קמפיין בודד נותן תמונת מצב רגעית. תוכנית שנתית בונה הרגלים. כך מריצים סדרת סימולציות מדורגת שמשפרת את מודעות העובדים לאורך זמן — ומודדת את השיפור.
כך נראות הודעות הפישינג שאנחנו שולחים בסימולציה — מבוססות על מתקפות אמיתיות, בעברית ומותאמות לעבודה בארגון. לחצו על תמונה כדי להגדיל.
עמוד שנראה כמו מסך הכניסה הארגוני (שימו לב לשם המשובש) ונועד לגנוב שם משתמש וסיסמה.
מייל שמתחזה לשיתוף מסמך פנימי — הקישור מוביל לעמוד התחברות מזויף.
הודעה שמבטיחה הטבה ומבקשת להזין פרטים אישיים כדי "לממש" אותה.
הרבה ארגונים מריצים סימולציית פישינג אחת, מקבלים אחוז כישלון, מציגים אותו בישיבת הנהלה — ועוצרים שם. הבעיה היא שמודעות נשחקת. עובד שזיהה הודעה מזויפת בינואר עלול ליפול בדיוק באותו פיתיון ביוני, פשוט כי הוא היה עסוק יותר באותו יום.
קמפיין בודד גם לא נותן את המספר החשוב באמת. הוא נותן צילום מצב, אבל לא מגמה. ומה שמעניין מנהל אבטחת מידע זה לא כמה עובדים לחצו בפעם הראשונה, אלא האם המספר הזה יורד לאורך זמן ואם אחוז הדיווח עולה.
העמוד הזה עוסק בדיוק בזה: איך בונים תוכנית שנתית מדורגת במקום אירוע חד-פעמי, מה מודדים, איך מציגים את זה להנהלה, ואיך לא לשרוף את סבלנות העובדים בדרך. אם אתם מחפשים את התמונה הכללית של השירות, היא נמצאת בעמוד קמפיין פישינג.
זה הדפוס שאנחנו רואים חוזר על עצמו בארגונים שמסתפקים בבדיקה בודדת:
ההבדל הוא לא בכמות הקמפיינים אלא במה שאפשר לעשות עם התוצאות:
זה המבנה שאנחנו ממליצים עליו. כל רמה בודקת יכולת אחרת, ולכן גם התוצאה מלמדת משהו אחר:
| רמה | סוג התרחיש | מה היא בודקת |
|---|---|---|
| רמה 1 — בסיסית | הודעה כללית עם שגיאות קלות וכתובת שולח חשודה | האם קיים ידע בסיסי בזיהוי סימנים ברורים |
| רמה 2 — ארגונית | הודעה שמתחזה למערכת פנימית או לשירות בשימוש הארגון | האם עובדים בודקים כתובות גם כשההקשר מוכר |
| רמה 3 — לפי תפקיד | חשבונית לכספים, קורות חיים למשאבי אנוש, מסמך לצוות המשפטי | האם הזיהוי מחזיק כשההודעה תואמת בדיוק לתפקיד |
| רמה 4 — התחזות לבכיר | פנייה שנראית כאילו הגיעה ממנהל בארגון ודורשת פעולה מיידית | האם לחץ היררכי גובר על נוהל האימות |
| רמה 5 — רב-שלבית | הודעה שמובילה לשיחה או להודעה נוספת לפני הבקשה האמיתית | האם קיימת ערנות גם כשההתקפה מתפרסת על כמה מגעים |
החלק שהכי הרבה מנהלי אבטחת מידע מתקשים בו הוא לא ההרצה אלא ההצגה. אלה העקרונות שעובדים:
אנחנו לא נותנים ייעוץ משפטי. מה שכן — הדוח בנוי כך שאפשר להעתיק ממנו ישירות לשקף הנהלה, בלי לתרגם מספרים טכניים.
נבנה יחד מדרג קושי, נקבע יעדים מדידים ונתאים תרחישים לכל מחלקה — כולל דוחות שאפשר להציג להנהלה. השאירו פרטים ונחזור אליכם.
תוכנית שנתית היא לא ארבעה קמפיינים שרצים במקרה באותה שנה. זו סדרה מתוכננת שבה כל קמפיין בונה על הקודם: רמת הקושי עולה, המיקוד משתנה, והמדידה נשארת עקבית כדי שאפשר יהיה להשוות.
בקמפיין הפישינג של סייבריקס התוכנית נבנית סביב המחלקות בארגון ולפי הסיכונים הרלוונטיים לכל אחת. כל התרחישים נכתבים בעברית מלכתחילה — הודעה שנראית מתורגמת מזוהה מיד ומעוותת את התוצאה כלפי מטה.
