Kontrollerte kampanjer med phishing, telefonsamtaler og meldinger som måler hvordan mennesker og prosesser reagerer, med resultater per gruppe og aldri per navn.
De fleste inntrengninger begynner fortsatt med et menneske: en overbevisende e-post, en telefon fra en som utgir seg for å være IT-støtte, en melding fra en leder som visstnok sitter i møte. Tekniske kontroller filtrerer bort en del av dette. Resten avhenger av om menneskene kjenner igjen forsøket, og om prosessen gir dem en måte å rapportere det på.
Vi gjennomfører kampanjer som er bygget slik virkelige angripere bygger dem, med hvert scenario godkjent av deg på forhånd, og måler det som betyr noe: ikke bare hvem som klikket, men hvem som rapporterte, hvor raskt rapporten nådde sikkerhetsteamet, og hva teamet gjorde med den.
01Omfang
Hva vi tester
Phishing via e-post: innhenting av påloggingsinformasjon, vedlegg, lenker
Målrettede kampanjer mot roller med utvidet tilgang
Telefonsamtaler til brukerstøtten og til ansatte
Meldingstjenester og samarbeidsplattformer
Flerfaktorautentisering: phishing i sanntid og push-tretthet, der det er avtalt
Rutinene til brukerstøtten: verifisering av identitet før tilbakestilling av passord eller MFA
Rapporteringskanal: om en rapport når sikkerhetsteamet, og hvor raskt
02Fremgangsmåte
Slik utføres arbeidet
01
Utforming av scenarioer
Scenarioene skrives og godkjennes ett for ett. Ingen scenarioer bruker trusler, personlige vanskeligheter eller helse, og ingen retter seg mot private kontoer eller enheter.
02
Forberedelser
Domener og infrastruktur forberedes for kampanjen. Du bestemmer om testen skal måle menneskene alene eller menneskene sammen med e-postfiltrene.
03
Kampanje
Meldinger og samtaler sendes ut i bølger. Kontrollgruppen i virksomheten din informeres om hver bølge.
04
Analyse
Resultatene samles per gruppe og per scenario. Rapporten inneholder ingen navn og ingen data som identifiserer en enkeltperson.
Planlegging, regler for gjennomføring og utførelse av teknisk testing.
NIST
06Spørsmål
Spørsmål om denne tjenesten
Blir ansatte navngitt i rapporten?
Nei. Resultatene rapporteres per gruppe og scenario. Formålet er å forbedre prosessen, ikke å finne noen å legge skylden på. Å navngi folk ødelegger viljen deres til å rapportere, og rapportering er den mest verdifulle kontrollen som finnes.
Er det lovlig å sende phishing-e-post til våre egne ansatte?
Med tillatelse fra arbeidsgiveren og innenfor arbeidsretten og personvernlovgivningen i landet ditt. I noen land må de tillitsvalgte høres. Vi tar opp spørsmålet når omfanget avklares; den juridiske vurderingen gjøres av juristene dine.
Samler dere inn ekte passord?
Nei. Påloggingsinformasjon som sendes inn, lagres ikke og brukes ikke; kampanjen registrerer bare at noe ble sendt inn. Der omgåelse av MFA er innenfor omfanget, demonstreres den på testkontoer som er opprettet for formålet.