Denna första kampanj skapade först en baslinje. Så ja, det är normalt. "Hur står vi som företag? Till vilken nivå behöver vi träna? Har vi som helhet säkra användare eller har vi som helhet osäkra användare?" Denna rapport fastställer detta och i vilken utsträckning ledningen behöver delta i phishing-utbildning. Om bara 5% av användarna skulle falla för phish-försöket skulle utbildningsfokuset vara mycket annorlunda. Som det ser ut, vet nu ledningen att de i huvudsak har ett företagsomfattande problem och att en phish-kampanj i princip har 70% chans att lyckas.

Nu när företaget gör framtida phishing-utbildning kan de jämföra resultat och avgöra om utbildningen lyckades. "Vi föll ursprungligen för det 70% av tiden. Den här gången föll vi för det 68% av tiden. Det var därför inte framgångsrikt." Eller "Vi föll ursprungligen för det 70% av tiden och föll nu för det 50% av tiden. Vi klarar oss bättre men behöver vidareutbildning."

Nej, för genom att ge namn som du tilldelar skulden måste säkerheten gå bort från att skylla på individer och istället ta det som en helhet. Det är detsamma som att hitta en säkerhetsproblem på en webbplats: du ska inte skylla på utvecklaren utan istället försöka förbättra hela processen.

Vi kör nätfiskekampanjer och identifierar inte användare. Vad vi använder det för är att identifiera svaghet från vår sida och att vi behöver utbilda vår personal bättre. Det är ingen mening att fokusera utbildningen på bara en enda person.

Efter en kampanj skickar vi e-post till all personal, ger statistik över misslyckanden / framgång och ger sedan tips för att upptäcka nätfiske och hur man behandlar e-post i allmänhet .

Jag tror att rätt vinkel för att titta på detta är att ställa följande fråga:

Med den mängd människor som misslyckades med testet, vilka (säkerhets) mål skulle uppnås om företaget hade dessa namn?

Jag skulle säga: ingen

Vad är säkerhetsmålet för ett företagsövergripande phishing-test i alla fall?

Vanligtvis i varje företag som litar på IT och har en viss mängd anställda är dessa anställda föremål för informationssäkerhetsutbildningar. Dessa utbildningar täcker mestadels grundläggande ämnen som e-postkommunikation, säkerhet på skrivbordet och så vidare. När ett phishing-test körs vill ledningen veta:

1. om dessa utbildningar lyckades (som i: värt pengarna)
2. om data eller IT-system som tillhör företaget kan äventyras på grund av brist på bra utbildning

Om du som deras entreprenör säger till dem "70% av dina anställda misslyckades med testet", svarar det på de två frågorna ovan. Om ledningen frågar efter namn i ett företag med mer än 300 anställda får de inte mer relevant information och gör inte jobbet korrekt.

Nästa steg är nu att definiera ett nytt säkerhetsmål. Den borde läsa ungefär så här:

"Under de närmaste X månaderna måste varje anställd delta i en säkerhetsutbildning. Vid $ månad på $ år vill vi att $ entreprenör ska genomföra ytterligare ett phishing-test och andelen människor som misslyckas med detta test bör vara under X%. "

Skulle dessa utbildningar vara mer kostnadseffektiva, om bara de anställda var tvungna att delta, som misslyckades phishing-testet? Förmodligen.
Men: du presenterar dem för 30% av företaget (de som inte behöver gå) som "för dumma för att identifiera ett nätfiskeförsök". Vad detta gör för moral uppväger alla kostnader för att bara skicka alla dina anställda till en utbildning. Dessutom: En annan påminnelse till 30% om informationssäkerhet gör inte riktigt ont.
Det finns en annan anledning till att det här är en bra idé: Om du kör ett phishing-test vet du inte varför människor inte faller för det. Kanske läste vissa av dem inte e-postmeddelandet för att de var på semester, sjuka eller bara hoppade över det, för att de har en inkorg full av viktigare mejl. Ingen kan berätta för dig om de klarar testet nästa gång. Anställda är alltid din främsta riskfaktor, träna dem om du kan.

En annan punkt som jag vill nämna som missades hittills i de andra svaren är att beroende på hur du kommunicerar resultaten: de flesta kommer att känna sig själva att de misslyckades med testet .
Du måste informera dina anställda på ett eller annat sätt och jag antar att det är så som de flesta företag gör det: Skicka ett e-postmeddelande över hela företaget med en skärmdump av nätfiske.

