Test Mitarbeiter

Besprechen Sie Ihre Anforderungen

Phishing-Simulationen liefern quantifizierbare Ergebnisse, die gemessen werden können. Unsere Simulationen umfassen SMS-Phishing, Corporate Phishing (simulierte E-Mails, die scheinbar von "innerhalb" Ihrer eigenen Organisation stammen), Spear-Phishing für Vorstandsmitglieder (zielen auf eine Handvoll hochrangiger Personen in einer einflussreichen Position ab), Ransomware-Simulation, Personal Phishing (Simulationen, die auf bekannte Marken wie Amazon, Apple, eBay usw. abzielen) und viele weitere Techniken. Diese Messungen ermöglichen es, Verbesserungen zu erkennen und zu verfolgen. Durch den beratenden Ansatz unseres Teams wird sichergestellt, dass alle Phishing-Simulationen und -Kampagnen auf die Bedrohungen zugeschnitten sind, denen Ihr Unternehmen ausgesetzt ist. Vor der Phishing-Simulation werden die Bedürfnisse und Ziele geklärt und mit den geplanten Aktivitäten abgestimmt. Ziel ist es, die Schlüsselelemente der Kampagne zu definieren:

• Erst angreifen oder aufklären? Ein Simulationstest kann mit einer Einführungsschulung beginnen, in der die Mitarbeiter über E-Mail-Sicherheit und die Auswirkungen von Phishing aufgeklärt werden. Ein Unternehmen kann auch ein Anti-Phishing-E-Mail-Konto einrichten, über das die Mitarbeiter ihre Erfahrungen, Verdachtsmomente und andere Anforderungen in Bezug auf Cyber-Bedrohungen austauschen können, bevor die Simulation beginnt.
• Häufigkeit der Simulation: Die Simulationshäufigkeit sollte auf der Grundlage der wahrgenommenen Bedrohungen angepasst werden. Die Benutzerabdeckung und die Simulationshäufigkeit sollten in Abhängigkeit vom wahrgenommenen Risiko festgelegt werden (z. B. Finanzen und Zahlungsverkehr - 2 Themen / X Monate, leitende Angestellte - 1 Thema / X Monate). Funktionen/Abteilungen mit hohem Risiko und Personen, die in der Organisation eine wichtige Rolle spielen, sollten im Rahmen der Simulation häufiger behandelt werden.
• Dauer der Simulation: Die meisten Phishing-Simulationstests werden in der Regel für einen Zeitraum von 12 Monaten geplant. Es kann jedoch bestimmte Ad-hoc-Kampagnen geben, die situationsbedingt sind.
• Timing - wann werden die E-Mails versendet? Bei der Planung der Kampagne für jede Funktion/Abteilung oder Person sollten die Phishing-E-Mails mit den Elementen "Wochentag" und "Tageszeit" eingeleitet werden.
• Nachbereitung: Auf eine Phishing-Simulationskampagne müssen möglicherweise einschlägige E-Mails der IT-Abteilung folgen, in denen die betroffenen Mitarbeiter über die Realität von Phishing-E-Mails und die Erwartungen an sie informiert werden. Wenn Benutzer wiederholt scheitern, sollten Sie ein Gespräch mit ihnen planen, um zu verstehen, welche Schwierigkeiten sie haben und warum. Vereinbaren Sie dementsprechend Sensibilisierungs-/Schulungsmaßnahmen für diese Benutzer.
• Kohärenz mit den aktuellen Richtlinien: Sobald der Prozess implementiert ist, muss er für alle Beteiligten gleichmäßig ausgeführt werden. Die Integration in bestehende Informationssicherheitsrichtlinien und -verfahren wird ebenfalls dazu beitragen, der Kampagne zusätzliche Bedeutung zu verleihen.
• Wählen Sie das richtige Phishing-Thema: Siehe nächster Abschnitt.
• Unternehmenskommunikation: Bevor Sie die Phishing-Simulationskampagne einleiten, sollten Sie mit dem Funktions-/Abteilungsleiter einen Kommunikationsplan für die Phishing-Simulation ausarbeiten. Die Mitarbeiter müssen über das neue Verfahren, die Erwartungen, die Konsequenzen bei Nichteinhaltung und den Zeitpunkt des Inkrafttretens aufgeklärt werden.
• Zielgruppen: Wenn die Kampagne auf eine große Gruppe von Nutzern abzielt, die der gleichen Funktion/Abteilung angehören, könnten sie andere in der Gruppe informieren. Daher sollten Phishing-E-Mails nicht an das gesamte Unternehmen weitergeleitet werden, da dies Verdacht erregt. Stattdessen sollte der Prozess organisch ablaufen und sich immer nur an eine kleine Gruppe ausgewählter Mitarbeiter richten.
• Sicherstellung des Engagements auf höchster Ebene: Die Unterstützung des Managements ist entscheidend für die Wirksamkeit des Prozesses. Daher müssen die Benutzer auf höherer Ebene bereit sein, den Prozess durchzuziehen.
• Technische Vorbereitungen: White-Listing von Phishing-Domänen, Einrichtung von Testkonten, Tests der E-Mail-Zustellung sind einige der Aktivitäten, die sorgfältig geplant werden müssen.

