Sie fragen sich, wie Sie Ihr Unternehmen effektiv vor Phishing-Versuchen schützen können?
Befolgen Sie diese Best Practices, um das Verhalten Ihrer Mitarbeiter zu ändern und die Sensibilisierung für bedrohliche Mails der Organisation zu stärken.
Sie sind sich der Risiken bewusst, denen Sie als Sicherheitsexperte ausgesetzt sind – schließlich sind sie zahlreich, entwickeln sich ständig weiter und sind immer präsent. Und viele der Ergebnisse, die Sie erzielen können, hängen von Menschen ab, die wenig Zeit damit verbringen, über Sicherheit nachzudenken.
Wenn nur Sicherheit für alle Mitarbeiter ein zentrales Thema wäre. Da dies wahrscheinlich nicht der Fall ist, ist es entscheidend, dass Sie in der Lage sind
Planung, Betrieb und Evaluierung eines Cyber-Sensibilisierungsprogramms, das das Verhalten der Mitarbeiter wirklich verändert. Damit diese Bemühungen erfolgreich sind, müssen Sie jedoch nicht nur E-Mails an Mitarbeiter senden.
Um langfristig optimale Ergebnisse zu erzielen, sollten Unternehmen eine wissenschaftliche Methodik anwenden, die die folgenden Best Practices implementiert:
1. Gesamtschulung der Belegschaft
Untersuchungen zeigen, dass Ad-hoc-Scattershot-Versuche, Personaluntergruppen zu schulen, weitgehend ineffektiv sind. Um die interne Abwehr gegen ausgefeilte Phishing-Bedrohungen zu stärken, müssen Sie jeden Monat 100% Ihrer Mitarbeiterbevölkerung schulen. Dies wird komplizierter, wenn die Teams wachsen und auf verschiedene Standorte verteilt sind. Die Entscheidung für weniger als die gesamte Schulung der Belegschaft führt jedoch zu stückweisen Ergebnissen, sodass Sicherheitslücken in Form leichtgläubiger Mitarbeiter entstehen. Das Schlimmste: Eine unvollständige Abdeckung der Belegschaft bedeutet, dass das aktuelle Bewusstsein einiger Mitarbeiter für Bedrohungen nicht bekannt ist und möglicherweise die schwächsten Glieder fehlen, die das Unternehmen dem größten Risiko aussetzen. Wenn Hacker sie ausnutzen, führen Sie interne und externe Notfall-Triage mit Mitarbeitern der Unternehmensleitung, der Personalabteilung und der PR durch.
2. Just-in-Time-Lernen
Es gibt ein begrenztes Zeitfenster, in dem Lehren aus Schulungen die größten langfristigen Auswirkungen auf die Mitarbeiter haben. Dies ist der „goldene Moment“ – der Fall, in dem die Bereitstellung zeitnaher, ansprechender und effektiver Inhalte einen bleibenden Eindruck hinterlassen kann, anstatt Folgetrainings erzwingen zu müssen, die oft als zufällig, irrelevant und weniger einprägsam empfunden werden – geschweige denn schwerer durchzusetzen. Das Verknüpfen von Risiken mit bestimmten Verhaltensweisen der Mitarbeiter ist der Schlüssel. Mitarbeiter, die Just-in-Time-Lernen erleben, sind wahrscheinlicher
kritisches Wissen und Bewusstsein für Risikofaktoren zu behalten und in zukünftigen Angriffsszenarien besser entsprechend reagieren zu können. Im Wesentlichen müssen Unternehmen sicherstellen, dass alle Mitarbeiter, die auf eine Simulation hereinfallen, sofort an einer Schulung teilnehmen, in der die von ihnen gemachten Fehler behandelt werden.
3. Kontinuierlicher Zyklus
Das Training sollte nicht in vorhersehbaren Wellen stattfinden. Durch die Implementierung eines laufenden Programms könnten Ihre Mitarbeiter überrascht werden und mehr Lernmöglichkeiten haben. Die Erwartung aufzubauen, dass sich jederzeit eine Bedrohung ergeben könnte, ermutigt auch die Mitarbeiter
zwischen Trainingskampagnen wachsam bleiben. Diejenigen, die nur gelegentlich Simulationen erhalten, machen mit größerer Wahrscheinlichkeit leicht vermeidbare Fehler, da sich Angriffsszenarien schnell ändern. Ein kontinuierlicher Zyklus stellt sicher, dass alle neuen Mitarbeiter ordnungsgemäß eingebunden werden, und verstärkt die Tatsache, dass Sicherheit rund um die Uhr von Bedeutung ist – und nicht nur ein Compliance-Kästchen ankreuzt, um die Mindestanforderungen zu erfüllen.
