Провели фишинг-тест для сотрудников, результат хуже, чем ожидал

Идея с процентом сообщений очень пригодилась, спасибо. У нас сообщили всего три человека, и двое из них из одной команды.

Ещё вопрос: что посоветуете, чтобы упростить отправку уведомлений? Сейчас людям нужно писать на отдельный адрес в службу безопасности, и, похоже, никому неохота заморачиваться.

Вы теряете именно на этом. Чем длиннее путь уведомления, тем меньше их приходит.

Техническое решение простое: добавьте в почтовый клиент кнопку «сообщить о подозрительном» в один клик. В большинстве корпоративных почтовых систем это доступно как плагин. Пользователь нажимает кнопку, сообщение уходит в службу безопасности и исчезает из его входящих.

Процессная часть тоже важна: обязательно давайте обратную связь тому, кто сообщил. Фраза «проверили, безопасно, но спасибо, что сообщили» — это то, что мотивирует прислать следующее уведомление. Оставленное без ответа уведомление — последнее уведомление.

И никогда не ругайте за ложную тревогу. Сто ложных тревог дешевле одной пропущенной реальной атаки.

Хочу добавить замечание от лица корпоративных коммуникаций, потому что если неправильно выстроить коммуникацию вокруг таких учений, это может подорвать доверие к компании.

При объявлении результатов учений рекомендую придерживаться трех принципов. Результаты должны публиковаться для всей компании, а не по отделам или конкретным людям. Тон должен быть объяснительным, а не обвинительным: вместо «столько-то человек кликнули» нужно рассказывать «какие особенности этого письма сделали его убедительным». И наконец, нужно четко показать, что делать, если такое письмо пришлет реальный злоумышленник.

В период, когда мы применяли эти три подхода, вовлеченность выросла, а защитная реакция снизилась.

Ребят, я сантехник, эти темы мне чужды, но расскажу кое-что, вдруг пригодится. В прошлом месяце мне тоже пришло такое сообщение, я как раз ждал посылку, чуть по ссылке не перешел.

Меня спасло то, что название курьерской службы было верным, а адрес в сообщении совсем другой. Бросилось в глаза, я потом позвонил в компанию, оказалось, к моей отправке это вообще не относится.

Короче, я никакого обучения не проходил, но так как я ждал именно это, чуть не попался. Думаю, с вашими сотрудниками так же было, это не их вина.

Ситуация, которую описал Recep Bey, очень хорошо резюмирует суть: фишинг эксплуатирует не невнимательность, а ожидание.

Оставим практическую последовательность для тех, кто планирует работу по повышению осведомленности:

Сначала настройте канал уведомлений. До обучения у людей должен быть единственный простой путь: «если что-то подозрительное, жми сюда».

Затем проводите короткие и частые обучения. Вместо двух часов раз в год, пятнадцать минут раз в три месяца дают гораздо лучший результат.

После этого повторяйте учения и отслеживайте не процент кликов, а процент уведомлений и время до первого уведомления.

И наконец, не забывайте про технические меры: одной осведомленности недостаточно. Когда включена двухфакторная аутентификация, украденный пароль сам по себе бесполезен. Вы не можете свести человеческие ошибки к нулю, но можете нейтрализовать их последствия.

Если хотите обсудить детали, создайте тему в разделе поддержки, поможем.

вы правы.

Нужно идти по порядку. Без измерений мы всегда приходим к одному и тому же.

Сведу тему в кучу, так как ответов было несколько разных. Больше всего времени у нас уходило на то, что было непонятно, кто принимает решения.

Забытые тестовые среды становятся входом в систему чаще, чем продакшн. Я бы пошел этим путем.

У нас так же.

Буду рад, если напишете о результате.

Очень актуальная тема.

Согласен.

Я тоже об этом думал. Не стесняйтесь спрашивать, молчание всегда обходится дороже.

Когда пытаешься изменить всё сразу ничего не приживается. Пишите, если есть вопросы, отвечу по мере возможности.

Буду рад, если напишете о результате. Изменение платежных данных никогда не подтверждается через тот же канал.

Если не зафиксировать это письменно с самого начала, потом возникнут споры.

У меня будет вопрос, не хочу уходить от темы, но... Если не зафиксировать это письменно с самого начала, потом возникнут споры.

Проверено опытом.

Именно так. Пытаться сделать это в одиночку — самый дорогой путь.

Да, по теме фишинг ситуация именно такая. Начните с небольшого эксперимента, не привязывайте всё сразу.

Вопрос будет немного наивным, извините заранее. Непроверенная резервная копия — не резервная копия.

Если напишете результат здесь это поможет и другим.