Phishing-tester kan vara ett effektivt sätt att öka medvetenheten om cybersäkerhet, stärka de anställda och försvara sig mot cyberattacker.
Nätfiske har nu blivit det största cyberhotet i världen, och under det senaste året har bedrägerierna ökat med 350% när cyberbrottslingar utnyttjar den rädsla och det kaos som orsakats av coronaviruspandemin. Sociala ingenjörsattacker som nätfiske bygger på angriparens förmåga att utnyttja mänskliga sårbarheter och känslor för att uppnå sina mål.
Eftersom stora delar av arbetsstyrkan fortsätter att arbeta hemifrån är det viktigt att de anställda kan känna igen sofistikerade phishinghot i sina inkorgar och vet hur de ska hantera dem på lämpligt sätt.
Vad är ett Phishing-test?
Ett phishing-test, eller phishing-simulering som det också kallas, används av organisationer för att avgöra hur mottagliga deras anställda är för phishing-attacker. Genom att använda en säker och kontrollerad miljö kan organisationer skicka realistiska phishing-mejl till anställda för att mäta deras medvetenhet om attackmetoder och ta reda på hur de skulle reagera om hotet var verkligt.
Dessa simulerade attacker hjälper de anställda att identifiera aktuella hot och ger utbildning i rätt tid om hur de kan förbättra säkerhetsbeteendet. Om en anställd klickar på en phish-attack får han eller hon omedelbart en inlärningserfarenhet som hjälper honom eller henne att känna igen tecknen på en phishing-attack och uppmuntra dem att rapportera nätfiskeförsök.
Organisationer kan i sin tur använda dessa uppgifter för att identifiera svaga områden, skräddarsy utbildning för att åtgärda brister i medvetenheten och kartlägga framstegen över tid.
Hur du genomför ett effektivt test för nätfiske
Upprätta en baslinje
Innan du startar ditt program för medvetenhet om nätfiske måste du fastställa en baslinje. På så sätt kan du avgöra hur mottagligt ditt företag är för bedrägliga phishingmejl och hur stor andel av dina anställda som skulle ha fallit för attacken om den hade varit verklig.
Du kan antingen informera de anställda om att du kommer att genomföra ett phishing-test och förklara vilka mål du har och vad du hoppas uppnå, eller så kan du genomföra ett överraskande phishing-test utan någon förutbildning.
Detta beslut är helt upp till din organisation, även om det senare alternativet ger den tydligaste bilden av hur sårbar din personal är för nätfiskeattacker i verkligheten. När du väl har registrerat din baslinje kan du använda dessa resultat som ett riktmärke för att mäta effektiviteten i framtida simuleringstester av nätfiske.
Planera ditttest för nätfiske
När du har fastställt en baslinje kan du börja planera din phishingkampanj för det kommande året. I detta skede bör de anställda informeras och utbildas i hur de ska identifiera ett misstänkt e-postmeddelande och vad de ska göra om de får ett sådant.
Det är bäst att börja med en liten kampanj och sedan bygga upp den. Dina första phishing-tester bör vara relativt lätta att upptäcka och innehålla klassiska tecken på ett phishing-e-postmeddelande, t.ex. en generisk hälsning, felstavningar och dålig grammatik.
Men när kampanjen fortskrider bör svårighetsgraden öka för att återspegla de verkliga attacker som kan användas för att angripa din personal.
Förskjut utgivningen avtestet för nätfiske
Tidpunkten är nyckeln till ett lyckat phishing-test. Ett vanligt misstag är att skicka ut ett generellt phishing-test till hela organisationen samtidigt. Detta väcker bara misstankar och de anställda som har identifierat e-postmeddelandet som ett phish-test kommer att börja varna sina kollegor.
Om du inte vill få snedvridna resultat bör du fördela ditt phishing-test över olika tidsperioder för att säkerställa en mer korrekt rapportering.
Inkludera ledande befattningshavare itester mot nätfiske
Alla användare är mottagliga för nätfiskeattacker, men vissa anställda har en högre riskprofil än andra. VD:ar, ekonomichefer och högre chefer är några av de mest populära måltavlorna för nätfiske eftersom de har tillgång till värdefull företagsinformation på hög nivå.
Det är viktigt att dessa medarbetare ingår i alla phishing-tester, inte bara ur ett riskperspektiv utan också för att visa andra anställda att de tar cybersäkerheten på allvar.
Använd en mängd olika metoder
Simuleringstester för nätfiske bör återspegla de olika hot som dina anställda möter dagligen. Cyberkriminella blir alltmer försåtliga i sina angreppsmetoder, så dina phishing-tester måste återspegla detta. Medan många anställda kommer att vara på sin vakt mot externa attacker, kan de vara mer nöjda med e-postmeddelanden som verkar komma från organisationen.
E-postmeddelanden kan skickas som utger sig för att vara personalavdelningen och informera personalen om semesterersättning eller löner. Genom att blanda olika stilar och tekniker i dina tester får du en bättre förståelse för hur de anställda känner till dem.
Analysera data
Uppgifterna från dina phishing-tester är avgörande för att du ska kunna avgöra om din kampanj har varit framgångsrik. De hjälper dig att identifiera trender, sårbara anställda, utbildningsbehov och ger dig information om planeringen av framtida phishing-tester.
Dina rapporter bör analysera:
- Antal personer som klickade.
- Antal personer som lämnat känslig information.
- Antal personer som rapporterade phishing-e-postmeddelandet.
Med tiden bör du se en minskning av de två första kategorierna och en ökning av rapporteringen. Anställda som har klickat på phishingmejl och/eller lämnat känslig information bör få ytterligare utbildning för att förbättra säkerhetsbeteendet.
Personalen måste förstå de verkliga konsekvenserna av en nätfiskeattack och varför det är så viktigt att de effektivt kan identifiera en misstänkt nätfiskeattack. Det handlar inte om att fånga upp folk utan om att mäta medvetenheten och identifiera områden som kan förbättras.
På samma sätt bör anställda som har visat ett gott säkerhetsbeteende, identifierat phishingmejl och rapporterat dem till IT-personalen, få beröm.
Introducerautbildning om nätfiske som en del av ett bredare program förmedvetenhet om cybersäkerhet
För att vara riktigt effektiva bör phishing-tester införas som en del av ett bredare program för medvetenhet om cybersäkerhet. Detta är det bästa sättet att utbilda personalen, förbättra säkerhetsbeteendet och skapa en mer cyberresistent personalstyrka. Du kan välja ämnen som tar upp dina organisatoriska risker och använda ett blandat tillvägagångssätt för att engagera personalen och öka medvetenheten.
Utöver dina phishing-tester kan riktad e-lärning, bloggar, affischer och infografik användas för att förstärka de viktigaste budskapen.
Slutliga tankar
När du väl har inrättat ett program för medvetenhet om nätfiske är det viktigt att hålla farten uppe. Att skapa en medvetenhetskultur tar tid och kan inte uppnås med en årlig engångsövning.
Regelbundna phishing-tester bidrar till att öka de anställdas vaksamhet, förbättra medvetenheten och identifiera eventuella svagheter som kan utgöra en risk för organisationens säkerhet.
