Ta początkowa kampania ustanowiła najpierw punkt odniesienia. Więc tak, to normalne. „Jak my jako firma się znajdujemy? Do jakiego poziomu musimy się szkolić? Czy jako całość mamy bezpiecznych użytkowników, czy też jako całość mamy niezabezpieczonych użytkowników?” Ten raport określa to oraz zakres, w jakim kierownictwo musi zaangażować się w szkolenie w zakresie phishingu. Gdyby tylko 5% użytkowników dało się nabrać na próbę wyłudzenia informacji, cel szkolenia byłby zupełnie inny. Obecnie kierownictwo wie, że mają one zasadniczo problem całej firmy i że kampania phish ma w zasadzie 70% szans powodzenia.

Teraz, gdy firma przeprowadzi przyszłe szkolenie w zakresie phishingu, może porównać wyniki i określić, czy szkolenie zakończyło się sukcesem. „Początkowo daliśmy się na to nabrać w 70% przypadków. Tym razem w 68% przypadków. W związku z tym nie udało się”. Lub „Początkowo daliśmy sobie z tym radę w 70% przypadków, a teraz w 50%. Robimy lepiej, ale potrzebujemy dalszych szkoleń”.

Nie, ponieważ podając imiona, które przypisujesz winom, ochrona musi odejść od obwiniania poszczególnych osób i przyjąć ją jako całość. To to samo, co znalezienie luki w zabezpieczeniach witryny internetowej: nie należy winić programisty, ale zamiast tego starać się usprawnić cały proces.

Prowadzimy kampanie phishingowe i nie identyfikujemy użytkowników. Używamy go do identyfikowania słabości z naszej strony i do lepszego szkolenia naszych pracowników. Nie ma sensu skupiać się na tym szkoleniu tylko dla jednej osoby.

Po zakończeniu kampanii wysyłamy e-maile do wszystkich pracowników, dostarczamy statystyki niepowodzeń / sukcesów, a następnie udzielamy wskazówek dotyczących wykrywania phishingu i ogólnego traktowania poczty .

Myślę, że właściwym punktem widzenia, aby na to spojrzeć, jest zadanie następującego pytania:

Biorąc pod uwagę liczbę osób, które nie przeszły testu, jakie cele (bezpieczeństwa) zostałyby osiągnięte, gdyby firma miała takie imiona?

Powiedziałbym: brak”.

Jaki jest cel bezpieczeństwa przeprowadzanego w całej firmie testu phishingowego?

Zwykle w każdej firmie, która polega na IT i zatrudnia określoną liczbę pracowników, pracownicy ci przechodzą szkolenia w zakresie bezpieczeństwa informacji. Szkolenia te obejmują głównie podstawowe tematy, takie jak komunikacja e-mail, bezpieczeństwo komputerów stacjonarnych i tak dalej. Podczas przeprowadzania testu phishingowego kierownictwo chce wiedzieć:

1. czy te szkolenia zakończyły się powodzeniem (np. Warte ich pieniędzy)
2. czy jakiekolwiek dane lub system informatyczny należący do firma może zostać zagrożona z powodu braku dobrego szkolenia

Jeśli jako wykonawca powiesz im „70% pracowników nie zdało testu”, odpowiedz na dwa powyższe pytania. Jeśli kierownictwo prosi o podanie nazwisk w firmie zatrudniającej ponad 300 pracowników, nie uzyskuje żadnych bardziej istotnych informacji i nie wykonuje swojej pracy prawidłowo.

