Εκπαίδευση phishing: το ποσοστό κλικ είναι άχρηστο χωρίς βαθμό δυσκολίας

Μια επιχείρηση μπορεί να οργανώσει την εκπαίδευση για phishing σε επαναλαμβανόμενους κύκλους: αρχική ενημέρωση, σαφές κανάλι αναφοράς, ασφαλής προσομοίωση και ανατροφοδότηση. Πριν συγκρίνει ποσοστά κλικ, χρειάζεται να καταγράψει πόσο δύσκολο ήταν κάθε μήνυμα για τους ανθρώπους που το έλαβαν.

Ένα χαμηλότερο ποσοστό κλικ στην επόμενη άσκηση μπορεί να οφείλεται σε ευκολότερο μήνυμα ή σε διαφορετικό κοινό. Η βαθμολόγηση της δυσκολίας δίνει πλαίσιο στο αποτέλεσμα· μαζί με το ποσοστό αναφοράς δείχνει ποια συμπεριφορά χρειάζεται περισσότερη εξάσκηση, χωρίς να μετατρέπει ένα κλικ σε ετυμηγορία για έναν εργαζόμενο.

Πρώτα ο τρόπος αναφοράς

Η αρχική ενημέρωση πρέπει να εξηγεί τι κάνει κάποιος όταν ένα μήνυμα ζητά σύνδεση, λήψη αρχείου, πληρωμή ή ευαίσθητες πληροφορίες. Ο εργαζόμενος μπορεί να ελέγξει το αίτημα μέσω γνωστού αριθμού ή άλλου ανεξάρτητου καναλιού, αντί να χρησιμοποιήσει τα στοιχεία επικοινωνίας του ίδιου του μηνύματος. Οι οδηγίες του NIST για το phishing συνιστούν τακτική εκπαίδευση στην αναγνώριση και αναφορά, καθώς και έλεγχο ταυτότητας ανθεκτικό στο phishing όπου είναι διαθέσιμος.

Ορίστε ένα κανάλι αναφοράς που χρησιμοποιείται ήδη ή είναι εύκολο να βρεθεί: τη λειτουργία αναφοράς του εταιρικού ταχυδρομείου ή μια διεύθυνση που παρακολουθεί η ομάδα ασφάλειας. Εξηγήστε ποιος λαμβάνει την ειδοποίηση και τι πρέπει να αναφέρει κάποιος αν έχει ήδη πατήσει σύνδεσμο ή έχει δώσει στοιχεία. Η γρήγορη αναφορά τότε επιτρέπει στην ομάδα να ελέγξει την κατάσταση· ο φόβος επίπληξης μπορεί να την καθυστερήσει.

Πριν σταλεί η πρώτη προσομοίωση, γνωστοποιήστε τον εκπαιδευτικό σκοπό της, ποια δεδομένα θα καταγραφούν και ποιοι θα έχουν πρόσβαση στα αποτελέσματα. Ο σύνδεσμος της άσκησης πρέπει να οδηγεί σε ελεγχόμενο εκπαιδευτικό προορισμό, χωρίς να ζητά πραγματικούς κωδικούς ή στοιχεία πληρωμής. Έτσι η δοκιμή αφορά την απόφαση του παραλήπτη και δεν δημιουργεί περιττό κίνδυνο.

Κρατήστε συγκρίσιμες τις δοκιμές

Για κάθε αποστολή ορίστε την ομάδα παραληπτών, το σενάριο και τον στόχο μάθησης. Ένα αίτημα για τιμολόγιο μπορεί να ταιριάζει στην καθημερινή εργασία του λογιστηρίου, αλλά να φαίνεται άσχετο σε άλλη ομάδα. Αν τα αποτελέσματα ενωθούν χωρίς αυτή τη διάκριση, η διαφορά στον εργασιακό ρόλο μπορεί να παρουσιαστεί λανθασμένα ως διαφορά ικανότητας.

Καταγράψτε το ακριβές μήνυμα, το χρονικό πλαίσιο, την ομάδα και τον τρόπο παράδοσης. Χρησιμοποιήστε σταθερό χρονικό παράθυρο μέτρησης και τον ίδιο ορισμό για το κλικ και την αναφορά σε κάθε κύκλο. Μια περίοδος κατά την οποία οι παραλήπτες περιμένουν πράγματι σχετικά αιτήματα αλλάζει το πόσο πειστικό φαίνεται το σενάριο· αυτή η συνθήκη πρέπει να συνοδεύει το αποτέλεσμα.

Ο οδηγός του NIST ορίζει το ποσοστό κλικ με παρονομαστή όσους περιλήφθηκαν στην αποστολή του προσομοιωμένου μηνύματος. Στην εσωτερική ανάλυση μπορείτε επιπλέον να σημειώνετε αποτυχίες παράδοσης ή γνωστές απουσίες, ώστε να εξηγείτε πόσοι είχαν πρακτική ευκαιρία να δουν την άσκηση. Μην αλλάζετε σιωπηρά τον παρονομαστή από κύκλο σε κύκλο.

Βαθμολογήστε το μήνυμα πριν φτάσουν τα αποτελέσματα

Ο οδηγός NIST Phish Scale συνδυάζει τα αναγνωρίσιμα σημάδια του μηνύματος με τη συνάφεια του σεναρίου για το συγκεκριμένο κοινό, ώστε να εκτιμηθεί η ανθρώπινη δυσκολία εντοπισμού του. Χρησιμοποιήστε το φύλλο εργασίας του οδηγού πριν δείτε τα κλικ: διαφορετικά, το γνωστό αποτέλεσμα μπορεί να επηρεάσει την κρίση εκείνου που βαθμολογεί.

