Phishing dan rekayasa sosial
Tingkat klik adalah metrik yang keliru. Selalu ada yang mengeklik, dan menerbitkan papan peringkat siapa saja yang mengeklik justru mengajari staf Anda untuk menyembunyikannya. Angka yang memprediksi jalannya insiden nyata adalah berapa lama orang pertama melaporkan pesan itu, dan apakah ada yang terjadi ketika mereka melapor.
Yang termasuk
- Penyusunan skenario berdasarkan apa yang dapat ditemukan secara publik tentang Anda
- Daftar sasaran yang disepakati, dengan pengecualian siapa pun atas permintaan
- Infrastruktur yang disiapkan untuk latihan dan dibongkar sesudahnya
- Pengukuran pengiriman, interaksi, pengisian kredensial, dan pelaporan
- Halaman arahan tanpa muatan sebagai opsi, untuk penyadaran alih-alih akses
Yang Anda dapatkan
- Waktu sampai laporan pertama, yang merupakan angka utamanya
- Tingkat pengiriman dan interaksi secara agregat, tidak pernah sebagai daftar bernama
- Apa yang ditangkap dan apa yang diloloskan penyaringan surel Anda
- Apa yang terjadi di antrean keamanan ketika seseorang benar-benar melapor
- Rekomendasi penyadaran yang menyasar proses, bukan individu
- Surat atestasi untuk auditor dan pelanggan, bila diminta
- Atestasi perbaikan setelah uji ulang, sebagai dokumen tersendiri
Bentuk proyeknya
- Dilingkupi secara individualDitetapkan tertulis sebelum pengujian dimulai. 1 sampai 3 minggu termasuk jendela pelaporanJendela umum. Disusun mengikuti tenggat Anda bila ada. Bagaimana penetapan harga bekerja
Dilaporkan, bukan diklik
Kami melaporkan angka agregat kepada Anda dan tidak menyerahkan daftar siapa yang mengeklik. Itu batasan yang disengaja dan hanya bisa dinegosiasikan ke arah privasi yang lebih besar, bukan sebaliknya. Alasannya praktis, bukan prinsipiil: latihan yang menghasilkan daftar untuk sanksi akan menghasilkan staf yang menyembunyikan phishing sungguhan berikutnya - persis mode kegagalan yang hendak Anda cegah.
Yang justru kami ukur dengan cermat adalah jalur pelaporan. Berapa lama sampai laporan pertama, lewat saluran apa, dan apa yang terjadi setelahnya. Organisasi dengan empat puluh persen yang mengeklik tetapi laporan pertamanya masuk dalam sembilan puluh detik dan memicu respons berada dalam kondisi jauh lebih baik daripada organisasi dengan lima persen yang mengeklik tetapi tak seorang pun memberi tahu siapa pun.
Otorisasi dan batasan
Otorisasi tertulis dari pihak yang berwenang memberikannya bagi orang-orang yang diuji, daftar sasaran yang eksplisit, daftar pengecualian yang eksplisit, dan jendela waktu yang ditetapkan. Tidak ada skenario yang menyamar sebagai karyawan nyata yang disebut namanya, regulator, penyedia layanan medis, atau apa pun yang menyentuh keadaan darurat pribadi yang sungguhan. Tidak ada pengumpulan kredensial melampaui fakta bahwa sebuah kredensial telah dikirim; kami mencatat bahwa itu terjadi, bukan apa isinya.
Dari mana risetnya berasal
Kualitas skenario adalah pembeda antara latihan yang mengajarkan sesuatu dan latihan yang langsung ketahuan semua orang. Kami menyusun skenario dari apa yang benar-benar dapat ditemukan tentang organisasi Anda, dari sumber terbuka yang sama yang akan dipakai penyerang - dan itu sendiri menjadi temuan ketika permukaan yang dapat ditemukan ternyata lebih luas daripada dugaan Anda. Di balik pekerjaan ini ada riset terpublikasi tentang teknik phishing dan penyalahgunaan infrastruktur tepercaya.
Pertanyaan
Tidak, dan itu disengaja. Anda menerima tingkat agregat dan gambaran rinci tentang jalur pelaporan. Menyebut nama individu secara konsisten menghasilkan staf yang menyembunyikan surel phishing sungguhan berikutnya, dan itu lebih mahal daripada manfaat latihannya.
Skenario realistis yang dibangun dari informasi tentang organisasi Anda yang terbuka dan dapat ditemukan. Tidak pernah menyamar sebagai karyawan nyata yang disebut namanya, regulator, penyedia layanan kesehatan, atau keadaan darurat pribadi. Batasannya dituliskan dalam aturan pelaksanaan sebelum apa pun dikirim.
Kami mencatat bahwa sebuah kredensial telah dikirim. Kami tidak menyimpan kredensialnya sendiri. Halaman arahan juga bisa dikonfigurasi tanpa kolom kredensial sama sekali bila tujuannya penyadaran.
Skenario lewat suara dapat dilingkupi di tempat hal itu legal dalam yurisdiksi terkait dan diizinkan secara tertulis. Penyusupan fisik bukan bagian dari proyek ini.
Secara individual, berdasarkan ukuran daftar sasaran, jumlah skenario, dan panjang jendela waktu.
Lingkupi dengan benar sebelum Anda membelinya.
Tiga puluh menit panggilan, harga tetap tertulis dalam 24 jam, dan jawaban jujur bila ini bukan proyek yang Anda butuhkan.