Następnym krokiem jest teraz zdefiniowanie nowego celu bezpieczeństwa. Powinien brzmieć mniej więcej tak:

„W ciągu następnych X miesięcy każdy pracownik będzie musiał wziąć udział w szkoleniu z zakresu bezpieczeństwa. Za miesiąc USD w roku chcemy, aby kontrahent przeprowadził kolejny test phishingowy, a odsetek osób tych, którzy nie przejdą tego testu, powinno być poniżej X%. ”

Czy te szkolenia byłyby bardziej opłacalne, gdyby tylko ci pracownicy musieli w nich uczestniczyć, którzy nie przeszli testu phishingu? Prawdopodobnie.
Ale: przedstawiasz je 30% firmy (tym, które nie muszą jechać) jako „zbyt głupie, by zidentyfikować próbę phishingu”. To, jak wpływa to na morale, przewyższa wszystkie koszty zwykłego wysłania wszystkich pracowników na szkolenie. Ponadto: kolejne przypomnienie dla 30% osób o bezpieczeństwie informacji nie boli.
Jest to jeszcze jeden powód, dla którego jest to dobry pomysł: zazwyczaj, jeśli przeprowadzasz test phishingu, nie wiesz, dlaczego ludzie nie dali się na to nabrać. Może część z nich nie przeczytała e-maila, ponieważ byli na wakacjach, byli chorzy lub po prostu go pominęli, bo mają skrzynkę pełną ważniejszych maili. Nikt nie może ci powiedzieć, czy następnym razem zdadzą egzamin. Pracownicy są zawsze najważniejszym czynnikiem ryzyka, szkol ich, jeśli możesz.

Kolejną kwestią, o której chciałbym wspomnieć, o której dotychczas brakowało w innych odpowiedziach, jest to, że w zależności od tego, w jaki sposób przedstawisz wyniki: większość ludzi będzie wiedziała, że ​​nie zaliczyła tego testu .
Musisz w ten czy inny sposób poinformować swoich pracowników i zakładam, że większość firm to robi: Wyślij e-mail obejmujący całą firmę ze zrzutem ekranu wiadomości phishingowej.

„Drodzy pracownicy, przykro mi to mówić, ale to był test phishingowy. Nie czeka na was żaden darmowy jacht. Liczba osób, które nie przeszły testu, była niska, to znaczy dlaczego w najbliższym czasie będziemy mieli jakieś szkolenia z bezpieczeństwa Wykonawca zrobił to dla nas i nie zebraliśmy żadnych danych osobowych, więc nie wiemy, kto kliknął w link, a kto nie. Nie będzie żadnych konsekwencji. Maile phishingowe mogą mieć naprawdę poważne konsekwencje, takie jak… yadda, yadda, yadda… ”.

Ludzie będą sprawdzać swoją skrzynkę odbiorczą i jeśli nie było tak dawno temu, pamiętają, co zrobili. To zwiększy akceptację dla szkolenia z bezpieczeństwa i dostosowania zachowania. Wywoływanie strachu i wywieranie presji na ludzi nie pomaga.

Wydaje się, że są jakieś nieporozumienia co do celu tych testów.

Używanie identyfikatorów oznacza znajdowanie odpowiedzialnych ludzi w celu ich edukowania i / lub karania. Może to być wyraźny parametr testu, że nie można zidentyfikować żadnej osoby. W wielu krajach europejskich lokalna rada pracowników lub przedstawiciele związków zawodowych musieliby zgodzić się na taki test i mogliby postawić to jako warunek.

Korzystanie ze statystyk oznacza identyfikację wskaźników wydajności . Możesz porównać je ze sobą, aby na przykład określić, czy postępujesz lepiej lub czy jakaś kampania uświadamiająca, którą prowadziłeś, była skuteczna. Nie potrzebujesz do tego zidentyfikowanych osób, a może to nawet zatrzeć wyniki.

Wreszcie klient płaci rachunek. Pracujesz dla nich, więc chociaż powinieneś zwracać uwagę na wszelkie wątpliwości lub przemyślenia zawodowe, które masz, chyba że jest to sprzeczne z twoją etyką osobistą lub zawodową (np. Standardami etycznymi ISACA, jeśli jesteś członkiem), dostarczasz to, o co prosi klient.

Odpowiadając na Twoje pytanie:

czy nie jest to sprzeczne z celem kampanii phishingowych i poprawy bezpieczeństwa informacji w Twojej sieci? Czy to w ogóle normalne?

Nie. Jeśli klient chce rozwodnionej wersji wyniku badania, ostatecznie to jego wezwanie. Masz jednak wszelkie prawa do udzielania najlepszych porad i dawania im możliwości wyboru.

