Kontrollerade kampanjer med nätfiske, telefonsamtal och meddelanden som mäter hur människor och processer reagerar, med resultat per grupp och aldrig per namn.
De flesta intrång börjar fortfarande med en människa: ett övertygande e-postmeddelande, ett samtal från någon som påstår sig vara IT-supporten, ett meddelande från en chef som sägs sitta i möte. Tekniska skydd filtrerar bort en del av det. Resten beror på om människor känner igen försöket och om processen ger dem ett sätt att rapportera det.
Vi genomför kampanjer som är uppbyggda så som verkliga angripare bygger dem, med varje scenario godkänt av dig i förväg, och mäter det som spelar roll: inte bara vem som klickade, utan vem som rapporterade, hur snabbt rapporten nådde säkerhetsteamet och vad teamet gjorde med den.
01Omfattning
Vad vi testar
Nätfiske via e-post: insamling av inloggningsuppgifter, bilagor, länkar
Riktade kampanjer mot roller med utökad åtkomst
Telefonsamtal till helpdesken och till anställda
Meddelandetjänster och samarbetsplattformar
Flerfaktorsautentisering: nätfiske i realtid och push-trötthet, där det har avtalats
Helpdeskens rutiner: verifiering av identitet före återställning av lösenord eller MFA
Rapporteringskanal: om en rapport når säkerhetsteamet, och hur snabbt
02Arbetssätt
Så utförs arbetet
01
Utformning av scenarier
Scenarierna skrivs och godkänns ett i taget. Inget scenario använder hot, personliga svårigheter eller hälsa, och inget riktar sig mot privata konton eller enheter.
02
Förberedelser
Domäner och infrastruktur förbereds för kampanjen. Du bestämmer om testet ska mäta bara människorna eller människorna tillsammans med e-postfiltren.
03
Kampanj
Meddelanden och samtal går ut i omgångar. Kontrollgruppen i din organisation informeras om varje omgång.
04
Analys
Resultaten sammanställs per grupp och per scenario. Rapporten innehåller inga namn och inga uppgifter som identifierar en enskild person.
Planering, uppdragsregler och genomförande av teknisk testning.
NIST
06Frågor
Frågor om den här tjänsten
Kommer anställda att namnges i rapporten?
Nej. Resultaten redovisas per grupp och scenario. Syftet är att förbättra processen, inte att hitta någon att skylla på. Att peka ut personer förstör deras vilja att rapportera, och rapportering är det mest värdefulla skydd som finns.
Är det lagligt att skicka nätfiskemeddelanden till våra egna anställda?
Med arbetsgivarens tillstånd och inom arbetsrätten och dataskyddslagstiftningen i din jurisdiktion. I vissa länder måste arbetstagarrepresentanter konsulteras. Vi tar upp frågan när omfattningen fastställs; den juridiska bedömningen görs av dina jurister.
Samlar ni in riktiga lösenord?
Nej. Inskickade inloggningsuppgifter lagras inte och används inte; kampanjen registrerar bara att något skickades in. Där ett kringgående av MFA ingår i omfattningen demonstreras det på testkonton som har skapats för ändamålet.