عملنا اختبار تصيد لموظفينا، والنتيجة كانت أسوأ من المتوقع

فكرة نسبة الإبلاغ نفعتنا جداً، شكراً. عندنا بس 3 أشخاص بلغوا، واتنين منهم من نفس الفريق.

سؤال آخر: ماذا تقترحون لتسهيل الإبلاغ؟ حالياً، يجب على الناس إرسال بريد إلكتروني إلى فريق الأمن على عنوان منفصل، وأظن أن أحداً لا يتكبد عناء ذلك.

هنا تكمن المشكلة بالضبط. كلما طالت طريقة الإبلاغ، قلّت عدد البلاغات الواردة.

الحل التقني بسيط: أضفوا زر "الإبلاغ عن مشبوه" بنقرة واحدة إلى عميل البريد الإلكتروني. هذه الإضافة متوفرة في معظم أنظمة البريد المؤسسي. يضغط المستخدم على الزر، فتصل الرسالة إلى فريق الأمن وتختفي من صندوق الوارد الخاص به.

الجانب الإجرائي مهم أيضاً: يجب دائماً الرد على الشخص الذي قام بالإبلاغ. جملة "تمت المراجعة، وهي غير ضارة، شكراً لإبلاغك رغم ذلك" هي ما يدفع للإبلاغ التالي. البلاغ الذي لا يرد عليه هو آخر بلاغ.

ولا توبخوا أبداً على الإنذار الكاذب. مئة إنذار كاذب أرخص من حادثة حقيقية واحدة فائتة.

أود إضافة نقطة من منظور الاتصال المؤسسي، لأنه إذا تم صياغة التواصل حول هذه التدريبات بشكل خاطئ، فقد يتضرر الثقة بالمؤسسة.

عند إعلان نتائج التطبيق، أنصح بالالتزام بثلاثة مبادئ. يجب مشاركة النتائج على مستوى المؤسسة ككل، وليس على مستوى الأقسام أو الأفراد. يجب أن يكون الأسلوب توضيحياً وليس اتهامياً؛ فبدلاً من قول "عدد كذا شخص نقر على الرابط"، يجب شرح "أي ميزات في هذه الرسالة جعلتها مقنعة". وأخيراً، يجب توضيح الخطوات العملية الواجب اتخاذها في حال إرسال نفس الرسالة من قبل مهاجم حقيقي.

خلال الفترة التي طبقنا فيها هذه المبادئ الثلاثة، زادت المشاركة وقلّت ردود الفعل الدفاعية.

يا جماعة أنا سباك، هالمواضيع بعيدة عني بس خليني أحكي شي يمكن يفيدكم، الشهر اللي فات جاني نفس الرسالة بالضبط وأنا كنت مستني شحنة، كدت أضغط على الرابط.

اللي خلصني كان إن اسم شركة الشحن كان صح، بس العنوان اللي بالرسالة كان مختلف تماماً، لفت انتباهي، فاتصلت بالشركة وطلع ما عندها علاقة بشحنتي أصلاً.

يعني اللي أبغى أقوله إني ما أخذت أي تدريب بس لأني كنت مستني شي كدت أنطلي، وأظن موظفيكم صار معهم نفس الشي، الذنب مو عليهم.

الحالة اللي شرحها السيد رجب تلخص الموضوع بشكل ممتاز: التصيد الاحتيالي يستغل التوقع أكثر من الإهمال.

دعونا نضع ترتيباً عملياً لمن يخططون لبرامج التوعية:

أولاً، أسسوا قناة الإبلاغ. قبل التدريب، يجب أن يكون هناك مسار واحد واضح يمكنكم للناس قول "إذا اشتبهت، اضغط هنا".

ثانياً، اجعلوا التدريب قصيراً ومتكرراً. خمس عشرة دقيقة كل ثلاثة أشهر تعطي نتائج أفضل بكثير من ساعتين مرة واحدة في السنة.

ثالثاً، كرروا التدريب وراقبوا معدل الإبلاغ وزمن أول إبلاغ بدلاً من معدل النقر.

أخيراً، لا تنسوا التدابير التقنية: التوعية وحدها لا تكفي. عندما يكون التحقق المزدوج مفعلاً، لا تنفع كلمة المرور المسروقة وحدها. لا يمكنكم إلغاء الخطأ البشري تماماً، لكن يمكنكم جعل عواقبه غير ضارة.

إذا أردتم مناقشة التفاصيل، يمكنكم فتح موضوع للمساعدة، وسنكون سعداء بمساعدتكم.

أنت محق.

يجب أن نسير بالترتيب. عندما نتخذ قرارات دون قياس، نعود لنفس النقطة دائماً.

سأجمع الموضوع، لأن هناك عدة إجابات مختلفة. أكثر ما أهدر وقتنا كان عدم وضوح من يتخذ القرار.

بيئات الاختبار المنسية تصبح ثغرات أمنية أكثر تكرارًا من الأنظمة الحية. لو كنت مكانك، لسلك هذا المسار.

عندنا نفس المشكلة.

سأكون ممتنًا لو شاركت النتيجة.

موضوع في الوقت المناسب تمامًا.

أوافق.

كنت أفكر في نفس الشيء. لا تترددوا في السؤال، فالسائل يدفع ثمناً أقل دائماً.

عندما تحاول تغيير كل شيء دفعة واحدة، لا يستقر أي شيء. اكتبوا إذا كانت لديكم أسئلة، سأجيب قدر استطاعتي.

سأكون ممتنًا لو شاركت النتيجة. لا يتم التحقق من تغييرات معلومات الدفع أبداً عبر القناة الواردة منها.

إذا لم تقم بصياغة هذا كتابيًا من البداية، فستنشأ خلافات لاحقًا.

لدي سؤال، ولا أريد الخروج عن صلب الموضوع. إذا لم تقم بصياغة هذا كتابيًا من البداية، فستنشأ خلافات لاحقًا.

مثبت بالتجربة.

بالضبط هكذا. محاولة فعل هذا بمفردك هي أغلى الطرق.

نعم، الوضع في موضوع تصيد احتيالي هو بالضبط هكذا. ابدأ بتجربة صغيرة، لا تربط كل شيء دفعة واحدة.

سؤالي قد يبدو مبتدئاً بعض الشيء، آسف على ذلك. نسخة احتياطية غير مختبرة ليست نسخة احتياطية.

إذا كتبت النتيجة هنا، فستفيد الآخرين أيضاً.