AA5 - Die Fallstricke und Nebenwirkungen der häufigen Durchführung von Live-Phishing-Bewertungen
Hallo zusammen,
Sicherheitsfachleute testen seit vielen Jahren Netzwerke, um Schwachstellen zu identifizieren. Es ist eine gängige Praxis, die als "Schwachstellenanalyse und Penetrationstest" oder manchmal "Ethical Hacking" bezeichnet wird. Das Wort "Ethical" in diesem Kontext ist interessant, da es darauf hinweist, dass das Hacken aus guten Gründen und nicht aus böswilligen Motiven erfolgt.
Aber wir vergessen, dass "Ethik" alles über Handlungen gegenüber Menschen bedeutet. In der Regel wird Ethical Hacking von einem Dritten durchgeführt, wobei das Personal, das ein Netzwerk betreibt, nicht weiß, dass Tests durchgeführt werden, damit sie sich nicht abnormal vorbereiten und die Ergebnisse verzerren. Diese Tests werden normalerweise nicht persönlich.
Aber wie wir kürzlich im Chicago Tribune Phishing-Bewertungsfiasko gesehen haben, das Twitter und dann die Mainstream-Nachrichten traf, ist es schwierig, diese Philosophie des "Ethical Hacking" auf Netzwerke zu übertragen, um Mitarbeiter auf ihre menschlichen Schwachstellen zu testen.
Aber viele Organisationen tun dies, und Anbieter machen es einfacher, dies häufiger zu tun.
Hier sind nur einige Gründe, warum Phishing-Bewertungen, die "Live-Phishing-E-Mails" verwenden, wie viele Unternehmen es derzeit tun, ineffektiv oder schlimmer noch, kontraproduktiv sein können. Es gibt tatsächlich eine Reihe anderer Gründe, warum Sie möglicherweise nicht die gewünschten Ergebnisse aus laufenden Live-Phishing-Bewertungen erhalten, aber ich kann diese in einem anderen Video behandeln.
Aber dies sind die Probleme, die ich als direkt mit der menschlichen Ethikseite von Phishing-Bewertungen verbunden sehe...
Erstens, Mitarbeiter haben Emotionen, und genau darauf zielen Angreifer ab, um sie zu Handlungen zu bewegen. Wenn wir das absichtlich als Test tun, spielen wir buchstäblich mit den Emotionen der Menschen, was sie das Gefühl gibt, dass sie unfair von ihrem Arbeitgeber ins Visier genommen werden.
Das ist nicht gut für die Moral und kann das Vertrauen in den Arbeitgeber untergraben.
Zweitens. Wenn eine Person mit einer Situation manipuliert wird, die sie für real hält, kann man nicht vorhersagen, wie sie reagieren wird, weil sie menschlich ist. Bei Tests von Netzwerken kann ein Fehler Systemausfälle oder Datenkorruption verursachen. Aber die Grenzen des Schadens sind ziemlich vorhersehbar.
Im Gegensatz dazu, wie wir bei der Tribune gesehen haben, können Mitarbeiter direkt zu den Medien oder zur Strafverfolgung mit öffentlichen Kommentaren oder Beschwerden gehen. Oder sie könnten sogar physisch zurückschlagen. Niemand weiß es, und das ist ein großes Risiko, über das viele Organisationen nicht nachdenken, wenn sie Live-Phishing-Bewertungen durchführen.
Drittens. Selbst wenn das Management aktiv an der Überprüfung von Phishing-Nachrichten beteiligt ist, können die Ergebnisse verzerrt sein, weil sie Tests verbieten, die potenzielle Gegenreaktionen oder unerwünschte Ergebnisse verursachen könnten. Dies wird zu einem noch größeren Problem, da Angreifer sich nicht an die gleichen Regeln halten und keine Hemmungen haben, genau diese Themen in ihren Angriffen zu verwenden, in dem Wissen, dass Mitarbeiter sie wahrscheinlich noch nie zuvor in einem Phishing-Test gesehen haben.
Oft kommt die Antwort von den Unternehmen, die Live-Phishing-Bewertungen verkaufen, dass man vorsichtig sein muss, wie Nachrichten formuliert werden, um "nah" an denen zu sein, die in echten Angriffen verwendet werden, ohne eine ethische Grenze zu überschreiten. Dies ist eine echte Einschränkung der gesamten Methodik, Mitarbeiter mit häufigen Live-Phishing-Bewertungen zu testen, um menschliche Schwachstellen zu bewerten.
Ich sage nicht, dass Live-Phishing-Bewertungen keinen Wert haben. Ganz im Gegenteil. Aber ich sehe sie eher als gelegentliches Prüfungsinstrument, nicht als ständige Flut von Tests, die die Mitarbeiter aufregen.
Was kann also getan werden, um die tatsächliche Fähigkeit der Mitarbeiter zu bewerten, ohne negative Konsequenzen zu verursachen?
Gamifiziertes Lernen und Bewertung bieten tatsächlich die Möglichkeit, das zu tun, was ich "Ethisches Management der Mitarbeitersicherheit" nenne. Mit diesem Ansatz wissen die Mitarbeiter nicht nur, dass sie nicht ins Visier genommen werden, sondern sehen es auch eher als einen unterhaltsamen Wettbewerb. Sie können jedes Thema verwenden, das Sie möchten, und alle Mitarbeiter, die ein Schulungsmodul absolvieren, sehen denselben Inhalt, sodass alles unter Kontrolle ist, ohne unerwartete oder unerwünschte Nebenwirkungen.
Und am wichtigsten ist, dass Sie die Menschen in den riskantesten Situationen schulen und ihnen die Möglichkeit geben, zu üben, um ihre Ergebnisse zu verbessern.
Gamification wird weithin als der effektivste Weg anerkannt, um das Engagement der Mitarbeiter zu steigern, aber die meisten Lösungen tun dies nicht auf eine positive und tiefgehende Weise, die tiefes Engagement und Wissensspeicherung fördert. Wenn gamifiziertes Lernen für "ethisches Management der Mitarbeitersicherheit" verwendet wird, hat es nicht nur zuverlässigere und bedeutungsvollere Ergebnisse, sondern fördert auch eine positivere Sicherheitskultur, in der die Mitarbeiter dem Management vertrauen.
Um zu erfahren, wie Sie das ethische Management der Mitarbeitersicherheit mit der Click Armor Active Awareness-Plattform für Phishing-Bewusstseinsschulung und -bewertung implementieren können, kontaktieren Sie mich unter clickarmor.ca/contact
Sie können eine kostenlose Testversion mit Ihrem eigenen privaten Bereich für einige Mitarbeiter durchführen, um zu sehen, wie gut es funktioniert und wie einfach es zu verwalten ist.