Czy takie reakcje klientów to normalne zjawisko? Tak, może się to zdarzać cały czas, a to może być konsekwencją wielu rzeczy. Klient może mieć własne niepewności (np. Co by się stało, gdyby członkowie kierownictwa zostali złapani, jak sobie z tym poradzić) lub może nie chcieć lekceważyć swoich pracowników, może nie wiedzieć, jak poradzić sobie z ich szkoleniem po opublikowaniu raportu.

Jeśli to oni za to płacą, jako ich doradca musisz w końcu uszanować ich decyzję.

Na marginesie, o czymś, co zauważyłem :

Grzecznie oskarżyłem ich o zaznaczanie pola i brak zainteresowania edukacją swoich użytkowników.

Nie ma sposobu, aby uprzejmie powiedzieć to, co właśnie powiedziałeś. Ale są inne sposoby, aby to powiedzieć, nie wpadając w błąd. Witamy w świecie polityki. Widzę, że większość innych odpowiedzi dotyczyła aspektu bezpieczeństwa, więc w mojej odpowiedzi chciałbym poruszyć inny subtelny aspekt polityczny.

Widocznie masz dużo dobrej woli i wiedzy, a klient pojawia się uparty z twojego punktu widzenia, że ​​nie wykonałeś tego ćwiczenia przez cały czas.

Odkryłem, że najlepszym sposobem na przekazanie czegoś takiego jest użycie nieco innych sposobów, które będą promować Twoją sprawę, niekoniecznie denerwując klienta lub sprawiając, że klient czuje, że nie pozwalasz mu dzwonić strzały lub krytykujesz go i przechodzisz w złą stronę.

Oto kilka sposobów, w jakie mógłbyś to powiedzieć, a które prawdopodobnie pomogłyby w promowaniu Twojej wizji. To wszystko polityka i można je studiować oddzielnie.

• Najbardziej poprawny politycznie sposób (maksymalne osłabienie wiadomości): stracilibyśmy świetną okazję, gdybyśmy pominęli tę część ćwiczenia. Czy na pewno chcesz to zrobić Panie Kliencie?
• Nieco mniej poprawne politycznie, ale przekaz mniej rozmyty i nadal nie trafiający: jeśli nie zajmiemy się w pełni i nie pozwolimy, aby szkolenie odbyło się tam, gdzie jest to konieczne, dużo byśmy zmarnowali energii. Czy na pewno chcesz to zrobić Panie Kliencie?

Zauważ, że w obu przypadkach skończyłem z Czy na pewno chcesz to zrobić Panie Kliencie? . Nazywa się to mocą wyboru, oddaj wybór z powrotem w ich ręce po zakończeniu wszelkich prób modyfikacji ich zachowania lub myślenia.

Jeśli ci się nie udało, a oni nadal nie chcą, niech tak będzie. I tak nie miałeś autorytetu, jedyne, co możesz zrobić, to doradzić im najlepiej, jak potrafisz. Ale mimo wszystko, w innym scenariuszu, mógłbyś wpłynąć na myślenie klienta i zrobić to po swojemu. Ale nie zawsze tak jest.

Właśnie skończyłem taką kampanię (jako klient) i chciałem mieć absolutną anonimowość użytkowników.

Powodów było kilka, wśród nich najważniejsze to

• prywatność, skomplikowana sprawa w niektórych krajach
• fakt, że będę wysyłał ogólnoświatową wiadomość o kampanii i jej wynikach

Twój klient mógł mieć inne powodów. Dałeś im szansę uzyskania pełnych wyników, być może z jakąś radą. Chcieli anonimowej wersji, własnego wyboru.

Uwaga: przepraszam za literówki (a właściwie - błędne autouzupełnianie przez mój telefon), przez które moja początkowa odpowiedź wyglądała dość dziwnie.

Całkowicie rozumiem Twoje pragnienie przechwycenia tych danych. Więc anonimizuj ich. Ogólny pomysł jest taki, że bierzesz skrót MD5 ich adresu e-mail z małą literą i pobierasz tyle bitów rozdzielczości, ile potrzebujesz, i albo pozostawiasz je b7R + , albo konwertujesz na „hasła AOL”, na przykład shave -pen-osram .

