AA5 - Os perigos e efeitos colaterais do uso frequente de avaliações de phishing ao vivo
Olá a todos,
Profissionais de segurança testam redes para identificar vulnerabilidades há muitos anos. É uma prática comum chamada "Análise de Vulnerabilidades e Testes de Penetração", ou às vezes "Hacking Ético". A palavra Ético neste contexto é interessante, pois indica que o hacking está sendo feito por boas razões, e não por motivos maliciosos.
Mas esquecemos que "ética" diz respeito a ações em relação aos humanos. Normalmente, o hacking ético é realizado por uma terceira parte, com a equipe que opera uma rede sem saber que os testes estão sendo feitos, para que não se preparem de forma anormal e distorçam os resultados. Esses testes geralmente não se tornam pessoais.
Mas, como aprendemos recentemente no fiasco da avaliação de phishing do Chicago Tribune que atingiu o Twitter e depois as notícias mainstream, é difícil transferir essa filosofia de "hacking ético" em redes para testar os funcionários em suas vulnerabilidades humanas.
Mas muitas organizações fazem isso, e os fornecedores estão tornando mais fácil fazer com mais frequência.
Aqui estão apenas algumas razões pelas quais as avaliações de phishing que usam "e-mails de phishing ao vivo", como muitas empresas fazem agora, podem ser ineficazes ou, pior, contraproducentes. Na verdade, existem várias outras razões pelas quais você pode não obter os resultados que está procurando com avaliações de phishing ao vivo contínuas, mas posso abordar essas em outro vídeo.
Mas estes são os problemas que vejo como diretamente relacionados ao lado ético humano das avaliações de phishing...
Primeiro, os Funcionários têm emoções, e é isso que os atacantes visam para fazê-los tomar ações. Quando fazemos isso intencionalmente, como um teste, estamos literalmente brincando com as emoções das pessoas, o que as faz sentir que estão sendo injustamente alvo de seu empregador.
Isso não é bom para a moral e pode causar desconfiança em relação ao empregador.
Em segundo lugar. Quando uma pessoa é manipulada com uma situação que pensa ser real, você não pode prever como ela reagirá porque é humana. Ao testar redes, uma falha pode causar interrupções no sistema ou corrupção de dados. Mas os limites de dano são bastante previsíveis.
Em contraste, como vimos no Tribune, os funcionários podem ir diretamente à mídia ou à polícia com comentários ou reclamações públicas. Ou podem até retaliar fisicamente. Ninguém sabe, e esse é um grande risco que muitas organizações não consideram ao implantar avaliações de phishing ao vivo.
Em terceiro lugar. Mesmo quando a gestão está ativamente envolvida na triagem de mensagens de phishing, os resultados podem ser distorcidos porque eles proíbem quaisquer testes que possam causar possíveis reações negativas ou resultados indesejados. Isso está se tornando um problema ainda maior, porque os atacantes não seguem as mesmas regras e não hesitam em usar esses mesmos tópicos em seus ataques, sabendo que os funcionários provavelmente não os viram antes em um teste de phishing.
Frequentemente, a resposta das empresas que vendem avaliações de phishing ao vivo é que você precisa ter cuidado com a forma como as mensagens são elaboradas, para serem "próximas" às usadas em ataques reais, sem ultrapassar alguma linha ética. Esta é uma limitação real de toda a metodologia de direcionar funcionários com avaliações de phishing ao vivo frequentes, para avaliar a vulnerabilidade humana.
Agora, não estou dizendo que as avaliações de phishing ao vivo não têm valor. Longe disso. Mas eu as vejo mais como uma ferramenta de auditoria ocasional, não como um bombardeio contínuo de testes que irritam os funcionários.
Então, o que pode ser feito para avaliar a verdadeira capacidade dos funcionários sem causar consequências negativas?
O aprendizado e a avaliação gamificados realmente fornecem os meios para conduzir o que eu chamo de "Gestão Ética da Vulnerabilidade dos Funcionários". Com essa abordagem, não apenas os funcionários sabem que não estão sendo alvos, mas eles veem isso mais como uma competição divertida. Você pode usar qualquer tópico que desejar, e todos os funcionários que participam de um módulo de treinamento veem o mesmo conteúdo, então tudo está sob controle, sem efeitos colaterais inesperados ou indesejados.
E, mais importante, você pode treinar as pessoas nas situações mais arriscadas e permitir que pratiquem para melhorar suas pontuações.
A gamificação é amplamente reconhecida como a maneira mais eficaz de melhorar o engajamento dos funcionários, mas a maioria das soluções não a faz de uma maneira positiva e profunda que impulsione um engajamento profundo e a retenção de conhecimento. Quando o aprendizado gamificado é usado para "gestão ética da vulnerabilidade dos funcionários", ele não apenas tem resultados mais confiáveis e significativos, mas também promove uma cultura de segurança mais positiva, onde os funcionários confiam na gestão.
Para saber como você pode implementar a gestão ética da vulnerabilidade dos funcionários usando a plataforma Click Armor Active Awareness para treinamento e avaliação de conscientização sobre phishing, entre em contato comigo em clickarmor.ca/contact
Você pode fazer um teste gratuito com sua própria área privada para alguns funcionários para ver como funciona bem e quão fácil é gerenciar.