Abbiamo fatto un test di phishing ai dipendenti, il risultato è stato peggiore del previsto

L'idea del tasso di segnalazione ci è stata molto utile, grazie. Da noi hanno segnalato solo tre persone, due delle quali dello stesso team.

Un'altra domanda: cosa consigliate per facilitare le segnalazioni? Al momento le persone devono mandare una mail a un indirizzo separato al team di sicurezza e credo che nessuno si dia la briga.

È proprio lì che perdete. Più lungo è il percorso di segnalazione, meno segnalazioni arrivano.

La soluzione tecnica è semplice: aggiungete un pulsante "segnala sospetto" con un clic nel client di posta. Nella maggior parte dei sistemi di posta aziendali esiste come plugin. L'utente preme il pulsante, il messaggio va al team di sicurezza e sparisce dalla sua inbox.

Anche il lato processo è importante: rispondete sempre a chi segnala. La frase "Analizzato, era innocuo, grazie comunque per la segnalazione" è ciò che porta alla prossima segnalazione. Una segnalazione senza risposta è l'ultima segnalazione.

E non rimproverate mai per un falso allarme. Cento falsi allarmi costano meno di un vero incidente mancato.

Vorrei aggiungere un punto da parte della comunicazione aziendale, perché se la comunicazione di questi esercizi è impostata male, la fiducia nell'azienda può risentirne.

Suggerisco di seguire tre principi quando si comunica l'esito dell'esercizio. Il risultato va condiviso a livello aziendale, non per reparto o persona. Il linguaggio non deve essere accusatorio ma esplicativo; invece di dire "tot persone hanno cliccato", si deve spiegare "quali caratteristiche di questa mail l'hanno resa credibile". Infine, va mostrato concretamente cosa fare se la stessa mail fosse inviata da un vero attaccante.

Nel periodo in cui abbiamo applicato questi tre punti, la partecipazione è aumentata e la difensività è diminuita.

Ragazzi io sono un idraulico, questi argomenti mi sono lontani ma vi racconto una cosa che magari vi serve, il mese scorso è arrivato anche a me un messaggio così, aspettavo un pacco proprio quel giorno, ho quasi cliccato sul link.

Mi ha salvato il fatto che il nome del corriere era giusto ma l'indirizzo nel messaggio era completamente diverso, mi ha colpito, poi ho chiamato la ditta e non c'entrava nulla con la mia spedizione.

Insomma, non ho fatto corsi di formazione ma visto che aspettavo qualcosa per poco non ci cascavo, credo che anche i vostri dipendenti siano così, la colpa non è loro.

La situazione raccontata da Recep riassume bene il concetto: il phishing sfrutta più l'aspettativa che la distrazione.

Lasciamo una sequenza pratica per chi pianifica attività di sensibilizzazione:

Prima create il canale di segnalazione. Prima della formazione, deve esserci un unico modo per dire alle persone "se sospetti, premi qui".

Poi fate formazioni brevi e frequenti. Quindici minuti ogni tre mesi funzionano molto meglio di due ore una volta l'anno.

Quindi ripetete l'esercizio e monitorate il tasso di segnalazione e il tempo della prima segnalazione, invece del tasso di click.

Infine non dimenticate le misure tecniche: la sensibilizzazione da sola non basta. Con la verifica in due passaggi attiva, la password rubata da sola non serve. Non potete azzerare l'errore umano ma potete renderne innocue le conseguenze.

Se volete parlarne nel dettaglio, aprite un thread di supporto, vi aiutiamo.

ha ragione.

Bisogna procedere con ordine. Quando decidiamo senza misurare, finiamo sempre nello stesso punto.

Riassumo l'argomento, perché sono state date diverse risposte. Da noi la cosa che faceva perdere più tempo era non sapere chi decidesse.

Gli ambienti di test dimenticati diventano spesso un punto d'accesso più frequente del sistema live. Io seguirei questa strada.

Anche da noi è così.

Mi farebbe piacere se scrivesse il risultato.

Argomento molto attuale.

Sono d'accordo.

Stavo pensando la stessa cosa. Non abbiate paura di chiedere chi non chiede paga sempre di più.

Se cerchi di cambiare tutto insieme, niente si stabilizza. Se avete domande scrivete, rispondo per quanto possibile.

Mi farebbe piacere se scrivesse il risultato. Le modifiche ai dati di pagamento non vanno mai verificate tramite il canale di provenienza.

Se non lo rendete scritto fin dall'inizio, poi nascono discussioni.

Avrei una domanda, non vorrei deviare dall'argomento, ma... Se non lo rendete scritto fin dall'inizio, poi nascono discussioni.

Confermato dall'esperienza.

Esattamente così. Cercare di farlo da soli è la strada più costosa.

Sì, per quanto riguarda phishing la situazione è esattamente così. Inizia con un piccolo test, non impegnarti subito su tutto.

La mia domanda sarà un po' da principiante scusate... Un backup non testato non è un backup.

Se scrivete qui il risultato sarà utile anche ad altri.