סימולציית פישינג לעובדים

מגדירים את ההתנהגות שרוצים לחזק

לפני בחירת מסר מגדירים מה העובד אמור לעשות כשבקשה נראית חריגה. ייתכן שצריך לעצור, לבדוק דרך ערוץ מוכר או לדווח לצוות. ההנחיה צריכה להיות מעשית ומתאימה לתפקיד. אם בארגון אין ערוץ דיווח ברור, כדאי להכין אותו לפני התרגיל ולא למדוד את העובדים על תהליך שלא הוסבר להם. מטרת הסימולציה היא לבחון גם את המסלול כולו: מה קורה לאחר שהעובד דיווח, מי מקבל את המידע ומתי הוא מקבל תשובה.

התאמה לתפקיד ולשגרת העבודה

כספים, תמיכה, פיתוח ומשאבי אנוש פוגשים בקשות שונות. התרחיש צריך לשקף הקשר רלוונטי בלי להניח שכל העובדים פועלים באותה דרך. מגדירים עם הארגון גבולות תוכן, קבוצות וערוצים. ניתן להשתמש ברמות קושי שונות כדי להבין היכן דרושה הדרכה, אך אין להפוך את המבחן לתחרות של הפתעה. ההתאמה עוזרת לחבר בין התרגיל להנחיות עבודה אמיתיות. גם זמני עבודה ושפות משפיעים על התוצאה, ולכן כדאי לתעד אותם לפני שמסיקים מסקנות על קבוצה.

דיווח פשוט ומשוב ברור

ערוץ הדיווח צריך להיות נגיש, מוכר ומובן. העובד צריך לדעת איזה מידע להעביר ומה לעשות בינתיים, בלי להפיץ את ההודעה לקבוצה נוספת. מגדירים עם צוות התגובה איך יבדילו בין תרגיל לבין אירוע אמיתי ומי יטפל בכל אחד. משוב שמסביר את סימני הזיהוי ואת הפעולה הרצויה שימושי יותר מהודעה כללית שנכשלתם. רצוי לחזק גם התנהגות חיובית: דיווח מהיר, עצירת בקשה חריגה או אימות עצמאי דרך ערוץ ידוע.

למידה בלי להפוך טעות לתווית

טעות בתרגיל אינה מתארת את ערכו או כישוריו של עובד. התוצאה תלויה בהקשר, ברמת הקושי ובתהליך. שימוש בנתונים צריך להתאים למטרה ולמדיניות שהארגון קבע. דיון קבוצתי יכול להתמקד בדפוסים ובשיפור, תוך צמצום חשיפת מידע אישי. חשוב שלעובדים תהיה אפשרות לדווח גם לאחר אינטראקציה עם הודעה חשודה. פחד מתגובה עלול לעכב את הדיווח כשהזמן משמעותי. את כללי הצגת התוצאות קובעים עם הגורמים המוסמכים לפני ההרצה.

איך מפרשים את תוצאות הסימולציה?

בוחנים אינטראקציות, דיווחים וזמנים יחד עם רמת הקושי של התרחיש. כלי הגנת דואר עשוי לגעת בקישור אוטומטית, ולכן נדרשת בדיקת איכות נתונים. מסר שכבר הוכר לעובדים יכול ליצור שיעור נמוך שאינו מעיד על למידה רחבה. NIST Phish Scale מסייע להבין את הקשר בין המסר לקושי הזיהוי. ההשוואה בין קבוצות או תרגילים צריכה להסביר הבדלים ולא להציג ציון פשוט כהוכחה להתנהגות עתידית. משתמשים בתוצאה כקלט לתכנון הדרכה ותהליך.

הדרכה ממוקדת לאחר התרגיל

מומלץ לחבר משוב לדוגמאות מהתרגיל ולהנחיות הקיימות בארגון. אפשר להתמקד באימות בקשות, בזיהוי שינוי חריג ובדיווח. מסר לעובדים צריך להסביר מה לעשות אם כבר לחצו, ולא רק כיצד להימנע מכך. תרגול קצר של ערוץ הדיווח יכול לחשוף חסם שלא נראה בהדרכה. כשמתגלה פער רוחבי, בוחנים גם בקרה טכנולוגית או שינוי תהליך, ולא מטילים את כל האחריות על המשתמש. ההדרכה צריכה להישאר זמינה לעובדים חדשים ולמי שלא השתתפו בתרגיל.

תכנון לאורך זמן וגבולות בטיחות

קובעים תדירות לפי צורך, עומס ובשלות, ומשנים תרחישים בצורה מתועדת. הסימולציה מופעלת רק עם אישור, היקף ונתונים מוסכמים. מגדירים פעולות בטוחות ללא שמירת סיסמאות אמיתיות או הרצת קוד מזיק, ודרך לעצור בעת אירוע אמיתי. לאורך זמן בוחנים את הלמידה לצד איכות התגובה הארגונית. אין להבטיח שהדרכה או קמפיין ימנעו כל התחזות. שילוב עובדים, תהליכים והגנות מספק תמונה שימושית יותר ממדד יחיד.

מה להכין לשיחת תיחום?

הכינו תיאור קצר של הפעילות, המטרה, בעלי התפקידים ומועד היעד. בשיחה מגדירים היקף, נתונים, הרשאות ותוצרים. אין צורך לשלוח סיסמאות או מידע רגיש בטופס הפנייה. תוכנית העבודה צריכה להסביר מי מבצע כל פעולה, מה נדרש מצוותי הארגון ואיך תיבחן התוצאה.

תחומים משלימים

• מבדק פישינג לעסקים
• הערכת סיכוני סייבר לארגון
• סקר סיכוני סייבר
• ייעוץ אבטחת מידע

שאלות נפוצות

נגדיר יחד את התהליך המתאים לארגון

עברו אל שירות קמפייני הפישינג לתמונה הרחבה, או צרו קשר לשיחת תיחום.