1. Μετρήστε τις ενδείξεις στο ίδιο το μήνυμα σύμφωνα με τα κριτήρια του φύλλου εργασίας. Περιλαμβάνουν, μεταξύ άλλων, ασυνέπειες, στοιχεία αποστολέα, συνδέσμους, συνημμένα, μορφοποίηση και γλώσσα πίεσης. Περισσότερες ορατές ενδείξεις προσφέρουν περισσότερες ευκαιρίες να αναγνωριστεί η απόπειρα.
2. Εκτιμήστε τη συνάφεια του σεναρίου για τους παραλήπτες. Εξετάστε αν μιμείται πραγματική διαδικασία, αν αφορά τις αρμοδιότητές τους, αν ταιριάζει με την περίοδο αποστολής και αν η μη ανταπόκριση φαίνεται να έχει συνέπειες. Συνυπολογίστε ειδική προηγούμενη εκπαίδευση ή προειδοποίηση για παρόμοιο αίτημα.
3. Συνδυάστε τις δύο κατηγορίες στον πίνακα του φύλλου εργασίας για την τελική δυσκολία. Φυλάξτε μαζί με τη βαθμολογία μια σύντομη αιτιολόγηση: ποιες ενδείξεις μετρήθηκαν και γιατί το σενάριο κρίθηκε σχετικό με τη συγκεκριμένη ομάδα.

Την εκτίμηση της συνάφειας πρέπει να ελέγχει κάποιος που γνωρίζει τις πραγματικές εργασίες των παραληπτών. Το ίδιο μήνυμα μπορεί να έχει διαφορετική δυσκολία για δύο τμήματα, ακόμη κι αν οι ορατές ενδείξεις του μένουν ίδιες. Η σελίδα έρευνας phishing του NIST διευκρινίζει ότι για εμπορικές εφαρμογές της κλίμακας απαιτείται άδεια· μια επιχείρηση οφείλει να ελέγξει τους όρους πριν την υιοθετήσει.

Διαβάστε χωριστά κλικ, αναφορές και δυσκολία

Παρουσιάστε για κάθε μήνυμα και ομάδα το ποσοστό κλικ, το ποσοστό αναφοράς και τη βαθμολογία δυσκολίας. Δίπλα τους βάλτε το μέγεθος της αποστολής και κάθε ουσιαστική αλλαγή στο πλαίσιο. Ένας ενιαίος μέσος όρος κρύβει την περίπτωση όπου ένα τμήμα έλαβε ιδιαίτερα σχετικό μήνυμα και άλλο ένα προφανώς άσχετο.

Σε ένα υποθετικό παράδειγμα, περισσότερα κλικ σε μια επόμενη, δυσκολότερη άσκηση δεν αρκούν για να συναχθεί ότι η εκπαίδευση χειροτέρεψε. Ομοίως, λίγα κλικ σε εύκολο μήνυμα δεν δείχνουν πώς θα ανταποκριθεί η ομάδα σε πιο πειστικό αίτημα. Οι αναφορές προσθέτουν μια διαφορετική πληροφορία: αν οι παραλήπτες χρησιμοποίησαν το κανάλι που τους δόθηκε όταν υποψιάστηκαν το μήνυμα.

Για την ενημέρωση της διοίκησης προτιμήστε συγκεντρωτικά στοιχεία ανά ομάδα και δυσκολία. Περιορίστε την πρόσβαση σε ατομικά αποτελέσματα σε όσους χρειάζονται να προσφέρουν υποστήριξη ή να χειριστούν περιστατικό. Σε πολύ μικρές ομάδες ακόμη και ένας πίνακας χωρίς ονόματα μπορεί να αποκαλύπτει ποιος έκανε τι, οπότε χρειάζεται προσεκτικότερη ομαδοποίηση.

Συνδέστε την ανατροφοδότηση με το συγκεκριμένο εύρημα

Μετά την άσκηση, δείξτε ποιες ενδείξεις του συγκεκριμένου μηνύματος άξιζαν έλεγχο και ποια ασφαλής ενέργεια ήταν διαθέσιμη. Αν μια ομάδα δυσκολεύτηκε με αίτημα που μιμούνταν πληρωμή, η επόμενη σύντομη εκπαίδευση μπορεί να εξασκήσει την επιβεβαίωση τέτοιων αιτημάτων από ανεξάρτητο κανάλι. Αν οι αναφορές ήταν λίγες, εξετάστε και πόσο εύχρηστο ήταν το κανάλι αναφοράς.

Η ατομική ανατροφοδότηση μπορεί να είναι ιδιωτική και συγκεκριμένη, χωρίς κατάταξη προσώπων ή δημόσια ανακοίνωση όσων έκαναν κλικ. Για τον επόμενο κύκλο επιλέξτε σενάριο που αντιστοιχεί στο κενό που φάνηκε και βαθμολογήστε ξανά τη δυσκολία πριν από την αποστολή. Έτσι η ομάδα μπορεί να συγκρίνει ουσιαστικά τις ασκήσεις και οι εργαζόμενοι ξέρουν πώς να αντιδράσουν σε ένα πραγματικά ύποπτο μήνυμα.

Διαβάστε επίσης:

• Το νέο NIST για βιομηχανικά δίκτυα βάζει Zero Trust χωρίς να αγνοεί τα παλιά PLC
• Upwork ή Fiverr: η προμήθεια δεν είναι πια σταθερή και για τους δύο
• Σταμάτησε την εκπαίδευση με τις συνομιλίες σου — χωρίς να χάσεις το ιστορικό