Hallitut tietojenkalastelu-, puhelin- ja viestikampanjat, jotka mittaavat, miten ihmiset ja prosessit reagoivat, ja joiden tulokset raportoidaan ryhmittäin eikä koskaan nimeltä.
Useimmat tunkeutumiset alkavat yhä ihmisestä: vakuuttavasta sähköpostista, puhelusta henkilöltä, joka väittää olevansa IT-tuesta, viestistä esihenkilöltä, joka on muka palaverissa. Tekniset suojaukset suodattavat osan. Loppu riippuu siitä, tunnistavatko ihmiset yrityksen ja antaako prosessi heille keinon ilmoittaa siitä.
Toteutamme kampanjoita, jotka on rakennettu niin kuin todelliset hyökkääjät ne rakentavat, ja jokaisen skenaarion hyväksyt etukäteen. Mittaamme sitä, millä on merkitystä: emme vain sitä, kuka klikkasi, vaan myös sitä, kuka ilmoitti, kuinka nopeasti ilmoitus tavoitti tietoturvatiimin ja mitä tiimi sillä teki.
Kohdennetut kampanjat rooleihin, joilla on laajemmat käyttöoikeudet
Puhelut käyttäjätukeen ja työntekijöille
Pikaviestimet ja yhteistyöalustat
Monivaiheinen tunnistautuminen: reaaliaikainen tietojenkalastelu ja push-ilmoituksilla uuvuttaminen, jos niistä on sovittu
Käyttäjätuen menettelyt: henkilöllisyyden varmentaminen ennen salasanan tai MFA:n nollausta
Ilmoitusten reitti: tavoittaako ilmoitus tietoturvatiimin ja kuinka nopeasti
02Toimintatapa
Miten työ tehdään
01
Skenaarioiden suunnittelu
Skenaariot kirjoitetaan ja hyväksytään yksi kerrallaan. Yksikään skenaario ei käytä uhkailua, henkilökohtaisia vaikeuksia tai terveyttä, eikä yksikään kohdistu yksityisiin tileihin tai laitteisiin.
02
Valmistelu
Verkkotunnukset ja infrastruktuuri valmistellaan kampanjaa varten. Sinä päätät, mittaako testi pelkkiä ihmisiä vai ihmisiä yhdessä sähköpostisuodattimien kanssa.
03
Kampanja
Viestit ja puhelut lähtevät aaltoina. Organisaatiosi ohjausryhmälle tiedotetaan jokaisesta aallosta.
04
Analyysi
Tulokset kootaan ryhmittäin ja skenaarioittain. Raportissa ei ole nimiä eikä tietoja, joista yksittäisen henkilön voi tunnistaa.
Teknisen testauksen suunnittelu, säännöt ja toteutus.
NIST
06Kysymykset
Kysymyksiä tästä palvelusta
Nimetäänkö työntekijöitä raportissa?
Ei. Tulokset raportoidaan ryhmittäin ja skenaarioittain. Tarkoitus on parantaa prosessia, ei etsiä syyllistä. Ihmisten nimeäminen tuhoaa heidän halunsa ilmoittaa, ja ilmoittaminen on arvokkain olemassa oleva suojauskeino.
Onko omille työntekijöille laillista lähettää tietojenkalasteluviestejä?
Työnantajan luvalla ja oikeusjärjestyksesi työ- ja tietosuojalainsäädännön rajoissa. Joissakin maissa henkilöstön edustajia on kuultava. Otamme kysymyksen esiin laajuuden määrittelyssä; oikeudellisen arvion tekevät juristisi.
Keräättekö oikeita salasanoja?
Emme. Syötettyjä kirjautumistietoja ei tallenneta eikä käytetä; kampanja kirjaa vain sen, että tiedot syötettiin. Jos MFA:n ohittaminen kuuluu laajuuteen, se osoitetaan tätä tarkoitusta varten luoduilla testitunnuksilla.