Як провести фішинг-симуляцію для співробітників і що ви отримаєте?

Фішинг-симуляцію для співробітників в Україні замовляють у компанії з кібербезпеки, яка погоджує сценарії й аудиторію письмово до запуску, не зберігає введені паролі і показує керівнику результати без імен, по відділах і ролях. Ви отримуєте не список «хто попався», а відповідь на три питання: які листи спрацьовують у вашій команді, як швидко люди повідомляють про підозрілий лист і що змінити в процесах і навчанні.

Нижче як провести симуляцію законно і без сорому, які бувають сценарії за складністю, які метрики справді щось показують, що спитати в підрядника і як часто повторювати.

Коротко

• Спершу письмове рішення керівника з переліком людей, сценаріїв і дат, і HR знає про симуляцію заздалегідь.
• Без сорому і без покарань. Результати агреговані, паролі не зберігаються.
• Сценарії від простих до складних, щоб бачити, де саме ламається процес.
• Головна метрика: скільки людей повідомили про лист і як швидко, а не лише скільки клікнули.
• Одна симуляція показує стан, друга показує зміну. Повторюйте через погоджений час.

Що таке фішинг-симуляція

Фішинг-симуляція означає навчальну розсилку, яку компанія за власним рішенням надсилає своїм людям, щоб побачити, як команда реагує на правдоподібний шахрайський лист, і навчити її помічати й повідомляти такі листи. Ніхто нічого не втрачає: посилання веде на навчальну сторінку, а введені дані не зберігаються.

Симуляція не замінює технічний захист пошти. Якщо SPF, DKIM і DMARC не налаштовані, почніть із них: як це зробити, описано в статті як захистити пошту компанії від фішингу. І вона не перевіряє ваші системи: чи можна зламати сайт або кабінет клієнта, показує пентест.

Законно і етично: чотири правила

NCSC (Національний центр кібербезпеки Великої Британії) прямо попереджає: жодне навчання не навчить людей помічати кожен фішинговий лист, а покарання за клік на лист, який ви самі надіслали, створює юридичні ризики. Тому симуляцію погоджують з HR. ^[1]

1. Письмова згода роботодавця. Симуляцію проводять від імені компанії за рішенням керівника, де вказані аудиторія, сценарії, дати і хто знає про тест. Якщо є сумніви щодо трудових питань, погодьте формат із юристом.
2. Без сорому. Ніхто не отримує догану за клік. NCSC пояснює, що люди, які бояться покарання, не повідомляють про помилки, а саме повідомлення робить їх раннім сигналом тривоги. ^[1]
3. Агреговані результати. Керівник бачить картину по відділах і ролях. Персональні результати, якщо вони взагалі потрібні, бачить лише той, хто веде навчання.
4. Захист даних. Збирають мінімум: факт відкриття, кліку, введення і повідомлення. Паролі не зберігаються, строк зберігання і доступ до даних погоджені заздалегідь, після проєкту дані видаляють. Ідеться про персональні дані працівників, тож діє Закон України «Про захист персональних даних», а якщо працюєте з ЄС, то й GDPR.

Окремо домовтеся, яких тем не чіпати. Листи про звільнення, зарплату, здоров'я чи війну спрацюють, але зруйнують довіру до тих, хто проводить навчання. Також не варто видавати себе за державні органи.

Сценарії за складністю

NIST (Національний інститут стандартів США) розробив Phish Scale: метод, який оцінює складність навчального листа за кількістю ознак підробки і за тим, наскільки тема листа збігається з роботою конкретної аудиторії. Результат: низька, середня чи висока складність. ^{[2] [3]} Без цього низький відсоток кліків може означати не уважність людей, а надто прості листи.

• Низька складність. Загальний лист «ваша скринька переповнена» з чужого домену, помилками і дивним посиланням. Показує базовий рівень.
• Середня складність. Знайомий сервіс: спільний документ, повідомлення про доставку, вимога змінити пароль до Microsoft 365. Домен схожий на справжній, ознак підробки мало.
• Висока складність. Тема з реальної роботи відділу: рахунок від «постачальника» для бухгалтерії, лист від «керівника» з терміновим проханням, QR-код у вкладенні. Саме так виглядають атаки, які коштують грошей.

Починайте з низької чи середньої складності і рухайтеся вгору. Для бухгалтерії й тих, хто проводить платежі, окремий сценарій високої складності майже завжди корисний.

