Смишинг симулације за BYOD: безбедност програма

Смишинг симулације за BYOD треба да тестирају навике компаније у извештавању и верификацији на мобилним уређајима, без претварања личних телефона у неконтролисане циљеве за надгледање. Пре слања било које симулиране СМС поруке, дефинишите ко може да учествује, који бројеви се могу користити, које податке платформа евидентира, како запослени пријављују поруку и како било ко може да се одјави или користи контролисану алтернативу. Ако добављач не може да подржи те контроле, он није спреман за BYOD програм.

Кључно питање приликом куповине није да ли платформа може да шаље СМС поруке. Кључно је да ли представници безбедности, ИТ одељења, одељења за приватност, људских ресурса и запослених могу безбедно да користе програм на личним уређајима и уређајима у власништву компаније. Убедљива демонстрација може да сакрије тешке делове: евиденцију о пристанку, власништво над бројевима, понашање оператера, снимке екрана послате служби за помоћ, ограничења задржавања података и запослене који не желе поруке за обуку на приватном телефону.

Овај водич је дефанзиван. Он не пружа шаблоне за смшинг, упутства за фалсификовање бројева, технике прикупљања акредитива, тактике за заобилажење доставе или смернице за неовлашћено тестирање.

Одлучите да ли BYOD спада у обим

Не претпостављајте да сваки запослени са мобилним бројем треба да добије симулацију. Почните тако што ћете утврдити како мобилни уређаји подржавају стварни рад.

Разделите најмање четири групе:

запослени са телефонима у власништву компаније, у потпуности управљаним
запослени са личним уређајима укљученим у формални BYOD програм
запослени који користе личне телефоне само за МФА или у случају хитног контакта
запослени чије улоге не захтевају телефон за рад

Ове групе не подразумевају исти ниво овлашћења или приватности. Број сачуван у кадровској евиденцији за хитне случајеве није аутоматски одобрен за безбедносно тестирање. Исто тако, регистрација у систем за управљање мобилним уређајима не овлашћује нужно слање симулираних СМС порука.

За сваку групу документујте пословни разлог за укључивање, одобрен канал комуникације, власника броја, законску и уговорну основу за обраду и алтернативу која је доступна особама које не могу или не би требало да учествују. Правни саветници за приватност и запошљавање треба да потврде коначни приступ за надлежне јурисдикције.

Резултат може бити мешовит програм. Управљани телефони могу да примају контролисане симулације, формални учесници BYOD програма могу да се прикључе по јасним правилима, а сви остали могу да заврше обуку о мобилном фишингу без пријема теста на личном уређају.

Дефинишите понашање које тест треба да побољша

Симулација BYOD смшинга захтева узан понашајни циљ. "Видети ко додирује" није довољно. Преглед веза, случајно додиривање, скенирање од стране оператера, безбедносни софтвер и дељени екрани могу да искриве податке о кликовима.

Изаберите један примарни исход, као што је да ли ће запослени:

стати и проверити неочекивани мобилни захтев преко одобреног канала
пријавити сумњив СМС користећи документовани процес компаније
избегавају премештање осетљивог тока рада са управљаног система у размену текстуалних порука
препознају да хитност, ауторитет и практичност нису доказ легитимности
знају шта да раде након интеракције са сумњивом поруком

Стопа пријављивања, време до пријаве, исправан пут пријављивања и безбедно понашање након пријаве обично пружају већу оперативну вредност од сирове стопе додира. Те мере показују да ли организација може да открије и сузбије стварни покушај мобилног фишинга, а не само да ли је симулирани линк регистровао догађај.

Ако програм такође обухвата е-пошту, одржите доследан циљ учења, истовремено прилагођавајући пут за пријављивање мобилним уређајима. Наш водич за обуку о фишингу у односу на симулацију фишинга објашњава зашто би настава и тестирање требало да се међусобно појачавају, уместо да се такмиче за пажњу.