"Kära anställda, ledsen att berätta, men det här var ett phishing-test. Det finns ingen gratis båt som väntar på dig. Antalet personer som inte klarade testet var dåliga, det är varför vi kommer att ha några säkerhetsutbildningar inom en snar framtid. En entreprenör gjorde det här för oss och vi samlade inga personuppgifter, så vi vet inte vem som klickade på en länk och vem som inte gjorde det. Phishing-post kan få riktigt dåliga konsekvenser som ... yadda, yadda, yadda .. ".

Folk kontrollerar deras inkorg och om det inte är för länge sedan, kom ihåg vad de gjorde. Detta kommer att öka acceptansen mot en säkerhetsutbildning och en justering av beteendet. Att åberopa rädsla och pressa människor gör inget bra.

Det verkar finnas en viss felkommunikation om syftet med dessa tester.

Att använda identifierare betyder att hitta ansvariga personer , att utbilda och / eller straffa dem. Det kan vara en tydlig parameter i testet att inga personer kan identifieras. I många europeiska länder måste det lokala arbetarrådet eller fackföreningsrepresentanterna gå med på ett sådant test och kan sätta detta som ett villkor.

Att använda statistik betyder att identifiera prestationsindikatorer . Du kan mäta dessa mot varandra för att identifiera, till exempel om du förbättras eller om någon medvetenhetskampanj som du genomförde var effektiv. Du behöver inte identifierade personer för detta och det kan till och med suddiga resultaten.

Slutligen betalar kunden räkningen. Du arbetar för dem, så medan du bör påpeka eventuella yrkesmässiga problem eller tankar du har, såvida det inte strider mot din personliga eller yrkesetiska etik (t.ex. ISACAs etiska standarder om du är medlem), levererar du vad kunden ber om. / p>

För att svara på din fråga:

försämrar detta inte syftet med phishing-kampanjer och förbättrar säkerheten för information i ditt nätverk? Är det till och med normalt?

Nej. Om kunden vill ha en urvattnad version av forskningsresultatet är det i slutändan deras samtal. Men du har alla rättigheter att ge dina bästa råd och ge dem valfrihet.

Är det normalt att möta sådana typer av kundreaktioner? Ja, det kan hända hela tiden, och det kan vara en följd av många saker. Kunden kan ha sina egna osäkerheter (t.ex. om ledningsmedlemmar fångas, hur man hanterar det), eller kanske inte vill minska sina anställda, kanske inte vet hur de ska hantera sin utbildning efteråt när rapporten är offentlig.

Om det är de som betalar för det måste du som rådgivare äntligen respektera deras beslut.

Som en extra sidnot, om något jag märkte :

Jag anklagade dem artigt för att ha markerat en ruta och inte egentligen var intresserade av att utbilda deras användare.

Det finns inget sätt att vara artig att säga vad du just sa. Men det finns andra sätt att säga det utan att stöta på allt fel. Välkommen till politikens värld. Jag ser att de flesta av de andra svaren täckte säkerhetsaspekten, så jag vill täcka den andra subtila politiska aspekten i mitt svar.

Du har synligt mycket god vilja och kunskap, och din kund verkar envis från din ståndpunkt för att inte gå till hela övningen.

Jag hittade det bästa sättet att kommunicera något sådant är att använda något olika sätt att säga det, som kommer att främja din sak utan att nödvändigtvis irritera kunden eller få kunden att känna att du inte låter dem ringa skotten eller om du kritiserar honom och stöter på fel väg.

Här är några sätt som du kunde ha sagt det som troligen skulle ha hjälpt till att främja din vision. Det är all politik och kan studeras separat.

• Det mest politiskt korrekta sättet (maximal utspädning av meddelanden): Vi skulle missa en fantastisk möjlighet om vi utelämnade den delen av övningen. Är du säker på att du vill göra det herr Kund?
• Lite mindre politiskt korrekt men budskapet är mindre utspätt och ändå inte kommer över: Om vi ​​inte går till fullo och låter träningen ske där den beror skulle vi slösa mycket av energi. Är du säker på att du vill göra det herr Kund?

Observera i båda fallen slutade jag med Är du säker på att du vill göra det herr Kund? . Det kallas kraften i valet, lägg tillbaka valet i deras händer i slutet av alla försök att ändra deras beteende eller tänkande.

Om du inte lyckas och de fortfarande inte vill, låt det vara. Du hade inte behörighet hur som helst, allt du kan göra är att ge dem det bästa du kan. Men ändå, i ett annat scenario, kunde du ha påverkat kundens tänkande och fått det på ditt sätt. Men så är det inte alltid.