4. Schwierigkeitsgrad angepasst
Irgendwann beherrscht jeder die Grundlagen der Identifizierung von Bedrohungen. Da böswillige Schauspieler hier jedoch nicht aufhören, sollte Ihr Training auch nicht aufhören. Es ist wichtig, dass
Beginnen Sie mit einem niedrigen Schwierigkeitsgrad und steigen Sie kontinuierlich auf – passen Sie die Schwierigkeitsgrade und Kontexte der Simulationen an, um den Mitarbeitern ein robusteres Lernen zu ermöglichen. Die Vorhersage der tatsächlichen Schwierigkeit ist jedoch ein komplexer Prozess. Es erfordert eine tägliche Überwachung der Kampagnenleistung, um sicherzustellen, dass alle Annahmen bezüglich bestimmter Gruppen korrekt waren. Es wird außerdem empfohlen, dass Ihr Sicherheitsteam mit den sich entwickelnden globalen Phishing-Trends Schritt hält, da verschiedene Angreifer-Stile und -Szenarien in einigen Regionen oder Sprachen beliebter werden als in anderen.
5. Rechtzeitige Trainingsintervalle
Während das Element der Überraschung wichtig ist, ist die Durchführung völlig zufälliger oder sporadischer Sicherheitsschulungen kontraproduktiv. Die sichersten Unternehmen stellen sicher, dass Phishing-Kampagnen in zeitlichen Abständen durchgeführt werden. Diese können sich überschneiden, können jedoch ein- oder zweimal monatlich, zweimonatlich oder mehrmals festgelegt werden. Ein festgelegter Zeitplan ermöglicht es CISOs und ihren Teams, eine solide allgemeine Grundlage für die Gesamtleistung der Mitarbeiter zu erstellen. Das Verständnis, das aus quantitativen Daten zum „Ausgangspunkt“ der Mitarbeiter oder zur typischen Reaktion auf Bedrohungen gewonnen wurde, ermöglicht es Ihnen, Ihre größten Problembereiche zu identifizieren und zu bestimmen, wie diese gemindert werden können. Hinweis: Die Leistung einzelner Mitarbeiter kommt erst ins Spiel, nachdem Sie Intervalle und eine Basis festgelegt haben.
6. Ausführliche BI-Berichte
Alle Wege führen zu Ihren Trainingsdaten. Berichte sollten jedoch nicht nur auf den aktuellen Sicherheitszustand Ihres Unternehmens hinweisen oder Schwachstellen aufzeigen. Sie sollten Echtzeit-KPIs und Business Intelligence messen und anzeigen, die sich auf Länder-, Abteilungs-, Team- oder andere Ebenen erstrecken – ohne die Privatsphäre einzelner Mitarbeiter zu verletzen. Berichte sollten klare, präzise Grafiken und zusammenfassende Informationen enthalten, die wesentliche Änderungen vermitteln. Wenn Sie sicherstellen, dass Ihre wichtigsten Stakeholder wöchentliche Berichte, Kampagnenzusammenfassungen und vierteljährliche Board Reviews mit verwertbaren Daten erhalten, werden sie über den laufenden Fortschritt auf dem Laufenden gehalten und erhalten Einblick in die langfristigen Auswirkungen Ihres Schulungsprogramms. Sie vermeiden außerdem unnötigen Verwaltungsaufwand, um die Wirksamkeit Ihrer Bemühungen zu demonstrieren. Stattdessen kann sich Ihr Team um dringendere Sicherheitsfragen kümmern.
7. Datengesteuertes Training
Sicherheitsexperten wissen, dass Mitarbeiter auf eine Vielzahl von Angriffsmethoden unterschiedlich reagieren. Für diejenigen, die als „serielle Klicker“ bezeichnet werden, kann eine ruckartige Reaktion beim Herunterladen, Klicken oder Öffnen eines Anhangs sie (und ihre Organisationen) häufig in Gefahr bringen. Das Identifizieren und Verwalten einer aktualisierten Liste von Serienklickern erfordert eine konsistente Überwachung der Leistung aller Mitarbeiter. Sie sind jedoch nicht die einzige Gruppe, die Sie untersuchen sollten. Neueinstellungen, Führungskräfte und erfahrene Mitarbeiter reagieren unterschiedlich auf potenzielle Bedrohungen. Daher möchten Sie möglicherweise Daten analysieren, um besser zu verstehen, wie sich diese Gruppen verhalten. Als nächstes braucht Ihr Team
in der Lage zu sein, speziell gestaltete Kampagnen zu erstellen, die diese unterschiedlichen oder potenziell problematischen Gruppen in Richtung eines anspruchsvolleren Ansatzes für das E-Mail-Management verschieben.