Поставите контроле приватности и пристанка пре набавке

Најбезбедније време за дефинисање захтева за приватност је пре пилот-програма са добављачем. У супротном, подразумевана подешавања платформе имају тенденцију да постану политика програма.

Замолите добављаче да демонстрирају како поступају са:

мобилним бројевима, укључујући извор, верификацију, исправку и брисање
евиденцијом о сагласности или учешћу где је то потребно
токовима рада за одјаву и алтернативну обуку
раздвајањем пословних и личних контакт података
локацијом података, спољним обрађивачима, роковима чувања и распоредом брисања
контроле приступа за операторе кампања, аналитичаре и особље службе за кориснике
извозе који би могли да открију бројеве телефона или појединачно понашање
извештавање засновано на улогама или агрегирано за менаџере и представнике запослених
запослене који напуштају компанију, мењају бројеве или враћају компанијски уређај

Минимизација података треба да буде видљива у производу. Платформа не би требало да захтева листе контаката, садржај порука из мејл-поште запосленог, личне податке апликације, идентификаторе уређаја или тајне податке да би испоручила безбедну симулацију. Такође би требало да буде могуће ограничити прикупљање догађаја на минимум потребан за договорени исход обуке.

NIST смернице за изградњу програма учења о сајбер безбедности и приватности су користан извор за третирање свести као управљаног програма осетљивог на улоге, а не као серије изолованих тестова. Она не замењује локалне савете о запошљавању, приватности или телекомуникацијама, али пружа чврсту оперативну основу.

Изградите мобилни пут за извештавање који функционише у пракси

Дугмад за пријављивање путем е-поште не решавају пријављивање путем СМС-а. На личном телефону, запослени можда нема инсталиран управљани безбедносни апликациони програм, можда не зна број службе за помоћ и можда ће бити невољан да проследи поруку која открива његов приватни број.

Дизајнирајте радни ток за пријављивање пре симулације:

Објавите једну препознатљиву дестинацију за пријављивање мобилних претњи.
Објасните да ли запослени треба да проследе поруку, пошаљу снимак екрана, користе сервисни портал или да позову службу за помоћ.
Наведите које личне податке могу да се појаве у извештају и како особље треба да их минимизује.
Обучите службу за помоћ или СОК да разликују извештаје о симулацији од стварних инцидената.
Дефинишите потврду пријема и пут ескалације за праве сумњиве поруке.
Тестирајте ток рада на iOS-у, Android-у, управљаним уређајима и на најмање једној уобичајеној конфигурацији личног уређаја.

Прослеђивање и снимци екрана могу да укључују неповезана обавештења, имена контаката, детаље о сигналу или други лични контекст. Омогућите запосленима једноставан начин да пријаве без прекомерног дељења информација. Ако аналитичарима треба идентификациони број кампање, платформа би требало да га обезбеди, а да при томе не учи запослене да у будућности игноришу сличне поруке.

Проведите тест на столу са службеницима за безбедност, ИТ подршком и заинтересованим странама за заштиту приватности пре прве кампање. Симулирани извештај треба да стигне у одговарајући ред чекања, да буде брзо препознат, да добије одговарајућу потврду и да се исправно појави у коначним доказима. Ако овај процес не успе, отклоните грешке пре него што укључите запослене.

Обезбедите техничку и психолошку безбедност симулације

Мобилне поруке делују тренутно и лично. То чини пропорционално управљање сценаријима посебно важним.

Користите измишљени пословни контекст ниске осетљивости. Не представљајте се као стварни руководиоци, чланови породице, здравствени радници, финансијске институције, хитне службе или активни случајеви у вези са односима са запосленима. Не тражите лозинке, MFA кодове, податке о плаћању, личне податке или инсталацију апликација. Страница за учење треба да објасни релевантне знаке упозорења и одобрен процес верификације без прикупљања тајне информације.