Jag avslutade just en sådan kampanj (som kund) och ville ha absolut anonymitet för användarna.

Det fanns några anledningar, bland dem var de viktigaste

• integritet, en komplicerad fråga i vissa länder
• det faktum att jag skulle skicka en global anteckning om kampanjen och resultaten

Din kund kan ha haft andra skäl. Du gav dem möjlighet att få fullständiga resultat, eventuellt med några råd. De ville ha den anonyma versionen, deras val.

Obs: ledsen för skrivfel (eller faktiskt - fel autoslutföranden från min telefon) som gjorde mitt första svar ganska konstigt.

Jag förstår helt din önskan att fånga den informationen. Så anonymiser dem. Den allmänna idén är att du tar en MD5-hash av deras lägre e-postadress och tar så många bitar av upplösning som du behöver, och antingen lämnar dem b7R + eller konverterar till "AOL-lösenord" som rakning -pen-osram .

Förbjudet

  John Smith FAIL Frank Frink FAIL Juliana Crain PASS  

Vad du kanske får tillåtas

  Rufus-Castle-Uniform-Enemy FAIL Zion-Lathe-Shoot-Loyal FAIL Flee-Worldly-Variable-Key PASS  

Vad är säkrare fortfarande

  Bucket Stop-Bad 4/6 misslyckades (66%) Bucket Wax-Sax 5/6 misslyckades (83%) Bucket Memory-Egg 4/5 misslyckades (80%)  

Där är två sätt att gå så långt som anonymitet, föreställ dig n bitar kan innehålla antalet anställda (t.ex. anställda = 700 n = 10).

• Du kan gå en några extra bitar, som n +6 bitar, i vilket fall anonymiseringen skulle vara reversibel och den anställde skulle kunna exponeras: Rufus-Castle-Uniform-Enemy vanligtvis hashes bara till jsmith@foo.com ... Gotcha! Det kan finnas ett andra e-postmeddelande, men ju fler bitar, desto mindre sannolikt.
• Du kan gå några för få bitar, som n -3 bitar, i vilket fall den omvända körningen avslöjar Stopp- Dålig hasar ut till jsmith, emccarthy, jcrian, tkido, ctagawa, och ffrink, vilket gör vedergällning omöjlig. Detta slutar skapa en grupp "skopor" som det var.
• du kan salta MD5, men det misslyckas om förföljaren
  • lär sig saltet via en kryptoattack med brute-force
  • befaller dig helt enkelt att vända på det
  • noterar mönstret för aktiviteter som har loggats och härleder användaren

Din oenighet med deras skäl är ett klassiskt arbetsplats.se -problem, men de berättar kanske inte alla sina skäl *. Oavsett måste du följa i din rapport till dem.

Metoderna jag har tillhandahållit här med anonymisering gör att du kan presentera de detaljerade uppgifterna du vill presentera i din rapport, samtidigt som du följer deras direktiv. Du kan antingen göra det i n + -formuläret, vilket gör det möjligt för dem att backspåra till enskilda användare om de verkligen vill - eller den formade skopan, som inte gör det.

Bucketing är ganska värdelöst på 70% om du inte presenterar "I bucket 127 föll 4/6 användare för phishen". Bucketing fungerar bäst när träfffrekvensen är 1/3 av antalet skopor eller mindre, så två träffar i samma skopa är sällsynta. "I 512 hinkar hade 90 hinkar träffar, troligtvis är det 90-95 personer, vilket är det nummer du vill ha.

* som tvister kan jag tänka mig en riktigt stor. Om det var jag, Jag skulle radera de personliga uppgifterna "som en rutin". Att spara allt för alltid är allt roligt och spel tills stämningen kommer.

Jag håller med om att kundens val tycks förhindra möjligheter till förbättringar. Det finns dock ett annat sätt att förbättra.

Låt alla anställda veta ”Vi vet inte vem som föll för det och vem som inte gjorde det, så vi kan inte sparka eller belöna någon. Vi gör dock detta test varje månad och vi kommer att publicera procentsatserna. Om 70% är nere till 20% vid årets slut får alla anställda en bonus. Storleken på bonusen beror på hur mycket under tjugo. För att hjälpa oss att nå det målet kommer det att finnas ett e-postmeddelande varje vecka som läser en teknik för att identifiera nätfiske. Nästa år blir bonusen varje kvartal, men målet blir också mindre varje kvartal. ”