זה התהליך שאנחנו עוברים עם מנהל אבטחת המידע בתחילת השנה:
מריצים קמפיין ראשון פשוט יחסית לכלל הארגון. המטרה כאן היא לא לתפוס אף אחד, אלא לקבל מספר בסיס אמין למדידה.
במקום מטרה כללית, קובעים יעד: לרדת באחוז הלחיצה ולעלות באחוז הדיווח עד סוף השנה. יעד מספרי הוא מה שהופך את זה לניתן לניהול.
כספים, משאבי אנוש, מכירות והנהלה מקבלים תרחישים שונים. הפילוח הזה הוא מה שהופך את הדוח לכלי החלטה ולא לנתון סטטיסטי.
כל קמפיין נוסף מציג תרחיש משכנע יותר. עלייה מהירה מדי מייצרת תסכול, ועלייה איטית מדי לא בודקת כלום.
אחרי כל קמפיין מגיעה למידה ממוקדת לפערים שהתגלו — לא לומדה גנרית, אלא בדיוק מה שהתברר כחסר.
אפשר למדוד הרבה, אבל בפועל אלה המדדים שמניעים החלטות:
זו מסגרת שאפשר להתאים לכל ארגון. העיקרון הוא עלייה הדרגתית בקושי לצד מיקוד משתנה:
ארגון שמתחיל עכשיו לא חייב ארבעה קמפיינים. שניים מתוכננים היטב עדיפים על ארבעה שנעשים בחיפזון.
אלה הדברים שראינו הורסים תוכניות שנתיות שהתחילו נכון:
תוכנית סימולציה עומדת על שתי רגליים. לומדת אבטחת מידע נותנת את הידע והכללים, והקמפיינים בודקים אם הם מיושמים כשיש עומס. אחד בלי השני עובד הרבה פחות טוב.
ארגון שרוצה אימון רציף בין הקמפיינים יכול להוסיף את סימולטור הפישינג הארגוני. ארגונים שמנהלים מאגרי מידע גדולים ירצו גם לומדה להגנת הפרטיות. ואם אתם רוצים לראות איך זה נראה בפועל, יש לנו קייס סטאדי של קמפייני פישינג עם נתונים אמיתיים מארגונים שונים.
שניים עד ארבעה. ארגון שמתחיל יכול לפתוח בשניים ולהרחיב. מעבר לארבעה בשנה, בארגון רגיל, מתחיל להיווצר עייפות אצל העובדים.
פורסים את השליחה על פני שעות או ימים, ומשתמשים בכמה גרסאות של אותו תרחיש. זה גם משקף טוב יותר מתקפה אמיתית.
כן. מנהלים בכירים הם יעד מועדף בדיוק בגלל ההרשאות שלהם, והחרגה שלהם מייצרת פער אמיתי ומסר בעייתי לשאר הארגון.
אין מספר קסם, וכל השוואה לארגונים אחרים מטעה. מה שחשוב הוא הכיוון — האם המספר שלכם יורד לאורך השנה.
ממליצים לשלב לומדה קצרה כבר בקליטה, ולסמן אותם בנפרד בדוח כדי לראות אם הם חשופים יותר.
כן, וזה אפילו רצוי אם התוצאות מצביעות על פער לא צפוי. מה שחשוב לא לשנות זה את שיטת המדידה.
למידה ממוקדת לפערים שהתגלו, ולא לומדה גנרית. זה מה שהופך את התוצאה לשיפור אמיתי בקמפיין הבא.
כן. הוא בנוי כך שאפשר להעתיק ממנו ישירות לשקף — כולל מגמה, פילוח לפי מחלקה והמלצות.
משאירים פרטים, מקיימים שיחת אפיון על מבנה הארגון והמחלקות, ובונים יחד תוכנית שנתית עם יעדים מדידים.
קמפיין בודד עונה על השאלה "מה המצב היום". תוכנית שנתית עונה על השאלה החשובה יותר — "האם אנחנו משתפרים". זו גם ההבדל בין נתון שמוצג פעם אחת לבין תהליך שאפשר לנהל, לתקצב ולהציג להנהלה.
רוצים שנבנה יחד תוכנית לשנה הקרובה? דברו איתנו ונתאים אותה לגודל הארגון, למחלקות ולקצב שנוח לכם.
השאירו פרטים ועברו לקבלת הדגמה על המערכת
אנחנו חוזרים במהירות:)