Избегавајте сценарије који искоришћавају невољу, здравствене проблеме, безбедност посла, дисциплинске мере, имиграциони статус или личне финансијске потешкоће. Реализам не захтева емоционалну штету. Корисна симулација ствара препознатљиву тачку доношења одлуке, а затим учи безбеднијем реаговању.

Прилагођавање и даље захтева ограде. Ако је флексибилност сценарија део одлуке о куповини, користите ову листу за проверу безбедног прилагођеног сценарија смшинг напада да бисте проценили контроле, одобрења, регионалну адаптацију и ограничења шаблона.

Потврдите доставу без тражења опасних изузетака

Достава СМС порука није под тако добром контролом као корпоративна е-пошта. Оператери, агрегатори, локални прописи, типови пошиљалаца и подешавања уређаја могу утицати на то да ли ће порука стићи или како ће бити приказана.

Током ограниченог пилот-пројекта, проверите:

које земље и оператере продавац подржава
како се идентитет пошиљаоца приказује примаоцима
да ли се примењују одредбе о одјављивању или правила оператера
како одложене или неуспеле поруке утичу на резултате кампање
да ли прегледи линкова или безбедносни скенери стварају лажне догађаје
како се поступа са поново коришћеним или недавно промењеним бројевима телефона
да ли продавац може одмах да заустави кампању
да ли је тест саобраћај одвојен од оперативних обавештења

Немојте тражити од провајдера да заобиђе контроле оператера или прикрије стварно порекло порука. Платформа за симулацију треба да ради у оквиру важећих правила за слање порука и да обезбеди транспарентне записе о испоруци. Ако корисна обука зависи од заобилажења заштитних мера, дизајн је погрешан.

Упоредите управљане и личне уређаје одвојено

Агрегирани контролни панели могу да сакрију важне разлике. Управљани телефони могу имати безбедносне контроле, одобрене апликације за извештавање и корпоративну подршку. Лични телефони могу имати различите оперативне системе, подешавања приступачности, језике, функције оператера и очекивања у погледу приватности.

Секционишите резултате по групама за управљање уређајима тамо где то законски и организациони модел дозвољава, али избегавајте да програм претворите у личну надзор. Циљ је да се пронађу празнине у токовима рада, а не да се рангирају појединци.

Практична ревизија могла би да упореди:

стопе успешне испоруке по групама одобрених уређаја
исправно коришћење путање за извештавање на управљаним у односу на личне телефоне
медијално време потребно за извештавање по каналу
извештаје који су садржали непотребне личне податке
време обраде на деск-помоћи и тачност ескалације
завршетак обуке након симулације
понављано побољшање на нивоу тима или кохорте

Техничку буку документовати одвојено. Ако мобилни безбедносни производ аутоматски отвори линк, не бележите тај догађај као неуспех запосленог. Произвођачи би требало да омогуће администраторима да исправљају или коментаришу ове случајеве без преправљања оригиналног трага ревизије.

Испланирајте праћење без кажњавања учешћа

Тренутна повратна информација треба да буде кратка, прилагођена мобилним уређајима и везана за понашање које се обучава. Објасните који сигнал је захтевао проверу, где запослени треба да пријаве сличне поруке и шта да раде ако добију стварни сумњиви СМС.

Не стидите запослене или откривајте појединачне резултате широким групама менаџера. Људи који одмах пријаве — чак и након интеракције — дају безбедносном тиму драгоцено време за откривање. Програм треба да охрабри пријављивање, а не да учи запослене да крију грешке.

Користите детаљније праћење само када служи документованом циљу у вези са ризиком. Кратак подсетник може бити довољан за прву интеракцију. Понављајући обрасци могу покренути обуку релевантну за улогу или разговор за подршку, али аутоматско ескалирање треба прегледати због лажних позитивних резултата, потреба за приступачношћу, заједничких уређаја и техничких артефаката.

