Phishing und Social Engineering
Die Klickrate ist die falsche Kennzahl. Jemand klickt immer, und eine Rangliste derjenigen, die es taten, bringt Ihren Beschäftigten bei, es zu verbergen. Die Zahl, die vorhersagt, wie ein echter Vorfall verläuft, ist, wie lange die erste Person braucht, um die Nachricht zu melden - und ob dann überhaupt etwas passiert.
Was enthalten ist
- Entwicklung von Vorwänden auf Basis dessen, was öffentlich über Sie auffindbar ist
- Eine vereinbarte Zielliste, mit Ausschluss einzelner Personen auf Wunsch
- Für die Übung aufgebaute Infrastruktur, die danach wieder abgebaut wird
- Messung von Zustellung, Interaktion, Eingabe von Zugangsdaten und Meldung
- Optionale Landing-Page ohne Payload, für Sensibilisierung statt Zugriff
Was Sie erhalten
- Zeit bis zur ersten Meldung - die zentrale Kennzahl
- Zustell- und Interaktionsraten aggregiert, niemals als Namensliste
- Was Ihre Mail-Filterung abgefangen und was sie durchgelassen hat
- Was in der Sicherheits-Queue geschah, als jemand es tatsächlich meldete
- Empfehlungen zur Sensibilisierung, die auf den Prozess zielen, nicht auf Einzelpersonen
- Attestierungsschreiben für Auditoren und Kunden, auf Anfrage
- Behebungsnachweis nach dem Retest, als eigenständiges Dokument
Zuschnitt des Projekts
- Individuell beauftragtVor Testbeginn schriftlich fixiert. 1 bis 3 Wochen einschließlich des MeldefenstersÜbliches Zeitfenster. Ausgerichtet an Ihrer Frist, sofern Sie eine haben. Wie die Preisgestaltung funktioniert
Gemeldet, nicht geklickt
Wir berichten Ihnen aggregierte Zahlen und übergeben keine Liste derjenigen, die geklickt haben. Das ist eine bewusste Einschränkung und verhandelbar nur in Richtung mehr Privatsphäre, nicht weniger. Der Grund ist praktischer, nicht prinzipieller Natur: Eine Übung, die eine Liste für Disziplinarmaßnahmen erzeugt, erzeugt eine Belegschaft, die das nächste echte Phishing verschweigt - und genau das ist der Fehlermodus, den Sie verhindern wollen.
Was wir hingegen präzise messen, ist der Meldeweg. Wie lange bis zur ersten Meldung, über welchen Kanal, und was danach geschah. Eine Organisation, in der vierzig Prozent klicken, die erste Meldung aber nach neunzig Sekunden eintrifft und eine Reaktion auslöst, steht deutlich besser da als eine, in der fünf Prozent klicken und niemand jemandem etwas sagt.
Autorisierung und Grenzen
Eine schriftliche Autorisierung von jemandem, der sie für die getesteten Personen erteilen kann, eine ausdrückliche Zielliste, eine ausdrückliche Ausschlussliste und ein definiertes Zeitfenster. Keine Vorwände, die eine reale, namentlich genannte Person, eine Aufsichtsbehörde, einen medizinischen Dienstleister oder irgendetwas mit einem echten persönlichen Notfall imitieren. Keine Erfassung von Zugangsdaten über die Tatsache hinaus, dass Zugangsdaten eingegeben wurden; wir halten fest, dass es geschah, nicht was es war.
Woher die Recherche stammt
Die Qualität des Vorwands entscheidet darüber, ob eine Übung etwas vermittelt oder ob sie jeder durchschaut. Wir bauen Vorwände aus dem, was tatsächlich über Ihre Organisation auffindbar ist - aus denselben offenen Quellen, die ein Angreifer nutzen würde. Das ist zugleich selbst eine Feststellung, wenn die auffindbare Oberfläche größer ausfällt als erwartet. Hinter dieser Arbeit steht veröffentlichte Recherche zu Phishing-Handwerk und zum Missbrauch vertrauenswürdiger Infrastruktur.
Fragen
Nein, und das ist Absicht. Sie erhalten aggregierte Raten und ein detailliertes Bild des Meldewegs. Einzelpersonen zu benennen, erzeugt zuverlässig eine Belegschaft, die die nächste echte Phishing-Mail verschweigt - das kostet Sie mehr, als die Übung einbringt.
Realistische, gebaut aus offen auffindbaren Informationen über Ihre Organisation. Niemals mit Imitation einer realen, namentlich genannten Person, einer Aufsichtsbehörde, eines Gesundheitsdienstleisters oder eines persönlichen Notfalls. Die Grenzen werden in den Rules of Engagement festgeschrieben, bevor irgendetwas versendet wird.
Wir halten fest, dass Zugangsdaten eingegeben wurden. Die Zugangsdaten selbst speichern wir nicht. Die Landing-Page kann auch ganz ohne Eingabefeld für Zugangsdaten konfiguriert werden, wenn Sensibilisierung das Ziel ist.
Telefonische Vorwände können beauftragt werden, soweit sie in den betreffenden Rechtsordnungen zulässig und schriftlich autorisiert sind. Physisches Eindringen ist nicht Teil dieses Projekts.
Individuell, nach Größe der Zielliste, Anzahl der Vorwände und Länge des Zeitfensters.
Bemessen Sie den Scope sauber, bevor Sie kaufen.
Dreißig Minuten im Gespräch, ein schriftlicher Festpreis innerhalb von 24 Stunden - und eine ehrliche Antwort, falls das nicht das Projekt ist, das Sie brauchen.