Фишинг и социальная инженерия
Доля кликов - неверный показатель. Кто-нибудь кликнет всегда, а публикация списка тех, кто это сделал, учит сотрудников скрывать такие случаи. Число, которое предсказывает ход реального инцидента, - это сколько времени проходит до того, как первый человек сообщит о письме, и происходит ли вообще что-нибудь, когда он это делает.
Что входит
- Разработка сценариев на основе того, что публично находимо о вас
- Согласованный список адресатов, с исключением любого по запросу
- Инфраструктура, развёрнутая под упражнение и свёрнутая после него
- Измерение доставки, взаимодействия, ввода учётных данных и сообщений о попытке
- По желанию - посадочная страница без полезной нагрузки, нацеленная на осведомлённость, а не на доступ
Что вы получаете
- Время до первого сообщения - это главный показатель
- Доли доставки и взаимодействия в агрегированном виде, никогда списком с именами
- Что ваша фильтрация почты задержала и что пропустила
- Что произошло в очереди службы безопасности, когда кто-то всё-таки сообщил
- Рекомендации по осведомлённости, нацеленные на процесс, а не на людей
- Письмо-подтверждение для аудиторов и клиентов, по запросу
- Подтверждение устранения после повторной проверки, отдельным документом
Форма проекта
- Объём определяется индивидуальноФиксируется письменно до начала тестирования. От 1 до 3 недель, включая окно для сообщенийТипичное окно. Выстраивается вокруг вашего срока, если он есть. Как формируется цена
Сообщили, а не кликнули
Мы передаём вам агрегированные цифры и не выдаём список тех, кто кликнул. Это намеренное ограничение, и оно обсуждаемо только в сторону большей приватности, но не меньшей. Причина практическая, а не принципиальная: упражнение, порождающее список для взысканий, порождает коллектив, который скроет следующий настоящий фишинг, - а это ровно тот сценарий отказа, который вы пытаетесь предотвратить.
Что мы действительно измеряем точно - это путь сообщения. Сколько времени до первого сообщения, по какому каналу и что произошло дальше. Организация, где кликают сорок процентов, но первое сообщение приходит за девяносто секунд и запускает реакцию, находится в куда лучшем состоянии, чем та, где кликают пять процентов и никто никому ничего не говорит.
Авторизация и границы
Письменная авторизация от того, кто вправе дать её за тестируемых людей, явный список адресатов, явный список исключений и определённое окно. Никаких сценариев, выдающих себя за реального названного сотрудника, регулятора, медицинскую организацию или что-либо, затрагивающее настоящую личную чрезвычайную ситуацию. Никакого сбора учётных данных сверх самого факта их ввода: мы фиксируем, что это произошло, но не что именно было введено.
Откуда берётся исследование
Качество сценария - это разница между упражнением, которое чему-то учит, и тем, которое все раскусывают. Мы строим сценарии из того, что действительно находимо о вашей организации, по тем же открытым источникам, которыми воспользовался бы злоумышленник, - и это само по себе становится находкой, когда находимая поверхность оказывается шире, чем вы ожидали. За этой работой стоят опубликованные исследования приёмов фишинга и злоупотребления доверенной инфраструктурой.
Вопросы
Нет, и это намеренно. Вы получаете агрегированные доли и подробную картину пути сообщения. Называние конкретных людей надёжно порождает коллектив, который скроет следующее настоящее фишинговое письмо, а это обходится дороже, чем приносит упражнение.
Реалистичные, построенные на открыто находимой информации о вашей организации. Никогда не выдавая себя за реального названного сотрудника, регулятора, медицинскую организацию или личную чрезвычайную ситуацию. Границы прописываются в правилах проведения работ до того, как что-либо будет отправлено.
Мы фиксируем, что учётные данные были введены. Сами учётные данные мы не храним. Посадочную страницу можно настроить и вовсе без поля для учётных данных, если цель - осведомлённость.
Телефонные сценарии можно включить в объём там, где это законно в соответствующих юрисдикциях и разрешено письменно. Физическое проникновение в этот проект не входит.
Индивидуально: по размеру списка адресатов, числу сценариев и длительности окна.
Определите объём как следует до того, как покупать.
Тридцать минут разговора, письменная фиксированная цена в течение 24 часов и честный ответ, если это не тот проект, который вам нужен.