Користите контролисану пилот-листу за проверу

Пре него што изаберете добављача или проширите програм изван мале групе, уверите се да организација може да одговори потврдно на сваку тачку:

Укључене групе уређаја и пословна сврха су документовани.
Лични бројеви се не пренамењују из неповезаних кадровских евиденција.
Захтеви у вези са приватношћу, запослењем, телекомуникацијама и представљањем запослених су прегледани.
Учесници имају јасно обавештење, могућност повлачења сагласности или управљану алтернативу где је то прикладно.
Платформа минимизује похрањене мобилне и понашајне податке.
Оператери не могу да виде или извезу више личних података него што то захтева њихова улога.
Рад са извештајима функционише и на управљаним и на личним телефонима.
Служба за корисничку подршку или СОЦ (Centar за оперативне безбедносне центре) могу да идентификују извештаје о симулацијама без игнорисања стварних инцидената.
Ограничења сценарија забрањују тајне, осетљиве личне податке и штетне тактике притиска.
Неуспеле доставе, прегледе и догађаје са скенера могуће је одвојити од понашања корисника.
Повратне информације су прилагођене мобилним уређајима и уче специфичну акцију верификације или извештавања.
Процедуре за обуставу кампање, брисање и инциденте су тестиране.
Резултате је могуће прегледати на корисном нивоу кохорте без креирања контролне табле за тражење криваца.
Пилот-пројекат има власника, критеријуме за успех, датум прегледа и документовану одлуку након завршетка.

Ако је одговор на неколико питања "не", одложите BYOD кампању. Садржај за обуку и даље може да обухвати смшинг док организација уређује управљање и извештавање. Слање симулације пре свега само претвара познате пропусте у процесу у конфузију запослених.

ЧПП

Може ли компанија да спроводи симулације смшинг напада на личним телефонима?

Понекад, али поседовање броја запосленог само по себи не овлашћује тестирање. Организација треба да утврди важећи пословни циљ, правила учешћа, контроле приватности, одговарајуће обавештење или сагласност где је то потребно, ограничења задржавања података и практичну алтернативу. Преглед локалних правних прописа и односа са запосленима је битан.

Да ли симулација смшинг напада треба да прикупља лозинке или MFA кодове?

Не. Безбедна симулација подизања свести може да мери испоруку, интеракцију, извештавање и завршетак обуке без прикупљања поверљивих података. Почетно искуство треба да научи кориснике понашању приликом верификације и извештавања.

Који је најбољи показатељ за BYOD смшинг тест?

Исправно понашање при извештавању обично је корисније од саме стопе додира. Пратите да ли извештаји стижу на одобрен канал, колико брзо пристижу, да ли аналитичари могу да их сортирају и да ли се понашање у наставку побољшава. Забележите техничке прегледе и активност скенера одвојено.

Шта ако запослени не желе обучне поруке на личним телефонима?

Обезбедите јасну могућност одјаве или алтернативни метод у складу са политиком организације и законским обавезама. Свест о мобилном фишингу може се развијати кроз контролисану обуку без слања симулације на приватни уређај.

Да ли нам је потребан посебан тренинг за мобилни фишинг ако већ тестирамо е-пошту?

Обично да. Мобилни екрани крију контекст, путеви извештавања се разликују, а СМС може да дође до запослених ван управљаних поштанских система. Циљ учења може да остане доследан, али контроле и ток одговора захтевају тестирање специфично за мобилне уређаје.

Нека BYOD буде одлука о управљању, а не функција за слање

Платформа за смшинг је спремна за BYOD само када може да подржи јасан обим, минималне податке, избор запослених, безбедне сценарије, поуздано извештавање и оправдано праћење. Најјачи програм не шаље највише порука. Он помаже запосленима да провере неочекиване мобилне захтеве и даје тиму за безбедност пут за извештавање који функционише када стигне права порука.

Ако процењујете безбеднију, аутоматизовану платформу за подизање свести, Пријавите се и тестирајте оперативни модел контролисаним пилотом пре него што проширите публику.

Смишинг симулације за BYOD: безбедност програма – контролна листа