Zabronione

  John Smith FAIL Frank Frink FAIL Juliana Crain PASS  

Co możesz dostać

  Rufus-Castle-Uniform-Enemy FAIL Zion-Lathe-Shoot-Loyal FAIL Flee-Worldly-Variable-Key PASS  

Co jest jeszcze bezpieczniejsze

  Bucket Stop-Bad 4/6 nieudane (66%) Bucket Wax-Scissors 5/6 nie powiodło się (83%) Bucket Memory-Egg 4/5 nie powiodło się (80%)  

Tam są dwa sposoby, aby osiągnąć anonimowość, wyobrażając sobie, że n bitów może zawierać liczbę pracowników (np. pracowników = 700 n = 10).

• Możesz przejść do kilka dodatkowych bitów, np. n +6 bitów, w którym to przypadku anonimizacja byłaby odwracalna i pracownik mógłby zostać ujawniony: Rufus-Castle-Uniform-Enemy zwykle haszuje tylko do jsmith@foo.com ... Rozumiem! Może być drugi e-mail, ale im więcej bitów, tym mniej prawdopodobne.
• Możesz przejść o kilka za mało bitów, na przykład n -3 bity, w którym to przypadku odwrotny bieg pokaże Stop- Zły haszuje do jsmith, emccarthy, jcrian, tkido, ctagawa, i ffrink, przez co kara jest niewykonalna. To kończy się tworzeniem grupy „wiader”.
• możesz posolić MD5, ale to się nie powiedzie, jeśli prześladowca
  • nauczy się soli poprzez brutalny atak kryptograficzny
  • po prostu rozkazuje ci go odwrócić
  • odnotowuje wzorzec działań, które zostały zarejestrowane, i dedukuje użytkownika

Twój niezgadzanie się z ich powodami jest klasycznym problemem w miejscu pracy.se, ale mogą nie podają Ci wszystkich powodów *. Niezależnie od tego, musisz spełnić swoje zgłoszenie do nich.

Metody, które podałem tutaj wraz z anonimizacją, pozwalają na przedstawienie w raporcie szczegółowych danych, które chcesz przedstawić, zachowując techniczną zgodność z ich dyrektywą. Możesz to zrobić w formie n + wielu, która pozwala im wrócić do poszczególnych użytkowników, jeśli naprawdę tego chcą - lub w formie zbiorczej, która nie.

Bucketing jest dość bezużyteczny przy 70%, chyba że przedstawiasz „W zasobniku 127 4/6 użytkowników padło ofiarą phishu”. Zasobnik działa najlepiej, gdy współczynnik trafień wynosi 1/3 liczby zasobników lub mniej, więc 2 trafienia w tym samym zasobniku są rzadkie. „W 512 wiadrach 90 wiader miało trafienia, najprawdopodobniej to 90–95 osób, czyli taką liczbę, jaką chcesz.

* Jako prawnik mogę wymyślić naprawdę dużą. Gdybym to był ja, Usunąłbym spersonalizowane dane „rutynowo”. Zapisywanie wszystkiego na zawsze to zabawa i zabawa do czasu wezwania.

Zgadzam się, że wybór klienta pozornie uniemożliwia jakąkolwiek możliwość poprawy. Jest jednak inny sposób na poprawę.

Niech wszyscy pracownicy wiedzą „Nie wiemy, kto się na to nabrał, a kto nie, więc nie możemy nikogo zwolnić ani wynagrodzić. Jednak przeprowadzamy ten test co miesiąc i będziemy publikować wartości procentowe. Jeśli 70% spadnie do 20% do końca roku, wszyscy pracownicy otrzymają premię. Wielkość premii będzie zależeć od tego, ile poniżej dwudziestu. Aby pomóc nam osiągnąć ten cel, będziemy co tydzień otrzymywać e-maile uczące techniki identyfikacji phishingu. W przyszłym roku premia będzie co kwartał, ale cel będzie również mniejszy co kwartał ”.