Pat labākais ugunsmūris nepalīdz, ja uzbrucējs pierunā kādu no darbiniekiem pašu atvērt durvis. Sociālā inženierija vēršas pret cilvēku, nevis pret tehnoloģiju – pret uzticēšanos, vēlmi palīdzēt un bailēm kļūdīties. Uzbrucēji labi zina, ka tieši šeit pretestība ir vismazākā.
Strādājam tāpat kā uzbrucēji: izsūtām tās pašas vēstules, piezvanām un nosūtām īsziņas, bet pēc tam parādām, kurā vietā process pārtrūka un ko tajā ir vērts mainīt. Mērķis nav pieķert vainīgos, bet panākt, ka nākamo šādu vēstuli komanda atpazīst un par to paziņo.
Tvērumu, scenārijus un ziņojuma formu saskaņojam pirms kampaņas sākuma. Scenārijus izspēlē ētiskie hakeri, kas strādā ar rakstisku atļauju, un ārpus saskaņotā nekas nenotiek.
Vienojamies par pārbaudes mērķi un uzrakstām scenārijus, kas atbilst jūsu uzņēmuma un nozares reāliem draudiem. Tekstus gatavojam latviešu valodā, katrai nodaļai atsevišķi.
Saskaņotajā laikā izsūtām kampaņu pa e-pastu, telefonu vai īsziņām. Visu notikušo fiksējam klusi un neiejaucoties ikdienas darbā.
Pēc kampaņas saņemsiet detalizētu ziņojumu. Ne tikai skaitļus: aprakstām, kurš kā reaģēja un kāpēc, kāda ir tendence un kur risks ir vislielākais.
Ziņojumā ir arī konkrēti ieteikumi: ko mainīt procesos un kur pastiprināt tehnisko aizsardzību. Balstoties uz rezultātiem, sagatavojam darbinieku kiberdrošības apmācības, kas maina paradumus, nevis papildina teoriju.
Ziņojumā ir redzams, cik daudzi vēstuli atvēra, cik uzklikšķināja, cik ievadīja paroli un cik par uzbrukumu paziņoja. Datus sadalām pa komandām, tāpēc tālāk seko nevis kārtējā vispārīgā prezentācija, bet mērķētas apmācības tur, kur tās tiešām vajadzīgas. Nākamajā kampaņā jau var izmērīt, vai jūsu organizācijā kaut kas ir mainījies.
Sagatavota komanda ir visiedarbīgākā aizsardzība pret sociālo inženieriju. Darbinieku kiberdrošības apmācības pie mums nav prezentācija par to, kas ir pikšķerēšana. Kopā izejam cauri tām vēstulēm, ko darbinieki dažas nedēļas iepriekš tiešām saņēma un atvēra.
Nodarbībā dalībnieki uzzina:
Rezultāts nav teorija, bet reflekss: atpazīt uzbrukumu un par to paziņot, pirms tas paspēj nodarīt zaudējumus.
Klientu atsauksmes
Ja bezmaksas iespēja vēl nav izmantota, sāciet ar to – viena kampaņa parāda, vai darbinieki uzklikšķina. Mūsu darbs sākas tālāk: vairāki viļņi gada garumā, teksti latviešu valodā katrai nodaļai atsevišķi, rādītāji pa komandām, salīdzinājums ar iepriekšējo reizi un tehniska pārbaude, ko ar iegūto paroli tiešām var izdarīt. Uz šiem jautājumiem vienreizējs mērījums neatbild.
Aktīvā daļa parasti ilgst 1–3 dienas. Viss projekts – no sagatavošanas līdz ziņojumam – aizņem 1–2 nedēļas atkarībā no scenāriju skaita un adresātu loka.
Divas līdz četras reizes gadā. Uzbrucēji nepārtraukti maina savas sagataves, un uzmanība atslābst jau dažas nedēļas pēc apmācībām. Regulāras kampaņas parāda arī to, vai efekts noturas, vai arī paradums ir atgriezies iepriekšējā līmenī.
Kampaņas laikā ne, citādi mērījumam nebūtu jēgas. Pēc tam gan: tas, kurš uzklikšķināja, saņem īsu paskaidrojumu, ka tā bija saskaņota pārbaude, un norādi, pēc kā viltoto ziņu varēja atpazīt. To, kad un kādā formā darbinieki par pārbaudi uzzina, saskaņojam iepriekš – kopā ar personāla daļu un datu aizsardzības speciālistu. Kampaņā tiek apstrādāti darbinieku personas dati, tāpēc apstrādes pamatu un glabāšanas termiņus fiksējam līgumā.
Ne tad, ja kampaņa nemeklē vainīgos. Ziņojumā vārdu nav: rezultātu atklājam apkopotu pa komandām un aiznesam uz apmācībām, nevis uz darba izpildes vērtēšanu. Kas reiz no iekšpuses ir redzējis labi sagatavotu uzbrukumu, tas par nākamo aizdomīgo vēstuli paziņo pats.
Masveida kampaņas tie lielākoties noķer. Konkrētam uzņēmumam rakstītu vēstuli – nē: tajā nav ļaunatūras, nav zināma slikta domēna, ir tikai ticams lūgums no ticama sūtītāja. Šo plaisu sašaurina nevis tehnoloģija, bet treniņš.
No adresātu skaita, no tā, cik scenārijus un kanālus izmantojam, cik viļņu paredzēts gada laikā un vai kampaņai seko klātienes apmācības. Tvērumu un cenu saskaņojam pirms darba sākuma, un ārpus saskaņotā papildu rēķinu nav.
