כתיבת דו״ח להנהלה לאחר קמפיין פישינג היא שלב קריטי לא פחות מהקמפיין עצמו. דו״ח טוב צריך להיות תמציתי, ויזואלי ומניע לפעולה — כזה שמקבלי החלטות שאינם מהתחום הטכני יבינו וייקחו ברצינות.

1. מבוא — הגדירו את המטרה

אל תניחו שהמנהלים זוכרים למה בוצע הקמפיין. פתחו בהסבר קצר: המטרה היא להעריך את רמת המודעות והחשיפה לסיכונים כדי לחזק את ההגנות הארגוניות. כדאי להוסיף הקשר גלובלי — כמעט מחצית מהעובדים בעולם נופלים קורבן למתקפות סייבר, ו-45% מדווחים על פגיעה בנתונים אישיים. הסיכון אינו תיאורטי אלא יומיומי.

2. מתודולוגיה ושלבי הקמפיין

מנהלים צריכים להבין את התהליך כדי לתת תוקף לתוצאות. פרטו את השלבים המרכזיים:

• שיחת אפיון: הבנת צרכי הארגון ורמת המודעות הקיימת.
• יצירת התרחיש: תיאור המייל שנבחר (למשל התראה מזויפת על סיום שטח אחסון בתיבת הדואר).
• ביצוע ואיסוף: תקופת הזמן (למשל יומיים) ומספר העובדים שנבדקו.

3. הצגת הנתונים המרכזיים

זהו לב הדו״ח. השתמשו במספרים ברורים ובגרפים ויזואליים — והציגו גם את הצד החיובי, לא רק את הכישלון:

הציגו גם צילום מסך של המייל שנשלח — חשוב להראות להנהלה כמה הוא נראה אמין, ולתת תזכורת חזותית למה שנשלח.

4. גרף התקדמות ומגמות

מנהלים אוהבים לראות כיוון — אל תסתפקו בנתון נקודתי. הציגו גרף התקדמות לאורך זמן. בדו״ח לדוגמה רואים מגמת שיפור ברורה: אחוז הלחיצות ירד בהדרגה מ-45% לכ-16%. הצגת המגמה מוכיחה שההשקעה בהדרכות ובסימולציות מניבה תוצאות ומורידה את רמת הסיכון.

5. ניתוח סיכונים ומסקנות

כאן מתרגמים מספרים למשמעות עסקית. 16% לחיצות עשוי להיראות "בינוני" — אך הדגישו כי מספיקה לחיצה בודדת אחת כדי להכניס את הארגון לאירוע דליפת מידע או מתקפת כופרה הרסנית. המשתמשים שלחצו הם "חוליה חלשה" הדורשת טיפול ממוקד.

6. המלצות אופרטיביות

הדו״ח חייב להסתיים בתוכנית עבודה ברורה — אל תשאירו את ההנהלה עם הבעיה ללא פתרון:

1. 1

   המשכיות

   בצעו סימולציות פישינג תקופתיות — לפחות פעם ברבעון — כדי לשמור על רמת ערנות גבוהה.

2. 2

   שקיפות

   תקשרו את תוצאות הקמפיין לעובדים ולהנהלה בצורה שקופה.

3. 3

   טיפול ממוקד

   העבירו למנהלי המחלקות את רשימת העובדים שנכשלו, כדי שיטפלו בנושא ישירות ובאופן בונה.

4. 4

   הדרכה וחינוך

   בצעו לומדות ייעודיות להתמודדות עם סיכוני סייבר.

5. 5

   משוב אישי

   שלחו מייל הסבר אישי לכל עובד שנכשל — כדי להפוך את הטעות לרגע של למידה.

טיפים לסיכום

• שפה מקצועית אך פשוטה: הימנעו ממונחים טכניים שיבלבלו מנהלים לא-טכניים.
• השתמשו בצבעים: אדום לסיכונים (נכשלים), ירוק/כחול להצלחות (עוברים).
• היו עקביים: אותם מדדים (KPIs) בכל דו״ח, כדי שאפשר יהיה להשוות בין קמפיינים.

דו״ח כזה הופך את פעילות אבטחת המידע מ"מטרד טכני" לאסטרטגיה ארגונית מדידה וחיונית.