Der von Ihnen erstellte „Behandlungsplan“ sollte eine angepasste Häufigkeit, zeitnahe Erinnerungen, benutzerdefinierte Simulationen und Schulungsinhalte enthalten, mit deren Hilfe besonders anfällige Gruppen reformiert werden können. Dies alles ist von entscheidender Bedeutung, muss jedoch unter größtmöglicher Achtung der Privatsphäre der Mitarbeiter erfolgen.
8. Adaptiver Inhalt
Sobald Sie Mitarbeiter in segmentierte Gruppen eingeteilt haben, ist es Zeit für Schulungen, um sich anzupassen. Der Schwierigkeitsgrad des Szenarios ist natürlich nur ein Parameter. Bestimmen
Zukünftige Angriffskampagnen, die auf individuellem Verhalten basieren, sind ebenso wichtig wie die Anpassung von Inhalten
gezielt auf die Herausforderungen eines bestimmten Szenarios einzugehen. Dies kann ein Passwort beinhalten
oder Datenanfragen, Nachrichten von scheinbar legitimen Absendern oder Quellen oder realistische Inhalte, die auf die Abteilung oder Rolle eines Mitarbeiters zugeschnitten sind. Material, das sich sowohl an die Reaktionen einzelner Mitarbeiter als auch an bestimmte Angriffsmethoden anpasst, dient dazu, die Abwehrkräfte der Mitarbeiter weiter zu optimieren und das menschliche Element zu einem Vorteil für Ihr Unternehmen zu machen.
9. Einstellbare Frequenz
Ihre versiertesten Benutzer werden wahrscheinlich nicht zweimal auf dieselben Simulationen hereinfallen. Aber diese Serienklicker sind eine andere Geschichte. Daher sollte die Trittfrequenz Ihrer Kampagnen dynamisch und persönlich sein und ein berechnetes Risiko für Mitarbeiter über die Lernkurve hinweg widerspiegeln, das auf den von Ihnen gesammelten Daten basiert. Im Idealfall müssen Sie Kampagnenfrequenzen erstellen, die auf Mitarbeitercluster zugeschnitten sind, bis sie an einen bestimmten Schwellenwert für das Schulungsszenario angepasst sind. Dies kann bedeuten, dass Personen in einer Gruppe mit höherem Risiko zunächst zwei gezielte Schulungs-E-Mails pro Kampagne erhalten, um sie mit den Schulungsinhalten vertraut zu machen und eine geänderte Reaktion zu fördern.
10. Globalisierter Kontext
Wenn Sie Teil eines globalen Unternehmens mit Englisch als Unternehmenssprache sind, sollten Sie in Betracht ziehen, mehrsprachige Inhalte zu verwenden, die die Muttersprachen Ihrer Mitarbeiter enthalten, da dies die Lernbindung erheblich verbessert. Insbesondere für multinationale Geschäftsumgebungen ist es wichtig, Sicherheitsschulungsmaterial an die Kulturen anzupassen, in denen
Ihre Mitarbeiter leben. Abhängig von Ihrem Unternehmensstandort gibt es verschiedene rechtliche Auswirkungen auf die E-Mail-Compliance-Standards. Indem Sie lokale Referenzen in Trainingssimulationen wie Nationalfeiertagen, prominenten Nachrichtenagenturen, beliebten Social-Media-Plattformen und saisonalen Verkäufen zitieren, erhöhen Sie die Wahrscheinlichkeit, dass Ihre E-Mail-Simulationen glaubwürdig sind, und stärken gleichzeitig das Bewusstsein der Mitarbeiter für heimliche und äußerst realistische Angriffe.
Sie möchten gerne all diese Punkt erfüllen, aber die Zeit und auch die Manpower fehlt? das ist kein Problem, denn wir haben die perfekt Lösung dafür, die Ihnen die komplette Arbeit für diese Trainings abnimmt und das zu 100%!