Kontrolowane kampanie phishingowe, telefoniczne i w komunikatorach, które mierzą reakcję ludzi i procesów, z wynikami według grup, nigdy według nazwisk.
Większość włamań nadal zaczyna się od człowieka: przekonującego e-maila, telefonu od kogoś, kto podaje się za wsparcie IT, wiadomości od przełożonego, który rzekomo jest na spotkaniu. Zabezpieczenia techniczne odfiltrowują część z tego. Reszta zależy od tego, czy ludzie rozpoznają próbę i czy proces daje im sposób, by ją zgłosić.
Prowadzimy kampanie przygotowane tak, jak przygotowują je prawdziwi atakujący, a każdy scenariusz zatwierdzasz z wyprzedzeniem. Mierzymy to, co ważne: nie tylko kto kliknął, ale też kto zgłosił próbę, jak szybko zgłoszenie dotarło do zespołu bezpieczeństwa i co zespół z nim zrobił.
01Zakres
Co testujemy
Phishing e-mailowy: przechwytywanie danych logowania, załączniki, linki
Kampanie ukierunkowane na osoby z podwyższonymi uprawnieniami
Telefony do helpdesku i do pracowników
Komunikatory i platformy do współpracy
Uwierzytelnianie wieloskładnikowe: phishing w czasie rzeczywistym i zasypywanie powiadomieniami push, jeśli zostało to uzgodnione
Procedury helpdesku: weryfikacja tożsamości przed resetem hasła lub MFA
Kanał zgłaszania: czy zgłoszenie dociera do zespołu bezpieczeństwa i jak szybko
02Podejście
Jak przebiega praca
01
Projekt scenariuszy
Scenariusze są pisane i zatwierdzane pojedynczo. Żaden scenariusz nie wykorzystuje gróźb, trudnej sytuacji osobistej ani zdrowia i żaden nie jest wymierzony w prywatne konta ani urządzenia.
02
Przygotowanie
Domeny i infrastrukturę przygotowujemy specjalnie na kampanię. Ty decydujesz, czy test mierzy tylko ludzi, czy ludzi razem z filtrami poczty.
03
Kampania
Wiadomości i telefony wychodzą falami. Zespół nadzorujący w Twojej organizacji otrzymuje informację o każdej fali.
04
Analiza
Wyniki agregujemy według grup i scenariuszy. Raport nie zawiera nazwisk ani danych, które pozwalają zidentyfikować konkretną osobę.
Planowanie i wykonywanie testów technicznych oraz zasady ich prowadzenia.
NIST
06Pytania
Pytania o tę usługę
Czy nazwiska pracowników pojawią się w raporcie?
Nie. Wyniki podajemy według grup i scenariuszy. Celem jest usprawnienie procesu, a nie szukanie winnych. Wskazywanie ludzi z nazwiska niszczy ich gotowość do zgłaszania, a zgłaszanie to najcenniejsze zabezpieczenie, jakie istnieje.
Czy wysyłanie e-maili phishingowych do własnych pracowników jest zgodne z prawem?
Jest, jeśli odbywa się z upoważnienia pracodawcy i w granicach prawa pracy oraz prawa ochrony danych, którym podlegasz. W niektórych krajach trzeba skonsultować się z przedstawicielami pracowników. Poruszamy tę kwestię podczas ustalania zakresu; ocenę prawną przeprowadzają Twoi prawnicy.
Czy zbieracie prawdziwe hasła?
Nie. Wpisanych danych logowania nie przechowujemy ani nie używamy; kampania rejestruje wyłącznie fakt, że dane zostały wpisane. Jeśli zakres obejmuje obejście MFA, demonstrujemy je na kontach testowych utworzonych w tym celu.
Ukierunkowana na cel symulacja prawdziwego przeciwnika, wymierzona w ludzi, procesy i technologię, która sprawdza, czy atak zostałby wykryty i zatrzymany.