rezultat.