A Security Awareness mérése: mutatók, amelyek valóban mondanak valamit

A phishing-szimulációk futnak, a képzések kiépültek. De vajon mindez hat is? Legkésőbb a következő költségvetés idején a vezetőség bizonyítékot követel. A jó hír: a Security Awareness mérhető. A kevésbé jó: egyetlen szám szinte semmit sem mond. Ez a cikk megmutatja, mely mutatók megbízhatók, és milyen keretek között érdemes őket gyűjtenie.

Miért megtévesztő egyetlen mutató

Egy-egy phishing-szimuláció kattintási aránya a tudatossági riportolás leggyakrabban idézett, egyúttal leggyakrabban félreértett száma. Erősen függ attól, mennyire volt nehéz a használt sablon, mikor futott a szimuláció, és mely részlegeknek küldték ki. Egy könnyen felismerhető sablon alacsony kattintási aránya kevesebbet mond, mint egy jól elkészített, célzott forgatókönyv magasabb aránya.

Ehhez jön egy második probléma: aki nem kattint, az még nem feltétlenül tanult meg valamit. Lehet, hogy egyszerűen átsiklott az e-mail felett, vagy elolvasatlanul törölte. Aki pedig egyetlen mutatót tesz az egyedüli céllá, az arra csábít, hogy a számot optimalizálják a viselkedés helyett, például amikor a szimulációkról belsőleg „előre figyelmeztetnek”, hogy az eredmény jól mutasson.

A mondanivaló csak több mutató együttes, hosszabb időszakot átfogó vizsgálatából adódik.

Négy mutató, amely mond valamit

• Kattintási arány az idő függvényében: Nem egyetlen szimuláció eredménye számít, hanem a több, hasonló nehézségű szimuláció során kirajzolódó trend. Ha a kattintási arány negyedévről negyedévre csökken, miközben a nehézségi szint változatlan, az megbízható jel.
• Bejelentési arány: Azoknak a címzetteknek az aránya, akik aktívan jelentenek egy gyanús e-mailt. Talán ez a legalulbecsültebb mutató: a kívánt viselkedést méri, nem pusztán a hibák elmaradását. A növekvő bejelentési arány azt jelenti, hogy vállalata korábban észleli a valódi támadásokat.
• Az első bejelentésig eltelt idő: Milyen gyorsan ér el az első bejelentés a biztonsági csapathoz? Valódi támadásnál ez az időablak dönti el, mekkora kár előzhető meg.
• A képzések teljesítési aránya: Megmutatja, hogy programja egyáltalán eléri-e a munkatársakat. Önmagában semmit sem mond a viselkedésről. Háttérmutatóként mégis nélkülözhetetlen, mert elérés nélkül nincs hatás.

A mutatók együttes olvasása

Ott lesz érdekes a kép, ahol az értékeket kombinálja. Csökkenő kattintási arány növekvő bejelentési aránnyal együtt az a minta, amelyet látni szeretne: a munkatársak felismerik a támadásokat, és helyesen cselekednek. Magas teljesítési arány stagnáló bejelentési aránnyal viszont arra utal, hogy a tartalmakat ugyan elfogyasztják, de a mindennapokba nem épülnek be. Ilyenkor érdemes átgondolni a képzések formátumát vagy gyakoriságát.

Fontos továbbá, hogy a szimulációkat nehézségi szint szerint hasonlítsa össze, ahelyett hogy minden eredményt egy kalap alá venne. A jól felépített phishing-szimulációk tudatosan variálják a forgatókönyveiket. A riportolásnak ezt a szórást le kell képeznie, különben összehasonlíthatatlan dolgokat hasonlít össze.

Szabályozási szempontból is súlya van a témának: a NIS2 hatályban van, és az érintett vállalkozásoknak hatékony kockázatkezelési intézkedéseket, a képzéseket is beleértve, kell bevezetniük és igazolniuk. Az áttekinthető tudatossági riportolás ennek az alapja.

A riportolás anonimizálása, az üzemi tanács bevonása

Ki kattintott? Ez a kérdés kézenfekvő, mégis rossz irányba visz. A szimulációk személyhez kötött kiértékelése érinti az adatvédelmet, és általában együttdöntési joghoz kötött: az üzemi tanács korai bevonása és rendezett megállapodás nélkül nem megy. Mindenekelőtt azonban magának a célnak árt: aki szankcióktól tart, nem jelent be incidenseket. Pedig éppen a bejelentési arány az Ön legértékesebb mutatója.

Az említett összes mutatóhoz teljesen elegendők az anonimizált, összesített kiértékelések, például részlegek vagy telephelyek szintjén, olyan minimális csoportméretekkel, amelyek kizárják az egyes személyekre való visszakövetkeztetést. A programot mérik, nem a személyt. Vonja be korán az üzemi tanácsot és az adatvédelmi tisztviselőket: ez bizalmat teremt, és végső soron az adatai minőségét is javítja.

A méréstől az irányításig

A becsületesen mért tudatosság nem ellenőrzési, hanem irányítási eszköz: megmutatja, hol hat a programja, hol kell finomhangolni, és hogyan alakul vállalata biztonsági szintje az idő során. A Protectly pontosan ehhez nyújt alapot: kattintási, bejelentési és teljesítési arányokat az idő függvényében, anonimizálva és az üzemi tanács követelményeinek megfelelően előkészítve. Hogyan néz ki mindez, azt az Elemzés és riportok oldalunkon láthatja. Vagy kérjen demót, és nézze meg személyesen.