Phishing en social engineering
Het klikpercentage is de verkeerde maatstaf. Er klikt altijd wel iemand, en een ranglijst publiceren van wie dat deed, leert uw mensen het te verbergen. Het getal dat voorspelt hoe een echt incident verloopt, is hoe lang de eerste persoon erover doet om het bericht te melden - en of er dan ook iets gebeurt.
Wat is inbegrepen
- Voorwendsels opgebouwd uit wat publiek vindbaar is over u
- Een afgesproken doelgroepenlijst, met uitsluiting van wie u wilt
- Infrastructuur die voor de oefening wordt opgezet en daarna weer afgebroken
- Meting van aflevering, interactie, invoer van inloggegevens en melding
- Optionele landingspagina zonder payload, gericht op bewustwording in plaats van toegang
Wat u krijgt
- Tijd tot de eerste melding, het belangrijkste getal
- Aflever- en interactiepercentages in aggregaat, nooit een lijst met namen
- Wat uw mailfiltering tegenhield en wat erdoorheen kwam
- Wat er in de securitywachtrij gebeurde toen iemand het wél meldde
- Bewustwordingsaanbevelingen gericht op het proces, niet op individuen
- Verklaringsbrief voor auditors en klanten, op verzoek
- Herstelverklaring na de hertest, als zelfstandig document
Vorm van de opdracht
- Per geval afgebakendVóór aanvang van de tests schriftelijk vastgelegd. 1 tot 3 weken, inclusief het meldvensterGebruikelijk venster. Opgebouwd rond uw deadline als u die hebt. Hoe de prijsbepaling werkt
Gemeld, niet geklikt
Wij rapporteren geaggregeerde cijfers aan u en overhandigen geen lijst van wie er klikte. Dat is een bewuste beperking en die is alleen bespreekbaar in de richting van méér privacy, niet minder. De reden is praktisch, niet principieel: een oefening die een disciplinaire lijst oplevert, levert medewerkers op die de volgende echte phishing verzwijgen - precies de faalwijze die u wilt voorkomen.
Wat we wél precies meten, is het meldpad. Hoe lang tot de eerste melding, via welk kanaal, en wat er daarna gebeurde. Een organisatie waar veertig procent klikt maar de eerste melding binnen negentig seconden binnenkomt en een reactie uitlokt, staat er veel beter voor dan een waar vijf procent klikt en niemand iets zegt.
Autorisatie en grenzen
Schriftelijke toestemming van iemand die die namens de geteste personen kan geven, een expliciete doelgroepenlijst, een expliciete uitsluitingslijst en een vastgesteld venster. Geen voorwendsels die zich voordoen als een echte, met name genoemde medewerker, een toezichthouder, een zorgverlener of iets wat raakt aan een echte persoonlijke noodsituatie. Geen verzameling van inloggegevens verder dan het feit dát er inloggegevens zijn ingevoerd: we leggen vast dat het gebeurde, niet wat het was.
Waar het onderzoek vandaan komt
De kwaliteit van het voorwendsel bepaalt het verschil tussen een oefening die iets bijbrengt en een die iedereen doorziet. Wij bouwen voorwendsels op uit wat werkelijk vindbaar is over uw organisatie - dezelfde open bronnen die een aanvaller zou gebruiken, wat op zichzelf al een bevinding is wanneer het vindbare oppervlak groter blijkt dan u dacht. Achter dit werk ligt gepubliceerd onderzoek naar phishingtechnieken en misbruik van vertrouwde infrastructuur.
Vragen
Nee, en dat is bewust. U krijgt geaggregeerde percentages en een gedetailleerd beeld van het meldpad. Individuen noemen levert betrouwbaar medewerkers op die de volgende echte phishingmail verzwijgen, wat u meer kost dan de oefening oplevert.
Realistische, opgebouwd uit openlijk vindbare informatie over uw organisatie. Nooit door zich voor te doen als een echte, met name genoemde medewerker, een toezichthouder, een zorgverlener of een persoonlijke noodsituatie. De grenzen worden vastgelegd in de regels van opdracht voordat er iets wordt verzonden.
Wij leggen vast dat er inloggegevens zijn ingevoerd. Wij slaan de inloggegevens zelf niet op. De landingspagina kan ook helemaal zonder invoerveld voor inloggegevens worden ingericht als bewustwording het doel is.
Telefonische voorwendsels kunnen in de scope worden opgenomen waar dat in de betrokken jurisdicties rechtmatig is en schriftelijk is geautoriseerd. Fysieke inbraak maakt geen deel uit van deze opdracht.
Per geval, op basis van de omvang van de doelgroepenlijst, het aantal voorwendsels en de lengte van het venster.
Baken het goed af voordat u het koopt.
Dertig minuten aan de telefoon, een vaste prijs op papier binnen 24 uur, en een eerlijk antwoord als dit niet de opdracht is die u nodig hebt.