Метрики, які мають значення

Частка кліків сама по собі мало що означає. Важливіше, чи повідомив хтось про лист і як швидко: якщо перше повідомлення прийшло за кілька хвилин, IT встигає прибрати справжній фішинговий лист у всіх, поки більшість його ще не відкрила. Microsoft у звітах Attack simulation training окремо показує, хто повідомив про лист і коли. ^[4]

Де замовити: що спитати в підрядника

Є два шляхи. Перший: вбудований інструмент Attack simulation training у Microsoft 365, доступний у Microsoft Defender for Office 365 Plan 2 або Microsoft 365 E5. ^[5] Його налаштовує ваш адміністратор, а сценарії, розбір і навчання лишаються на вас. Другий: зовнішній підрядник, який готує сценарії під вашу компанію, проводить розсилку і розбір. Щоб його листи дійшли до людей, адміністратор додає їх у налаштування доставки для сторонніх фішинг-симуляцій. ^[6]

Як часто проводити

Для більшості компаній розумний ритм: повна симуляція раз або двічі на рік і повтор після великих змін, як-от переходу на новий поштовий сервіс чи швидкого росту команди. Для бухгалтерії й тих, хто має доступ до платежів, можна робити короткі цільові сценарії частіше. Важливо не число розсилок, а те, що між ними змінюється: правила, налаштування, навчання. Для дуже маленької команди статистика мало що покаже, тож там корисніше короткий розбір реальних прикладів.

Так ми проводимо фішинг-симуляції: сценарії й межі погоджуємо до запуску, звіт агрегований, після розсилки розбір і повтор через погоджений час. Якщо ж питання не лише в людях, а й у тому, що можна зламати ззовні, це вже робота для пентесту.

Чекліст підготовки симуляції

• Є письмове рішення керівника: аудиторія, сценарії, дати, хто знає про тест.
• HR погодив формат, юрист переглянув, якщо були сумніви.
• Домовились, яких тем не чіпаємо: звільнення, зарплата, здоров'я, війна, державні органи.
• Паролі не зберігаються, строк зберігання даних погоджений.
• Сценарії підібрані за складністю, для бухгалтерії є окремий.
• У пошті є кнопка «Повідомити», і IT відповідає на кожне повідомлення.
• Адміністратор налаштував доставку листів симуляції.
• Звіт агрегований: частка повідомлень, час до повідомлення, введення даних, кліки.
• Заплановані розбір із командою і дата повторної симуляції.

Завантажити чекліст підготовки (PDF)PDF · A4

FAQ

Де замовити фішинг-симуляцію для співробітників в Україні?

У компанії з кібербезпеки, яка погоджує сценарії письмово, не зберігає паролі і дає агрегований звіт із розбором. Якщо у вас Microsoft 365 з Defender for Office 365 Plan 2, можна почати з вбудованого Attack simulation training, але сценарії й навчання тоді готуєте самі.

Чи законно перевіряти працівників фішинговими листами?

Так, якщо симуляцію проводить компанія за письмовим рішенням керівника, з відома HR і з дотриманням законодавства про персональні дані. Результати не використовують для покарань. Якщо є сумніви щодо трудових питань, погодьте формат із юристом.

Чи попереджати співробітників про симуляцію?

Про загальну програму навчання можна сказати заздалегідь, а дату й сценарій ні, інакше результат нічого не покаже. Момент розкриття погоджують із керівником, і після симуляції всі дізнаються, що це було навчання.

Що робити з тими, хто клікнув?

Нічого карального. Людина, яка клікнула і одразу повідомила, зробила все правильно. Тим, хто ввів дані, допомагає короткий розбір на прикладі саме того листа.

Чи має сенс симуляція для маленької компанії?

Для команди в кілька людей статистика нічого не покаже, тому там краще короткий розбір реальних прикладів. Наші симуляції розраховані на команди від 20 людей.

Посилання

1. NCSC: Phishing attacks: defending your organisation ncsc.gov.uk
2. NIST: Phish Scale, NIST-developed method helps IT staff see why users click on fraudulent emails nist.gov
3. NIST TN 2276: NIST Phish Scale User Guide nvlpubs.nist.gov
4. Microsoft Learn: Reports for Attack simulation training learn.microsoft.com
5. Microsoft Learn: Get started using Attack simulation training learn.microsoft.com
6. Microsoft Learn: Configure the advanced delivery policy for non-Microsoft phishing simulations learn.microsoft.com