בחרו התנהגות אחת שהעסק צריך לשפר
תרחיש שינוי פרטי ספק בוחן תהליך שונה מהודעת כניסה חשודה לדואר. בחרו פעולה מוגדרת ורשמו מהי התוצאה הרצויה: שימוש בפרט קשר מוכר, דיווח לאחראי או הימנעות מאישור הרשאה שלא הובנה. תרגיל שמנסה לבחון הכול יחד מקשה להבין איזה פער באמת נמצא.
קבעו מי מאשר את התרגול, מי מנחה ומי מטפל אם מזוהה במהלכו אירוע אמיתי. אין צורך להתחיל במערכת קמפיינים או בשליחה לכל העובדים. בצוות קטן אפשר לבדוק תחילה אם כולם יודעים למי לפנות ומה עושים כשהאחראי אינו זמין. לא מציגים את הדיון כהוכחה שכל העובדים עמידים לפישינג.
התחילו בתרחיש שולחני עם נתונים מלאכותיים
הציגו הודעת דוגמה שאינה מחוברת לדף כניסה, לבנק או לכתובת של גורם חיצוני. המשתתפים מתארים מה היו עושים ומאיפה היו מביאים פרט קשר לאימות. זו דרך לבדוק נוהל בלי לאסוף סוד או ליצור פעולה חיה. התרחיש מסומן בדיעבד כחומר תרגול ונשמר בהתאם למטרת הלמידה.
הטבלה היא תבנית מקורית. היא אינה קמפיין מוכן לשליחה, והמדדים בה אינם נתוני מחקר. בוחרים את הסימולציה לפי מה שהעסק מסוגל לבצע ולבדוק בצורה מורשית, ולא לפי מידת ההפתעה שאפשר ליצור.
| מטרה | שאלה בתרגיל | פעולת שיפור אפשרית |
|---|---|---|
| אימות שינוי ספק | מאין מביאים מספר מוכר | תחזוקת רשומת ספק ואחראי |
| דיווח על קישור | למי פונים ומה מתעדים | פרסום ערוץ דיווח קצר וברור |
| אישור הרשאת יישום | מי בודק מה הגישה מאפשרת | הגדרת מאשר והיקף הרשאות |
| היעדר מנהל | מי מקבל החלטה חלופית | מינוי מחליף מוסמך |
| מעבר לטלפון | אילו בדיקות נשמרות במכשיר אחר | הנחיה מתאימה לעבודה במובייל |
לסימולציה פעילה נדרשת הכנה נפרדת
שליחת הודעה מדומה לעובדים מצריכה תכנון של קהל, תזמון, ערוץ, איסוף נתונים והרשאות. קובעים מראש איך מונעים שליחות ללקוחות או לאנשים שלא נכללו, ומה קורה אם ההודעה מגיעה הלאה. אין להשתמש בנושא אישי רגיש או במצב חירום מפחיד כדי להגדיל שיעור הקלקה.
לא אוספים סיסמאות אמיתיות, קודי MFA או אישורים שמעניקים גישה למערכת. משתמשים בכלים ובתוכן שהגורם המורשה בדק, עם נתוני ניסיון ותנאי עצירה. התרגיל אינו נימוק לבטל הגנות דואר באופן רחב. אם אין יכולת להבטיח היקף בטוח ולפרש את המדידה, חוזרים לתרגיל שולחני.
קושי התרחיש משפיע על משמעות התוצאה
NIST Phish Scale נועד לסייע להעריך את קושי הזיהוי האנושי של הודעת פישינג. הוא אינו ציון לעובד ואינו מבטיח הגנה. אם משווים תרגילים שונים בלי להתחשב בתוכן ובהקשר, מספר הקלקות לבדו יכול להטעות לגבי השיפור או הסיכון.
בנו תרבות דיווח ולא רשימת אשמים
NCSC מדגיש שהסתמכות על זיהוי קישורים בלבד אינה מספיקה ושפחד מאשמה עלול לעכב דיווח. שלבו למידה עם הגנות חשבון ודואר ותהליך תגובה. תרגיל שלא מוביל לשיפור טכני או תפעולי אינו הופך למועיל רק בגלל דוח מפורט.
דוגמה: העובד עצר, אבל לא היה למי לדווח
התרחיש להמחשה בלבד. עובד מזהה בקשה חריגה אך שולח אותה לקבוצה כללית כי אין איש קשר מוגדר. התוצאה מצביעה על פער בערוץ הדיווח, ולא רק על יכולת הזיהוי האישית. מגדירים גורם מקבל, חלופה בהיעדרו ומה צריך למסור בלי לצרף מידע רגיש מיותר.
אחרי ההדרכה חוזרים על ההחלטה במצב דומה ובודקים אם המסלול עובד. שומרים תוצאה מצומצמת, מטרת שימוש ומורשי גישה. ב-CyberFixCrew אפשר להגדיר סקירת חשבונות, דואר והרשאות שתומכת בתהליך; מדריך זה אינו מציג שירות קמפיינים או תוצאות תרגול שלא בוצעו.
