Kontroliuojamos sukčiavimo el. paštu, telefonu ir žinutėmis kampanijos, kurios matuoja, kaip reaguoja žmonės ir procesai; rezultatai pateikiami pagal grupes, niekada pagal vardus.
Dauguma įsibrovimų vis dar prasideda nuo žmogaus: įtikinamo el. laiško, skambučio iš asmens, kuris prisistato IT pagalbos darbuotoju, žinutės nuo vadovo, kuris neva yra susitikime. Techninės apsaugos priemonės dalį to atfiltruoja. Kita dalis priklauso nuo to, ar žmonės atpažįsta bandymą ir ar procesas suteikia jiems būdą apie jį pranešti.
Vykdome kampanijas, sukurtas taip, kaip jas kuria tikri užpuolikai; kiekvieną scenarijų iš anksto patvirtinate jūs. Matuojame tai, kas svarbu: ne tik kas spustelėjo, bet ir kas pranešė, kaip greitai pranešimas pasiekė saugumo komandą ir ką komanda su juo padarė.
01Apimtis
Ką testuojame
Sukčiavimas apsimetant (angl. phishing) el. paštu: prisijungimo duomenų išviliojimas, priedai, nuorodos
Tikslinės kampanijos prieš darbuotojus, turinčius išplėstas prieigos teises
Skambučiai į pagalbos tarnybą ir darbuotojams
Pokalbių programėlės ir bendradarbiavimo platformos
Kelių veiksnių autentifikavimas (MFA): sukčiavimas realiuoju laiku ir patvirtinimo užklausų nuovargis (angl. push fatigue), jei tai suderinta
Pagalbos tarnybos procedūros: tapatybės tikrinimas prieš iš naujo nustatant slaptažodį ar MFA
Pranešimų kanalas: ar pranešimas pasiekia saugumo komandą ir kaip greitai
02Darbo eiga
Kaip atliekamas darbas
01
Scenarijų kūrimas
Scenarijai rašomi ir tvirtinami po vieną. Nė viename scenarijuje nenaudojami grasinimai, asmeniniai sunkumai ar sveikatos temos, ir nė vienas nesitaiko į privačias paskyras ar įrenginius.
02
Pasirengimas
Kampanijai parengiami domenai ir infrastruktūra. Jūs nusprendžiate, ar testas matuoja tik žmones, ar žmones kartu su pašto filtrais.
03
Kampanija
Laiškai siunčiami ir skambinama bangomis. Kontrolinė grupė jūsų organizacijoje informuojama apie kiekvieną bangą.
04
Analizė
Rezultatai apibendrinami pagal grupes ir scenarijus. Ataskaitoje nėra vardų ir jokių duomenų, pagal kuriuos būtų galima nustatyti asmenį.
Techninio testavimo planavimas, taisyklės ir vykdymas.
NIST
06Klausimai
Klausimai apie šią paslaugą
Ar ataskaitoje bus įvardyti darbuotojai?
Ne. Rezultatai pateikiami pagal grupes ir scenarijus. Tikslas – pagerinti procesą, o ne rasti kaltų. Žmonių įvardijimas sunaikina jų norą pranešti, o pranešimai – vertingiausia apsaugos priemonė, kokia tik yra.
Ar teisėta siųsti sukčiavimo el. laiškus savo darbuotojams?
Su darbdavio leidimu ir laikantis jūsų jurisdikcijos darbo ir duomenų apsaugos teisės aktų. Kai kuriose šalyse būtina konsultuotis su darbuotojų atstovais. Šį klausimą keliame nustatydami apimtį; teisinį vertinimą atlieka jūsų teisininkai.
Ar renkate tikrus slaptažodžius?
Ne. Pateikti prisijungimo duomenys nesaugomi ir nenaudojami; kampanija užfiksuoja tik patį pateikimo faktą. Jei MFA apėjimas patenka į apimtį, jis demonstruojamas tam sukurtose bandomosiose paskyrose.