Bei jeder Phishing-Simulationsaktivität spielt das Thema eine wichtige Rolle bei der Erreichung des Ziels, die Benutzer über reale Bedrohungen aufzuklären. Um eine reale Erfahrung zu vermitteln und das Bewusstsein zu schärfen, sollte das gewählte Thema der Phishing-Simulation auf ein Ereignis oder einen Kontext abgestimmt sein, der für die Zielperson oder -gruppe relevant ist. Hier sind einige Punkte, die für effektive Simulationsaktivitäten zu beachten sind:

• Jedes Thema, das für eine Phishing-Simulation ausgewählt wird, sollte auf den geschäftlichen Kontext und das wahrgenommene Risiko für die Rolle/Funktion/Abteilung des Benutzers abgestimmt sein.
• Das ausgewählte Thema der Phishing-Simulation sollte für die Zielperson oder -gruppe von Bedeutung sein.
• Um bessere Ergebnisse und Lernerfahrungen zu erzielen, sollte die Komplexität des gewählten Themas allmählich auf ein höheres Niveau gebracht werden.
• Wenn Sie mit einem hochkomplexen Phishing-Thema beginnen, werden viele scheitern und das Ziel nicht erreichen.
• Jedes täuschende Element einer Phishing-E-Mail muss mit anderen Tricks kombiniert werden, die typischerweise von Angreifern verwendet werden (z. B. ähnliche Domain mit getarntem Hyperlink, gefälschte Domain mit doppelter Dateierweiterung usw.).
• Jede Simulationsaktivität sollte zeitlich begrenzt sein; kontextbezogene Themen, die ausserhalb eines festgelegten Zeitrahmens durchgeführt werden, verlieren ihren Wert.

Die LUCY-Phishing-Simulation kann mit Dienstleistungen kombiniert werden, die dem Unternehmen helfen, das Risiko besser einzuschätzen. Hier sind ein paar Beispiele:

• Individuelle Schulungen: Jeder Mitarbeiter kann im Vorfeld oder direkt im Anschluss an die Angriffssimulation individuell geschult werden. Die Inhalte der Schulungen können an die bestehenden Unternehmensrichtlinien angepasst werden. Interaktive Tests können den Wissensstand erfassen.
• Mail- und Webfiltertest: Er bietet eine technische Analyse der möglichen Eintrittskanäle für Malware. Welche Dateitypen können per E-Mail zugestellt werden? Welche gefährlichen Dateitypen können heruntergeladen werden?
• Lokaler Sicherheitstest: Wie hoch ist das tatsächliche Risiko, wenn ein Mitarbeiter einen gefährlichen Dateityp ausführt? Wie gut funktioniert der technische Schutz, um Datenverluste zu verhindern?
• Analyse des Angriffspotenzials: Welche sensiblen Mitarbeiterinformationen können im Internet eingesehen werden? Was kommunizieren Mitarbeiter über eine Firmen-E-Mail-Adresse im Internet?
• Analyse der Sicherheitskultur: Mittels Interviews, Umfragen und Analysen bestehender Richtlinien soll die aktuelle Sicherheitskultur erfasst und bewertet werden.
• Darknet-Analyse: Wir durchsuchen das Darknet nach bestehenden Datenlecks und zeigen so ein umfassendes Risikobild, das nicht nur die Innensicht beinhaltet.
• Vollständig verwaltete wiederkehrende Kampagnen: Sie bevorzugen wiederkehrende Kampagnen, die komplett von uns verwaltet werden? Gerne können Sie das Thema IT Security Awareness komplett an uns auslagern.