Najpierw nazwij cel ćwiczenia
„Sprawdźmy, kto kliknie” to zbyt wąski cel. Ćwiczenie powinno odpowiedzieć na pytanie, czy pracownik rozpozna sytuację wymagającą ostrożności, wie, gdzie ją zgłosić, i otrzyma użyteczną odpowiedź. Równie ważne jest sprawdzenie, czy zespół obsługujący zgłoszenia potrafi szybko ocenić wiadomość.
Wybierz jeden scenariusz związany z pracą: dokument do podpisu, prośbę o zmianę rachunku albo udostępnienie pliku. Zapisz oczekiwane zachowanie i kryterium sukcesu. Nie traktuj pojedynczego wyniku jako miary uczciwości, zaangażowania czy przydatności pracownika na danym stanowisku.
Ustal granice i zadbaj o zaufanie
Przygotuj zakres z kierownictwem oraz osobami odpowiedzialnymi za sprawy pracownicze i dane. Ustal, jakie zdarzenia są rejestrowane, kto widzi wyniki i jak długo są potrzebne. W komunikacji wyjaśnij cel programu oraz zasadę szybkiego zgłaszania pomyłek; nie obiecuj anonimowości, której narzędzie nie zapewnia.
Unikaj przynęt wykorzystujących osobistą tragedię, zwolnienie z pracy lub inne silnie wrażliwe sytuacje. Nie zbieraj prawdziwych haseł ani kodów MFA. Jeśli scenariusz pokazuje formularz logowania, powinien bezpiecznie demonstrować ryzyko, a nie przechwytywać tajne dane pracowników.
Zacznij od wspólnego przejścia scenariusza
Przed wysyłaniem symulacji można przeprowadzić krótką rozmowę przy przykładowej wiadomości. Zapytaj: co próbujemy zrobić, czego nie wiemy, komu zgłosimy wątpliwość i jak potwierdzimy prośbę innym kanałem? Nie podawaj od razu odpowiedzi; obserwuj, czy procedura jest zrozumiała dla osób spoza IT.
Przygotuj także wariant „już kliknąłem”. Pracownik powinien umieć powiedzieć, co zrobił, czy podał dane i czy uruchomił plik. Nie wymagaj samodzielnego rozpoznania malware. Dzięki temu ćwiczenie obejmuje reakcję po błędzie, a nie tylko idealne zachowanie przed kliknięciem.
Symulacja ma sprawdzać także obsługę zgłoszeń
Jeśli wybierasz wysyłkę ćwiczeniową, wcześniej potwierdź zgodę na zakres, odbiorców i używaną infrastrukturę. Nie wyłączaj szeroko ochrony poczty, aby za wszelką cenę dostarczyć przynętę. Kontrolowane wyjątki wymagają uzasadnienia i zakończenia; test pracowników nie powinien osłabiać codziennej ochrony.
Sprawdź, czy działa przycisk lub adres zgłoszeniowy, kto odbiera wiadomość i co widzi zgłaszający. Dobry wynik obejmuje również potwierdzenie odbioru oraz wskazówkę, co zrobić dalej. Zostaw sposób przerwania ćwiczenia, jeśli pojawi się prawdziwy incydent lub nieprzewidziane zakłócenie pracy.
Oceniaj kontekst, zgłoszenia i czas reakcji
Porównanie procentu kliknięć między zupełnie różnymi wiadomościami może wprowadzać w błąd. Trudność zależy między innymi od wiarygodności scenariusza i dopasowania do pracy odbiorcy. NIST Phish Scale pomaga uwzględniać trudność rozpoznania zamiast sprowadzać wynik do jednego wskaźnika.
Przydatne miary to liczba zgłoszeń, czas do pierwszego zgłoszenia, czas odpowiedzi i odsetek osób znających dalszą procedurę. Odróżniaj kliknięcia narzędzi automatycznie sprawdzających odnośniki od działań człowieka. W raporcie pokaż ograniczenia pomiaru; nie publikuj rankingu „najgorszych pracowników” ani listy osób, które popełniły błąd.
Omów wynik i zmień konkretną rzecz
Po ćwiczeniu pokaż, co miało wzbudzić wątpliwość i jak można było bezpiecznie wykonać zadanie. Podziękuj za zgłoszenia, także te ostrożne i ostatecznie niepotwierdzone. Osobie, która kliknęła, zaproponuj krótkie, rzeczowe omówienie bez zawstydzania przy zespole. Celem jest wcześniejsze zgłoszenie przy następnej próbie.
Wybierz poprawkę całego systemu: prostszy kanał zgłoszeń, czytelniejszy obieg płatności, silniejsze logowanie lub zmianę filtrów. Nadaj jej właściciela i sprawdź wykonanie. Kolejne ćwiczenie powinno zweryfikować tę poprawkę, a nie tylko ponownie policzyć kliknięcia w bardziej podchwytliwy link.
Źródła: NCSC — Phishing attacks: defending your organisation · NCSC — Identifying and reporting a suspected phishing email exercise · NIST — Phish Scale User Guide